2022-01-07 Fri

1. 새로운 랜섬웨어 Night Sky 등장

Reference: https://www.boannews.com/media/view.asp?idx=103972&page=1&mkind=1&kind=

12월 27일 처음 발견되었으며, 기업의 네트워크에 침투해 데이터를 유출하고 암호화한다. 먼저 데이터를 빼돌린 후, 돈을 지불하지 않으면 암호화 하는 전형적인 방식을 사용하고 있다.

.dll 또는 .exe 파일 확장자를 제외한 모든 파일을 암호화하며, 아래 파일이나 폴더는 암호화 하지 않는다.

AppData
Boot
Windows
Windows.old
Tor Browser
Internet Explorer
Google
Opera
Opera Software
Mozilla
Mozilla Firefox
$Recycle.Bin
ProgramData
All Users
autorun.inf
boot.ini
bootfont.bin
bootsect.bak
bootmgr
bootmgr.efi
bootmgfw.efi
desktop.ini
iconcache.db
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
Program Files
Program Files (x86)
#recycle

파일이 암호화되면 .nightsky 확장자로 변경된다. NightSkyReadMe.hta 파일에 유출된 정보, 연락처, 하드코딩된 크리덴셜등이 담겨있다. 또 피해자와 협상하기 위해 Tor를 사용하지 않고, Rocket.Chat을 사용한다.

2. 카카오계정 피싱메일

Reference: https://www.boannews.com/media/view.asp?idx=103973

APT 공격 성향을 가지고 있는 카카오 계정 위장 피싱 메일이 유포되고 있다. 카카오 계정 이용자 보호상태로 변경되어 보호 해제가 필요하다는 내용의 메일이며, 보호 해제하기 버튼을 눌렀을 때 피싱 사이트로 넘어가게 된다. 실제 입력한 정보들과 메일 수신자 계정, OS 정보, 브라우저 정보 등의 데이터가 공격자 서버로 넘어가게 된다.