회사소개

제품

안내

고객지원

Company

Product

Information

Support

Thông tin về công ty

Sản phẩm

Thông tin

Hỗ trợ chung

공지사항

제목 작성일
[긴급] 사상 최악 랜섬웨어! WannaCry Ransomware 현재 전세계로 확산중...한국도 피해
wannacry infection map WannaCry (일명 WannaCryptor, 일명 WanaCyptor, 일명 WCry)라고 불리는 새로운 랜섬웨어 타입은 지금까지 전 세계 74 개국에서 5 만 7000 가지 이상의 컴퓨터를 감염 시켰습니다. Avast 악성 코드 연구자 인 Jakub Kroustek에 따르면 대부분의 악성코드 배포는 러시아, 우크라이나, 인도 및 대만에서 이루어지고 있습니다. 무자비한 공격 분배 Kaspersky Lab 포럼 사용자는 WannaCry ransomware가 러시아 내무부의 내부 컴퓨터 시스템과 러시아 조사위원회에 침투 할 수 있었다.  2017 년 2 월에 처음 등장했지만 지금은 업데이트되어 이전 버전과 다르게 보인다고 보고합니다. 스페인의 컴퓨터 응급 대응 팀 CCN-CERT는 몇군데의 스페인 기관에도 대규모 랜섬웨어 공격이 발생한 것에 대한 경고를 자체 웹사이트에 게시했습니다. 영국의 국립 보건 서비스 (National Health Service, NHS)도 경보를 발령하고  16 개 의료기관에서 감염을 확인했습니다. WannaCry 공격은 Microsoft Windows OS에서 SMBv2 원격 코드 실행을 사용하여 시작됩니다. EternalBlue는 2017 년 4 월 14 일 Shadowbrokers 덤프를 통해 공개적으로 사용할 수있게되었으며, 3 월 14 일에는 Microsoft에서 패치를 적용했습니다. 그러나 많은 회사와 공공 기관에서는 아직 해당 시스템에 패치를 설치하지 않았습니다. Ransomware는 파일을 암호화하고 여러 언어로 여러 개의 Ransomware  경고 메모를 발송합니다. WannaCry는 Bitcoin 으로  300 달러를 지불 할 것을 요구합니다. WannaCry 바이러스는 3 일 후에 지불 금액이 증가하고 희생자가 7 일 후에 개인 파일을 완전히 잃을 것이라는 타이머 카운트 다운 경고를 표시합니다. wannacry ransom demand 이 Ransomware는 또한 몸값을 지불하는 방법과 해독기 를 얻는 방법에 대한 메시지로 피해자의 바탕화면을 변경합니다. wannacry ransom note WannaCry 제작자가 사용하는 Bitcoin 의 거래 통계에 따르면 피해자 중 일부가 이미 몸값을 지불 한 것으로 나타났습니다. WannaCry ransomware가 대상으로하는 파일 확장자는 다음과 같습니다.
  • 일반적으로 사용되는 Office 파일 확장명 (.ppt, .doc, .docx, .xlsx, .sxi).
  • 아카이브, 미디어 파일 (.zip, .rar, .tar, .bz2, .mp4, .mkv).
  • 이메일 및 이메일 데이터베이스 (.eml, .msg, .ost, .pst, .edb).
  • 데이터베이스 파일 (.sql, .accdb, .mdb, .dbf, .odb, .myd).
  • 개발자의 소스 코드 및 프로젝트 파일 (.php, .java, .cpp, .pas, .asm).
  • 암호화 키 및 인증서 (.key, .pfx, .pem, .p12, .csr, .gpg, .aes).
  • 그래픽 디자이너, 예술가 및 사진 작가 파일 (.vsd, .odg, .raw, .nef, .svg, .psd).
  • 가상 시스템 파일 (.vmx, .vmdk, .vdi).
WannaCry 감염을 방지하는 방법
