Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

쉬지 않는 랜섬웨어, 이번엔 변조된 압축 파일로!


최근 또 다시 이력서 파일로 위장한 압축 파일(.zip)을 이용해 유포되는 랜섬웨어가 확인됐다. 그러나 기존과 달리 첨부한 압축 파일의 헤더 정보를 변조해 압축 해제 전 미리보기 시 변조된 정보가 보이도록 하는 치밀함을 더했다. 

 

이번에 확인된 랜섬웨어는 [그림 1]과 같이 제목과 첨부 파일의 이름의 글자 중 일부가 비정상적으로 보이는, 즉 일부 글자가 깨진 이메일을 통해 유포되었다. 

 

 1807112938538710.JPG

[그림 1] 일부 글자가 깨진 채 유포된 이메일

 

문자 인코딩 변경을 통해 해당 이메일을 확인하면 비정상적으로 보였던 일부 문자가 정상적으로 나타나는데, [그림 2]와 같이 이력서 제출과 관련된 것으로 위장한 이메일 제목과 제출자로 위장한 이름 등의 정보가 보인다. 

 

 1807112938699498.JPG 

[그림 2] 문자 인코딩 변경을 거쳐 확인한 이메일 제목 및 첨부 파일 이름

 

그런데, 이 메일에 첨부된 압축 파일을 해제하면 헤더 오류가 발생한다. 해당 압축 파일의 헤더 정보가 변조되었기 때문이다. 이로 인해 압축 프로그램에 따라 해당 파일의 미리보기 정보가 각기 다르게 표시된다. 압축 파일을 해제하기 전에 미리보기 기능을 이용해 꼼꼼히 확인하는 사용자마저 속이기 위한 것이다.

 

[그림 3]에서 볼 수 있는 것처럼, 어떤 압축 프로그램에서는 해당 파일이 mp3 파일로 표시되지만 다른 압축 프로그램에서는 자바 스크립트 파일로 표시된다. 공격자가 해당 압축 파일의 헤더 정보를 mp3로 변경해두었기 때문이다. 

 

 1807112938914606.JPG 

[그림 3] 압축 프로그램에 따라 다르게 표시되는 미리보기 정보

 

실제로 첨부된 파일은 난독화된 스크립트 파일(.js)로, 이 스크립트는 아래와 같은 기능을 수행하는 것으로 확인됐다.

- 특정 URL 접근

- 특정 URL에서 받은 정보를 이용해 Temp 경로에 ‘9자리 랜덤문자열.exe’ 파일 생성

- 감염 PC의 관리자 권한으로 스크립트 파일 실행(Windows Vista 이상, OS 커널 버전 NT 6/10)

- 스크립트 파일 자가 삭제 등 

 

이 난독화된 악성 스크립트가 특정 URL에서 다운로드하여 생성하는 파일은 갠드크랩 랜섬웨어로, 감염 PC의 파일을 암호화한 후 파일의 확장자를 .CRAB로 변경한다. 

 


이번 사례에서 볼 수 있는 것처럼, 최근 보안에 관심이 많은 사용자들이 늘어나면서 악성코드 제작자는 공격 성공률을 높이기 위해 다양한 기법을 이용해 더욱 치밀하게 공격을 가하고 있다. 따라서 일반 사용자는 물론, 평소 악성코드 감염을 방지하기 위해 노력하는 사용자들도 각별한 주의가 필요하다. 특히 이메일 제목이나 본문, 첨부 파일에 호기심을 자극하는 내용이 있을 경우 우선 경계하는 것이 바람직하다. 

 

이와 함께 OS 및 주요 프로그램의 최신 보안 업데이트를 적용하고 V3 등 백신의 엔진 버전을 최신 상태로 유지하고 실시간 검사 기능을 이용하는 등 기본적인 보안 수칙은 반드시 지키는 것이 좋다. 

 

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­
엮인글 :

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

블루노트

2018.07.12 09:10
가입일: 2018:10.04
총 게시물수: 2
총 댓글수: 664
랜섬웨어는 계속 업그레이드 되는군요 조심해야 할 듯요
profile

귀여운어흥이

2018.07.13 00:36
가입일: 2018:04.12
총 게시물수: 8
총 댓글수: 174
랜섬 제대로 걸리면 포맷해야하는경우가 많아서 각별이 메인 백신과 랜섬전용제품과 최신원도우 유지가 답인듯하내요
profile

관필선생

2018.07.13 10:41
가입일: 2019:07.01
총 게시물수: 3
총 댓글수: 72
정보 감사합니다.
profile

엔냐

2018.07.13 16:40
가입일: 2018:04.24
총 게시물수: 66
총 댓글수: 493
항상 조심이 최고입니다
profile

JCOM

2018.07.15 14:49
가입일: 2017:09.23
총 게시물수: 0
총 댓글수: 3
윈도우10은 막힌다던데 안될려나..
profile

124124ㄹㄹ2

2018.07.19 12:49
가입일: 2018:07.19
총 게시물수: 0
총 댓글수: 38
조심또조심
profile

병아리

2018.08.05 01:46
가입일: 2018:09.20
총 게시물수: 9
총 댓글수: 119
랜섬웨어 정말 무서워여 조심 또 조심
List of Articles

일반정보 아래아 한글에서 안중근 한자변환 한 번에 안되고 이완용은 된다네요. 근데 이유가 있어요. file

이 기사 한 번 보세요. http://www.insight.co.kr/news/169412 지금은 들어가면 이 내용을 지웠는지 없습니다. 한글 정품 계속 구입했는데 구입을 하지 말아야 할...

  • 등록일: 2018-08-03

1216

VIEWS

20

COMMENTED

기타정보 구글링도 옛말, 이젠 ‘동영상 검색’의 시대!

