Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

Petya (이하 페트야) 랜섬웨어의 변종으로 보이는 Bad Rabbit (이하 배드레빗. 트렌드마이크로 탐지명 RANSOM_BADRABBIT.A) 랜섬웨어가 현재 동유럽 국가를 강타하고 있습니다. XGen™ 기반의 트렌드마이크로 제품은 이

랜섬웨어를 별도의 패턴 업데이트 없이 TROJ.XXPE002FF019 로 탐지했습니다. 배드레빗은 지난 6월 유럽국가를 휩쓴 페트야 공격이 있은 지 몇 달 후 발생했습니다.

초기 보고서들은 공격의 주 원인을 우크라이나와 러시아의 수송 시스템과 언론 매체로 보고있습니다. 우크라이나의 CERT (CERT-UA)는 추가적으로 있을 수 있는 랜섬웨어 공격에 대한 주의 경보를 발표했습니다.

초기 분석


그림 1. 배드레빗의 감염 체인

트렌드마이크로의 초기 분석에 따르면 배드레빗은 Watering hole 공격을 통해 피해자를 가짜 플래쉬 설치 프로그램 “install_flash_player.exe” 로 유도합니다. 감염된 사이트들은 그 당시에는 접근이 되지 않는 URL 인 hxxp://1dnscontrol[.]com/flash_install 로 연결되는 스크립트가 주입되어 있습니다. 현재까지 덴마크, 아일랜드, 터키 그리고 러시아에서 이러한 가짜 플래쉬 설치 프로그램을 전파하는 감염된 사이트가 발견되었습니다.


그림 2. 주입된 스크립트를 보여주는 코드

가짜 설치 프로그램이 클릭이 되고 난 후, rundll32.exe 프로세스를 사용하여 infpub.dat 이라는 암호화 파일이 dispci.exe 라는 해독기 파일과 함께 드롭됩니다. 배드레빗은 동작 루틴 중 한 부분으로 3가지 파일을 사용합니다. 첫번째는 rhaegal.job 라는 파일명을 가지며 왕좌의 게임 (Game of Thrones) 이라는 제목의 파일입니다. 이 파일은 해독 파일을 실행시키기 위해서 사용됩니다. drogon.job 라는 파일은 피해자의 컴퓨터를 셧다운 시키는 역할을 합니다. 그 후 랜섬웨어는 시스템의 파일들의 암호화 과정을 진행하면서 동시에 아래와 같은 랜섬노트를 화면에 띄웁니다.


그림 3. 배드레빗 랜섬웨어의 랜섬노트

세번째 파일인 viserion_23.job 은 시스템을 두 번 재부팅 합니다. 그 후 스크린이 아래와 같은 랜섬노트로 잠기게 됩니다.


그림 4. 시스템 재부팅 후 보여지는 배드레빗 랜섬노트

초기 분석에 따르면 배드레빗은 복사본을 같은 네트워크 상에 있는 다른 컴퓨터들에 드롭시키는 방식으로 전파됩니다. 이 때 원본 파일의 이름을 그대로 사용하며 Windows Management instrumentation (WMI) 와 Service Control Manager Remote Protocol 을 이용하여 드롭된 복사본들을 실행시킵니다. Service Control Manager Remote Protocol 이 사용되면, 크리덴셜 (Credential)을 얻기 위해 사전 공격 (Dictionary attack) 을 합니다.

배드레빗이 사용하는 툴 중 하나인 오프소스 유틸리티인 Mimikats 는 크리덴셜을 추출하기 위해 쓰입니다. 또한 배드레빗이 DiskCryptor 라는 합법적 디스크 암호화 도구를 사용하는 증거를 발견할 수 있었습니다.

또 한가지 중요한 점은 페트야가 EternalBlue를 루틴의 일부로 사용하여 취약점 공격을 한 것과 다르게 배드레빗은 취약점 익스플로잇 공격을 하지 않는 다는 점입니다.

완화 및 대책

여기를 클릭하시면 배드레빗과 같은 랜섬웨어에 미리 대응하고 준비할 수 있는 방법을 보실 수 있습니다.

트렌드마이크로 솔루션

트렌드마이크로의 XGen™ Security 는 Cross-generational 의 위협 방어 기술을 제공함으로써 데이터센터, 클라우드 환경, 네트워크, 엔드포인트를 보호합니다. 또한 하이파이 머신러닝을 통해 게이트웨이와 엔드포인트데이터, 애플리케이션뿐만 아니라 물리, 가상, 클라우드를 안전하게 보호합니다. 더불어 Web/URL 필터링, 행위 분석, 사용자 지정 샌드박스 등의 기능으로 알려진 혹은 알려지지 않은 취약점 악용과 개인 식별 데이터를 도용, 강탈, 암호화하는 등 오늘날의 진화된 지능형 위협으로부터 사용자들 보호합니다. 트렌드마이크로는 하이브리드 클라우드 보안(Hybrid Cloud Security), 사용자 보호(User Protection) 그리고 네트워크 방어(Network Defense) 제품군을 더욱 강력하게 하는 기술인 XGen™ 으로 고객을 더욱 안전하게 보호합니다.

트렌드마이크로의 솔루션과 배드레빗 랜섬웨어 방어에 관한 더 자세한 내용은 여기를 클릭하시면 보실 수 있습니다.

