2023년 XNUMX월부터 파일을 암호화하기 위해 ".malox" 파일 확장자를 추가하는 랜섬웨어 사건이 급증하는 것을 확인했습니다. 이 랜섬웨어는 Mallox(일명 TargetCompany) 랜섬웨어 계열의 변종으로 확인되었습니다.
"File Recovery.txt"라는 랜섬웨어 관련 메모가 공격 중에 삭제되었습니다. 이 메모에는 공격자와의 통신을 위한 Onion 링크가 포함되어 있으며, 이를 통해 복호화를 진행할 수 있습니다.
TOR 브라우저를 실행하고 사이트를 엽니다: wtyafjyhwqrgo4a45wdvvwhen3cx4euie73qvlhkhvlrexljoyuklaad.onion/mallox/privateSignin
저희 연구에 따르면 Mallox(일명 TargetCompany) 랜섬웨어는 보안이 취약한 Microsoft SQL Server를 공격 대상으로 삼아 피해자 시스템에 침투하고 랜섬웨어를 배포합니다. 또한 공격자는 공개적으로 노출된 MSSQL 인스턴스에 대해 무차별 대입 공격을 사용하여 피해자 네트워크에 초기 접근 권한을 획득합니다.
MSSQLServer 환경에서 'sqlservr.exe'와 관련된 의심스러운 명령줄 활동이 발견되었습니다. 이러한 발견을 바탕으로, 고객 여러분께 이러한 잠재적 위협으로부터 더욱 안전하게 보호하기 위해 최선의 보안 수칙을 준수하도록 교육하실 것을 강력히 권고드립니다.
Mallox 랜섬웨어 공격을 방지하려면 Microsoft SQL Server 인스턴스를 안전하게 보호하는 것이 매우 중요합니다. SQL Server 환경의 보안을 강화하려면 다음 권장 단계를 따르십시오.
- 방화벽 보호/액세스 제한: 방화벽을 사용하여 SQL 서버 접근을 제한하세요. 신뢰할 수 있는 네트워크 및 IP에서 들어오는 트래픽만 허용하세요. 특히, 권한이 있는 사용자를 제외하고 1433번 포트에서 들어오는 트래픽을 차단하세요.
- 기본 포트 변경: 해커의 주요 공격 대상이므로 인터넷을 통해 기본 포트(1433)에서 SQL 서버를 노출하지 마십시오. 원격으로 SQL 서버에 접속할 때는 VPN과 같은 보안 연결을 사용하는 것이 좋습니다.
- 안전한 계정 관리: 'sa'(시스템 관리자) 계정을 비활성화하거나 강력하고 고유한 비밀번호를 설정하여 무단 접근 위험을 최소화하세요. sa 계정은 높은 권한을 가지고 있습니다.
- 강력한 암호: 모든 SQL 로그인에 강력하고 고유한 비밀번호를 적용하세요. 대문자, 소문자, 숫자, 특수 문자를 사용하여 비밀번호 보안을 강화하세요.
- 계정 잠금 정책: 여러 번 실패하면 SQL Server 로그인을 일시적으로 차단하는 계정 잠금 정책을 구현하세요. 이렇게 하면 무차별 대입 공격을 방지할 수 있습니다.
- SQL CLR 어셈블리 감사: 필수적이지 않은 SQL CLR 어셈블리를 검토하고 비활성화하십시오. 잠재적인 취약점을 완화하기 위해 중복된 어셈블리를 정기적으로 평가하고 제거하십시오.
- 전송 중 데이터 암호화: 클라이언트와 SQL 서버 간의 데이터 전송 시 SSL/TLS 프로토콜을 사용하여 데이터를 암호화하세요. 이를 통해 잠재적인 도청 및 데이터 가로채기를 방지할 수 있습니다.
- SQL Server 활동을 주시하세요: SQL Server 감사 기능을 활용하여 SQL Server 인스턴스 내의 모든 작업을 꼼꼼하게 추적하고 기록하세요. 이러한 활동을 적극적으로 모니터링하여 잠재적인 보안 위험을 신속하게 감지하고 해결할 수 있습니다.
- 최신 정보 유지: SQL Server 인스턴스, 운영 체제 및 기타 설치된 애플리케이션에 최신 업데이트와 패치를 정기적으로 적용하세요. 이렇게 하면 알려진 취약점을 완화하고 지속적인 보안을 유지하는 데 도움이 됩니다.
랜섬웨어 사고 중 공유 데이터에 미치는 영향
네트워크상의 공유 파일도 영향을 받는 랜섬웨어 공격 사례가 여러 차례 반복되는 것을 확인했습니다. 보안 소프트웨어가 개별 컴퓨터를 보호하더라도, 공유 데이터를 통해 파일이 변경될 수 있다는 우려는 여전히 큽니다.
네트워크 내 공유 데이터 손상을 최소화하기 위한 예방 조치:
- 공유 폴더에 대한 액세스 제한: 네트워크 분리를 통해 공유 폴더에 대한 접근 권한을 필요한 사람으로만 제한하세요. 강력한 접근 제어를 적용하여 권한이 있는 사용자만 네트워크의 공유 데이터를 변경할 수 있도록 하세요.
- 정기적인 데이터 백업: 공유 데이터를 안전하고 격리된 장소에 지속적으로 백업하십시오. 데이터 무결성을 검증하고 공격 발생 시 신속한 데이터 복구 프로세스를 보장하기 위해 백업을 정기적으로 테스트하십시오.
- 예약된 오프라인 백업: 라이브/온라인 백업을 암호화하려는 랜섬웨어 공격으로부터 보호하기 위해 중요한 공유 데이터의 오프라인 백업을 유지하세요.
이러한 예방 조치를 준수함으로써 Microsoft SQL Server 인스턴스를 표적으로 삼는 Mallox 랜섬웨어 공격의 위험을 크게 줄이고 환경의 전반적인 보안 태세를 강화할 수 있습니다.
퀵힐은 어떻게 작동하나요?SEQRITE Mallox 랜섬웨어로부터 고객을 보호할 수 있을까요?
빠른 회복/SEQRITE 안티바이러스 소프트웨어는 공격에 사용된 다양한 스크립트 파일과 랜섬웨어 페이로드에 대한 시그니처를 보유하고 있습니다. 아래는 해당 랜섬웨어에 대한 시그니처입니다.
- 말록스.S28994722
- 다운로더.박스터.47436
- 에이전트.CQ
- Trojan-Downloader.A8341828
- 스크립트.트로이.A8269601