구글링도 옛말, 이젠 ‘동영상 검색’의 시대! 연일 폭염으로 가마솥더위가 이어지는 요즘, 회사원 A씨는 곧 다가올 여름휴가를 희망 삼아 퇴근 후 지친 몸을 소파...

  • 등록일: 2018-08-03

501

VIEWS

2

COMMENTED

일반정보 새 CPU버그 '넷스펙터', 코드 설치 없이 공격 file

네트워크를 통해 원격으로 컴퓨터 시스템의 메모리를 빼돌릴 수 있는 중앙처리장치(CPU) 보안허점이 발견됐다. 이를 발견한 보안 전문가들은 '넷스펙터(NetSpectr...

  • 등록일: 2018-07-30

810

VIEWS

12

COMMENTED

MS소식 MS "윈도10 사용 중 업데이트 없앤다" file

MS "윈도10 사용 중 업데이트 없앤다" 머신러닝 이용해 자리 비웠을 때 업데이트 않도록 조치 사용 중이던 컴퓨터가 윈도 업데이트 때문에 재부팅되는 일이 없어...

  • 작성자: Op
  • 등록일: 2018-07-27

1367

VIEWS

24

COMMENTED

윈도정보 치열한 갠드크랩 랜섬웨어 추격전! 암호화 차단에 변종으로 맞불

치열한 갠드크랩 랜섬웨어 추격전! 암호화 차단에 변종으로 맞불 모든 이들을 지치게 하는 기록적인 무더위가 계속되고 있는 가운데, 악성코드 분석가들은 3주 가...

  • 등록일: 2018-07-26

452

VIEWS

4

COMMENTED

윈도정보 윈도10 메모장이 편리해진다

컴퓨팅 윈도10 메모장이 편리해진다하반기 대형 업데이트 레드스톤5 메모장 업그레이드 임민철 기자 입력 : 2018.07.17.10:05 수정 : 2018.07.17.10:05 44  윈도 ...

  • 등록일: 2018-07-19

2014

VIEWS

27

COMMENTED

윈도정보 동영상 다운로드 하려다 랜섬웨어까지?!

동영상 다운로드 하려다 랜섬웨어까지?! 최근 유명 포털 사이트에 ‘○○○ 동영상 다운’ 또는 ‘○○○ 다운로드’라고 검색할 때 검색되어 나타나는 웹사이트들 중에 랜...

  • 등록일: 2018-07-19

1102

VIEWS

14

COMMENTED

윈도정보 July 16, 2018—KB4345421 (OS Build 17134.166)

July 16, 2018—KB4345421 (OS Build 17134.166)적용 대상: Windows 10, version 1803 Improvements and fixes This update includes quality improvements. No ne...

  • 등록일: 2018-07-17

558

VIEWS

4

COMMENTED

윈도정보 "Microsoft Windows 10 October 2018 Update"

Windows 10, 레드스톤5(RS5)의 정식 명칭은 "Microsoft Windows 10 October 2018 Update" 아직 확실치는 않지만 아마도 이렇게 되지않을까 싶네요...   RS5 = "Mi...

  • 등록일: 2018-07-17

537

VIEWS

9

COMMENTED

윈도정보 MS 차기 윈도 "생체정보로 원격인증 지원"

MS 차기 윈도 "생체정보로 원격인증 지원"임민철 기자 입력 2018.07.16. 12:02 수정 2018.07.16. 12:07 댓글 16개 윈도10 차기 업데이트 시험판에..로그인 관련 ...

  • 등록일: 2018-07-16

446

VIEWS

6

COMMENTED

일반정보 더욱 교묘하게, 피싱의 귀환!

더욱 교묘하게, 피싱의 귀환! 개인, 기업을 막론하고 지난 몇 년 간 랜섬웨어라는 보안 위협에 시달린데 이어 최근에는 가상화폐 채굴 악성코드에 시달리고 있다....

  • 등록일: 2018-07-12

871

VIEWS

23

COMMENTED

윈도정보 쉬지 않는 랜섬웨어, 이번엔 변조된 압축 파일로!

쉬지 않는 랜섬웨어, 이번엔 변조된 압축 파일로! 최근 또 다시 이력서 파일로 위장한 압축 파일(.zip)을 이용해 유포되는 랜섬웨어가 확인됐다. 그러나 기존과 ...

  • 등록일: 2018-07-12

630

VIEWS

7

COMMENTED

일반정보 인텔CPU 대란 오나 "웨이퍼 없어 못만든다" file

이르면 오는 8월부터 인텔 프로세서 생산에 차질이 생길 수 있다는 '인텔 프로세서 수급 대란설'이 PC 업체 관계자들 사이에서 대두되고 있다. 일부 제조사는 최...

  • 등록일: 2018-07-09

1024

VIEWS

18

COMMENTED

IT정보 그래픽카드 7월에 사야하나? 채굴 수요 급감에 20% 하락 전망

그래픽카드 가격 하락이 좀 더 구체화 되고 있다. 혼돈에 빠진 가상화폐 채굴 시장이 그래픽카드 수요를 약화 시키면서 재고 부담을 견디지 못한 공급 업체들이 ...

  • 등록일: 2018-07-02

1645

VIEWS

30

COMMENTED

기타정보 파워렉스 부도설....역사 속으로 사라지나

10여년전 국산 SUN파워가 문을 닫고 국산 파워제조사로사 명맥을 유지하던 파워렉스가...... 아래원문 참고 바랍니다. http://dpg.danawa.com/news/view?boardSe...

  • 등록일: 2018-06-28

1411

VIEWS

32

COMMENTED