아래는 탐지명 RANSOM_BADRABBIT.A 에 대한 SHA256 해시입니다.

  • 630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da
  • 8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93

아래는 배드레빗에 관련된 추가적인 해시입니다.

install_flash_player.exe:

  • 630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da

infpub.dat:

  • 579fd8a0385482fb4c789561a30b09f25671e86422f40ef5cca2036b28f99648
  • 141d45d650580ed4b0d0fc4b8fd5448da67b30afbe07781da02c39d345a8f4a0

dispci.exe:

  • 8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93

[원문: Bad Rabbit Ransomware Spreads via Network, Hits Ukraine and Russia]

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

루인루

2017.10.28 19:39
가입일:
총 게시물수: 1
총 댓글수: 104

정보 감사합니다

profile

덕애

2017.10.29 01:51
가입일: 2017:10.12
총 게시물수: 51
총 댓글수: 343

잘 읽었습니다. 감사합니다.

profile

이담

2017.10.29 19:07
가입일:
총 게시물수: 2
총 댓글수: 485

정보 감사합니다 !!

profile

wogus

2017.11.04 03:40
가입일:
총 게시물수: 0
총 댓글수: 2

정보 감사합니다

profile

mantoman

2017.11.07 17:51
가입일:
총 게시물수: 0
총 댓글수: 185

좋은 글 고맙습니다.

profile

mantoman

2017.12.27 16:25
가입일:
총 게시물수: 0
총 댓글수: 185

좋은자료 고맙습니다

profile

suhyou

2018.01.11 09:13
가입일:
총 게시물수: 1
총 댓글수: 784
좋은자료 고맙습니다
List of Articles
번호 제목 글쓴이 날짜 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 704
345 보안 소식 한글문서 ‘자료연결’ 기능 악용한 국내 표적 악성코드 주의 file + 3 파란하늘 11-07 446
» 보안 소식 네트워크를 통해 퍼지는 Bad Rabbit 랜섬웨어, 우크라이나와 러시아 공격 중 + 7 티오피 10-27 237
343 보안 소식 로키봇- 삭제 시도 하면 랜섬웨어로 변신하는 뱅킹 트로이목마 + 5 티오피 10-25 254
342 보안 소식 카스퍼스키, 신뢰를 얻기 위해 백신 소스 코드 공개해 + 6 티오피 10-25 255
341 보안 소식 구멍 뻥 뚫린 무선랜…사용자 대처법은 + 10 티오피 10-24 325
340 보안 소식 패치 되지 않은 마이크로소프트 DDE 익스플로잇, 광범위한 악성코드 공격에 사용 돼 + 4 티오피 10-24 200
339 보안 소식 [긴급] 신종 랜섬웨어 ‘마이랜섬’ 출현 + 4 덕애 10-21 259
338 보안 소식 풀린 자물쇠 데누보, 게임 출시 ‘하루 만에’ 줄줄이 불법복제 + 5 인어공주 10-20 260
337 보안 소식 트럼프의 DMZ 방문 두고 시끌시끌 file + 4 따봉 10-19 182
336 보안 소식 에퀴팩스 피해자 수, 1억 4,450만 명으로 늘어 file + 5 따봉 10-19 205
335 보안 소식 “ATM에 든 현금 다 뽑아내는” 멀웨어, 다크 웹에서 판매 중 file + 5 따봉 10-19 229
334 보안 소식 마인크래프트 스킨 앱에서 신종 멀웨어 ‘삭봇’ 발견 file + 5 따봉 10-19 194
333 보안 소식 보안 담당자들이여, 잠들어 있는 우뇌를 깨워라 file + 5 따봉 10-19 177
332 보안 소식 기업의 최대 위협 스피어피싱 위협 인텔리전스’로 대응하라 file + 5 따봉 10-18 169
331 보안 소식 야옹이로 옆집 와이파이 해킹할 수 있다옹 file + 5 따봉 10-18 1125
330 보안 소식 KISA 직원, 경품 당첨 위해 악성코드 빼돌렸다 적발 file + 5 따봉 10-18 176
329 보안 소식 신종 랜섬웨어 ‘마이랜섬’ 출현...제2의 케르베르 공포 시작되나 file + 5 따봉 10-18 168
328 보안 소식 하나투어’ 100만건 이어 화장품 쇼핑몰 ‘뷰티퀸’까지 고객정보 털렸 file + 5 따봉 10-18 148
327 보안 소식 가상화폐 거래소 코인이즈, 해킹 보상대책도 주소도 오리무중? + 6 빽이 10-15 259
326 보안 소식 인공지능의 위협보다 '오류 가능성' 더 걱정해야 + 5 덕애 10-14 277
325 보안 자료 고급 정보보안 강좌 + 5 덕애 10-12 314
324 보안 소식 해킹 여부는 보안사항 + 5 덕애 10-12 247
323 보안 소식 공공 와이파이 해킹 위협 높다 + 6 덕애 10-12 304
322 보안 소식 해커, 악성 코드로 ATM 기기에서 현금 인출 + 6 우오아아아웅 10-03 343
321 보안 소식 지난 4년간 개인‧정부기관에 확인된 악성코드만 19,000여 건, 매년 급증 + 4 우오아아아웅 10-03 319