[17] 메이즈 랜섬웨어 운영자들, 가상기계 설치 기능까지 활용 중

"17일째 보안뉴스 리뷰!"

 

---

 

 

오늘의 보안 뉴스는 "메이즈 랜섬웨어 운영자들, 가상기계 설치 기능까지 활용 중" 인데요,

 

악명 높은 메이즈(Maze) 랜섬웨어의 운영자들이 새로운 기술을 추가했다고 합니다.

바로 가상기계를 통해 랜섬웨어 페이로드를 배포하는 기능이라고 하는데

보안 업체 소포스(Sophos)에 의하면 메이즈는 현재 버추얼박스(VirtualBox) 디스크 이미지 파일(VDI) 형태로 배포되고 있는데,

이 VDI 파일은 윈도 MSI 파일에 포함되어 전파되는 중이라고 했다고 하네요.

---

이메이즈란 랜섬웨어가 뭐지 싶어 검색해보았는데,

www.google.com/search?q=%EB%A9%94%EC%9D%B4%EC%A6%88+%EB%9E%9C%EC%84%AC%EC%9B%A8%EC%96%B4&oq=%EB%A9%94%EC%9D%B4%EC%A6%88+%EB%9E%9C%EC%84%AC%EC%9B%A8%EC%96%B4&aqs=chrome.0.0j69i61.3631j0j7&sourceid=chrome&ie=UTF-8

꾸준히 말이 많은 랜섬웨어 이더군요..날이 갈수록 까다로워지는 것 같습니다..

 

---

 

가상기계의 경우 "추가 랜섬웨어를 삽입하기가 훨씬 편하다는 장점”을 가지고 있어 공격자들이 활용한 것으로 분석됨.

메이즈가 퍼트리는 가상 이미지의 루트에는 세 개의 파일이 저장되어 있는 것으로 나타났다.

1) preload.bat : 가상기계의 이름을 무작위로 바꾸고 피해자의 네트워크에 연결시킨다.
2) vrun.exe : 가상기계 실행 파일이다.
3) payload(파일 확장자 없음) : 메이즈 DLL 페이로드다.

그 외에 공격 지속성을 확보하기 위해 startup_vrun.bat이라는 파일이 사용되기도 했다.

 

 

메이즈 랜섬웨어는 2020년 가장 바쁜 한 해를 보내고 있는 공격 단체라고 말할 수 있을 정도로 활발하게 활동 중이며,

가치가 높은 표적들을 주로 골라 공격한다고 합니다.

피해자가 돈을 내지 않을 경우 정보를 공개하는 방식으로 전환하기도 한다니 정말 무서운 랜섬웨어죠..

 

즉 이번뉴스를 요약해보자면

1. 메이즈 운영자들, 라그나 로커라는 랜섬웨어의 공격 전략 도입함.

(라그나 로커? : www.boannews.com/media/view.asp?idx=88394&kind=&fbclid=IwAR24XlVHCrmjZtuBETTjXuaoXx345qYyU-tjuPW4STmAiR_aT_5U4Aqeceg )

 
2. 그건 바로 가상기계를 설치해, 그 안에서 랜섬웨어를 실행시키는 것.

3. 보통 보안 솔루션들, 가상기계 내부까지는 들여다보지 않음.

 

www.boannews.com/media/view.asp?idx=91313

메이즈 랜섬웨어 운영자들, 가상기계 설치 기능까지 활용 중

▲ 보안뉴스 자세히 보기