랜섬웨어는 최근 몇 년 동안 큰 혼란을 야기하고 있습니다.
최근 유출된 NSA EternalBlue 익스플로잇 덤프는 사이버 범죄자들이 WannaCry 랜섬웨어를 전 세계적으로 유포하는 데 사용됩니다. MS-17-010 Windows OS 취약점 덤프는 악명 높은 Shadow Broker 그룹에 의해 14년 2017월 2017일 공개되었습니다. 이 취약점은 대부분의 Microsoft Windows 데스크톱 및 서버 에디션에 영향을 미치며, Microsoft는 XNUMX년 XNUMX월에 해당 패치를 배포했습니다. 그러나 이 패치를 적용하지 않은 시스템은 네트워크의 취약한 시스템에 영향을 미치는 웜과 유사한 동작을 사용하는 WannaCry 랜섬웨어의 영향을 받습니다.
전 세계적으로 혼란을 야기하는 WannaCry
이 랜섬웨어는 이미 스페인, 영국, 중국, 그리고 인도를 포함한 여러 국가의 유명 기관들을 공격했습니다. 영국의 병원과 의원, 통신, 가스, 전기 및 기타 공공 서비스 제공업체들이 여기에 포함됩니다. 중국의 여러 대학들도 공격을 받았습니다.
퀵힐 보안 연구소에서는 지금까지 3000건 이상의 워너크라이 랜섬웨어 공격을 탐지했으며, 그중 약 2450건이 인도에서 발생했습니다. 퀵힐과 Seqrite 데이터 침해 및 암호화 공격으로부터 이러한 사례들을 성공적으로 방어해 왔습니다.
WannaCry 랜섬웨어는 어떻게 작동하나요?
시스템이 SMB 서비스를 통해 네트워크에 연결될 때 공격이 발생합니다. 이러한 서비스는 "EternalBlue" 익스플로잇에 의해 공격받고 악용되며, WannaCry 랜섬웨어를 심어 실행 후 파일을 암호화합니다. 파일이 암호화되면 모든 암호화된 파일에 ".WNCRY" 확장자가 추가됩니다.
이미지 1: WannaCry 랜섬웨어로 암호화된 파일
성공적으로 악용되면 아래 파일이 시스템에 추가됩니다.
- C:\프로그램데이터\ \@WanaDecryptor@.exe
- C:\프로그램데이터\ \tasksche.exe
- C:\프로그램데이터\ \taskdl.exe
- C:\프로그램데이터\ \taskse.exe
WannaCry는 시스템에 지속성을 부여하기 위해 아래의 악성 레지스트리 항목을 추가하여 시스템이 재부팅될 때마다 감염을 시작할 수 있습니다.
- [HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run]
- “xwjfzbtm432″="\”C:\\ProgramData\\ \\tasksche.exe\””
암호화가 성공적으로 완료되면 아래 경고 메시지가 표시되고 파일 복구 지침이 안내됩니다. 카운트다운 타이머는 피해자가 요구한 몸값을 지불하도록 유도하기 위해 표시됩니다. 그렇지 않으면 암호화된 모든 데이터가 삭제될 것이라고 위협합니다. WannaCry는 현재 지역 언어로 랜섬웨어 경고 메시지를 표시합니다.
이미지 2: WannaCry 랜섬웨어 경고 메시지
방법 Seqrite 엔드포인트 보안이 워너크라이 랜섬웨어로부터 보호해 줄 수 있나요?
Seqrite 바이러스 보호 파일 암호화를 담당하는 악성 파일 "TrojanRansom.Wanna"를 성공적으로 탐지하고 치료합니다.
이미지 3 : Seqrite 바이러스 보호 경고 메시지
Seqrite 고급 행동 감지 시스템 랜섬웨어 활동을 사전에 감지하여 해당 동작을 성공적으로 수행합니다. 이 경우 사용자는 "차단" 버튼을 클릭하여 암호화 활동을 중단해야 합니다.
이미지 4 : Seqrite 고급 행동 기반 탐지 프롬프트
Seqrite 랜섬웨어 방지 이 기술은 또한 WannaCry 랜섬웨어의 파일 암호화 활동을 성공적으로 감지합니다.
이미지 5 : Seqrite 랜섬웨어 방지 프로그램이 암호화 활동을 감지합니다.
랜섬웨어 공격을 줄이기 위한 권장 사항:
Quick Heal Security Labs에서는 WannaCry 랜섬웨어 감염 위험을 줄이기 위해 다음 조치를 취할 것을 적극 권장합니다.
- 이 랜섬웨어가 사용하는 취약점에 대한 패치를 적용하세요 Microsoft에서
- 중요한 데이터를 정기적으로 백업하고, 백업 복원 프로세스를 주기적으로 점검하여 파일이 제대로 복원되는지 확인하세요.
- 모든 네트워크 노드에서 보안 솔루션이 활성화되어 있는지 확인하세요.
- 설치된 보안 소프트웨어를 항상 최신 서명 업데이트로 최신 상태로 유지하세요.
- 설치된 보안 소프트웨어를 사용하여 전체 시스템 검사를 수행합니다.
- 알 수 없거나 의심스러운 출처에서 온 이메일의 링크를 클릭하거나 첨부 파일을 열지 마세요.
승인:
해당 분야 전문가 –
프라실 문과 디팔리 주레
퀵힐 보안 랩스
