블로그

Jan 02, 2024

스페인, LockBit Locker 랜섬웨어 피싱 공격 경고

스페인 경찰이 피싱 이메일을 통해 스페인 건축 회사를 표적으로 삼아 진행 중인 'LockBit Locker' 랜섬웨어 캠페인에 대해 경고했습니다. "이메일을 보내는 물결이

스페인 경찰이 피싱 이메일을 통해 스페인 건축 회사를 표적으로 삼아 진행 중인 'LockBit Locker' 랜섬웨어 캠페인에 대해 경고했습니다.

기계 번역된 경찰 발표에는 "건축 회사에 이메일을 보내는 물결이 감지되었지만 다른 분야로 활동을 확대할 가능성도 배제되지 않습니다."라고 적혀 있습니다.

"피해자들은 단말기 암호화를 겪기 전까지는 아무것도 의심하지 않기 때문에 탐지된 캠페인은 매우 정교합니다."

스페인 사이버 경찰은 존재하지 않는 도메인인 'fotoprix.eu'에서 다수의 이메일이 사진 회사를 사칭하여 전송되는 것을 적발했습니다.

위협 행위자는 새로 오픈한 사진 가게인 것처럼 가장하여 건축 회사에 시설 개조/개발 계획과 작업 비용 견적을 요청합니다.

신뢰를 구축하기 위해 여러 이메일을 교환한 후 LockBit 운영자는 건물 프로젝트의 예산과 세부 사항을 논의하기 위해 회의 날짜를 지정하고 정확한 개조 사양에 대한 문서가 포함된 아카이브를 보낼 것을 제안합니다.

스페인어 폴란드어는 기술적인 세부 사항을 많이 제공하지 않지만 BleepingComputer에서 확인한 샘플에서 이 아카이브는 최신 버전의 Windows에서 열 때 자동으로 파일을 드라이브 문자로 마운트하고 표시하는 디스크 이미지(.img) 파일입니다. 그 내용.

이러한 아카이브에는 수많은 Python 파일, 배치 파일 및 실행 파일이 포함된 'fotoprix'라는 폴더가 포함되어 있습니다. 이 아카이브에는 실행 시 악성 Python 스크립트를 실행하는 'Caracteristicas'라는 Windows 바로 가기도 포함되어 있습니다.

BleepingComputer의 분석에 따르면 실행된 Python 스크립트는 사용자가 장치의 관리자인지 확인하고, 그렇다면 지속성을 위해 시스템을 수정한 다음 'LockBit Locker' 랜섬웨어를 실행하여 파일을 암호화하는 것으로 나타났습니다.

Windows 사용자가 장치의 관리자가 아닌 경우 Fodhelper UAC 우회를 사용하여 관리자 권한으로 랜섬웨어 암호화기를 실행합니다.

스페인 경찰은 이러한 공격의 "매우 높은 수준의 정교함"을 강조하며, 특히 피해자가 건축 프로젝트 세부 사항을 논의하는 데 진정으로 관심이 있는 개인과 상호 작용하도록 설득하는 의사소통의 일관성에 주목합니다.

랜섬웨어 집단은 악명 높은 LockBit 랜섬웨어 활동과 연관되어 있다고 주장하지만, BleepingComputer는 이 캠페인이 유출된 LockBit 3.0 랜섬웨어 빌더를 사용하는 다양한 위협 행위자들에 의해 수행되고 있다고 믿고 있습니다.

일반 LockBit 작업은 Tor 협상 사이트를 통해 협상하는 반면, 이 'LockBit Locker'는 이메일 '[email protected]' 또는 Tox 메시징 플랫폼을 통해 협상합니다.

또한 Intezer 스캐닝 엔진의 자동 분석을 통해 랜섬웨어 실행 파일이 BlackMatter로 식별됩니다. 이 랜섬웨어 작업은 2021년에 종료되고 나중에 ALPHV/BlackCat으로 브랜드가 변경됩니다.

그러나 이는 LockBit Black이라고도 알려진 유출된 LockBit 3.0 빌더가 BlackMatter 소스 코드를 사용하여 Intezer에 의해 BlackMatter로 식별되었기 때문에 이는 예상된 것입니다.

BleepingComputer가 보고한 피싱 이메일 및 사회 공학의 정교함을 고려할 때 이 캠페인의 배후에 있는 위협 행위자는 다른 부문의 기업을 대상으로 다양한 미끼를 사용하고 있을 가능성이 높습니다.

피싱 행위자들은 민간 기업이나 정부 기관을 사칭하고 메시지의 정당성을 확신시키기 위해 잘 만들어진 문서를 사용하는 캠페인에서 "입찰 요청" 미끼를 광범위하게 사용했습니다.

악명 높은 랜섬웨어 집단이 초기 감염을 위해 유사한 관행을 채택하는 것은 걱정스러운 발전입니다. 합법적인 고객으로 가장하면 표적의 피싱 방지 교육과 같은 장애물을 극복하는 데 도움이 될 수 있기 때문입니다.

해킹 캠페인으로 Cisco VPN을 무차별 공격하여 네트워크 침해

"화난 개발자"에 의해 온라인으로 유출된 LockBit 랜섬웨어 빌더

랜섬웨어의 한 주 - 2023년 8월 18일 - LockBit on Thin Ice