1. 모든 호스트가 엔드 포인트 맬웨어 방지 솔루션을 활성화했는지 확인하십시오. 2. 이 랜덤웨어 공격에 사용 된 SMB 서버 취약점을 닫는 공식 Windows 패치 ( MS17-010 ) 를 설치하십시오 . 3. 모든 시스템을 검사하십시오. 맬웨어 공격을 MEM : Trojan.Win64.EquationDrug.gen으로 탐지 한 후 시스템을 다시 부팅하십시오. MS17-010 패치가 설치되어 있는지 확인하십시오 . 4. 중요한 데이터를 외장 하드 드라이브 또는 클라우드 스토리지 서비스에 백업하십시오. [출처 : https://malwareless.com/wannacry-ransomware-massively-attacks-computer-systems-world] 셰도우브로커스가 4월 공개한 익스플로잇 툴에 기반을 둔 공격 MS는 이미 패치 발표...결국 사용자가 패치 적용하지 않아 당해 워너크라이(Wanna Cry)라는 이름의 랜섬웨어가 이미 74개국에서 4만 5천 번의 공격을 감행했으며 피해가 속출하고 있다. 영국에서는 병원들이 제법 당하기까지 했다는 소식이다. 카스퍼스키는 트위터를 통해 “감염이 빠르게 전 세계로 확산하고 있다”고 경고했다. 워너 디크립터에 당한 국가에는 영국, 스페인, 러시아, 대만, 인도, 우크라이나 등이 있다. 우리나라에서도 감염 피해가 속속 보고되고 있다. 서울의 한 대학병원에서도 랜섬웨어 감염 피해가 발생한 것으로 알려졌다. 보안 전문가들에 의하면 이번 랜섬웨어 공격은 서버 메시지 블록(Sever Message Block, SMB)에 존재하는 치명적인 취약점을 익스플로잇 한다. 해당 취약점은 마이크로소프트가 3월 14일 이미 패치를 배포한 바 있다. 이 제로데이 취약점은 셰도우 브로커스(Shadow Brokers)가 최초로 NSA의 해킹 툴이라며 공개한 문건에 포함되어 있었으며, 이 툴은 이터널블루(ETERNALBLUE)라고도 불린다. “이렇게까지 전 세계적으로 급작스럽게 번진 사이버 공격은 여태껏 없었습니다. 이 정도 규모는 사상 최초예요. 한 해킹 집단이 공개한 이터널블루 때문에 이러한 일이 가능해진 건데, 이미 마이크로소프트가 패치를 발표했다고는 하지만 모든 사용자가 이 패치를 다 적용한 건 아니죠.” 카스퍼스키의 위협 분석 팀 부회장인 커트 봄가트너(Kurt Baumgartner)의 설명이다. 또 다른 보안 업체인 어베스트의 블로그 포스트에 의하면 현재 스페인의 통신사인 텔레포니카(Telefonica)와 영국의 국립건강서비스(National Health Service) 소속 병원들이 이 랜섬웨어에 감염되었다고 한다. 여러 대형 병원이 마비된 영국의 피해가 현재 가장 심각한 상태인데, 영국의 일간지인 가디언지에 의하면 현재 병원들은 긴급한 환자들을 다른 병원으로 이송시키느라 진땀을 빼고 있는 것으로 알려졌다. 영국 NHS 병원들이 공격을 받은 건 점심 시간 즈음부터였다고 한다. 제일 처음 이상 신호가 온 건 직원들의 이메일 서버에서부터였다. 뭔가 작동이 잘 되지 않는가 싶더니, 곧바로 의료 시스템과 환자 보호 시스템들이 차례로 다운되기 시작했다. 곧이어 협박 편지가 병원 직원들의 컴퓨터 화면에 도착했다. 3일 안에 30만원에 해당하는 비트코인을 내라는 내용이었다. 기한을 어길 때마다 돈은 두 배씩 늘어난다고까지 말했다. 일주일 동안 돈을 내지 않으면 다시는 해당 파일들을 볼 생각 하지 말라는 내용도 있었다. NHS는 곧바로 경고를 전파했고, 현황 파악에 나섰다. 그 결과 16개의 의료센터들이 공격에 당한 것을 알아냈다. 유럽의 또 다른 곳 스페인에서도 비슷한 일이 발생했다. 대형 통신사인 텔레포니카가 당했다. “아마도 누군가 합동으로 이런 공격을 총지휘하고 있는 것으로 보입니다. 보통 뭔가 조직적인 공격들은 특정 인물이나 조직, 산업을 노리는 편인데 이번 랜섬웨어 공격은 표적형 공격이라 보기도 힘들고, 산업과 지역을 가리지 않는 듯 한 모습입니다. 그럼에도 기업 네트워크 내의 치명적인 취약점을 집요하게 노립니다.” 보안 업체 브로미움(Bromium)의 CTO인 시몬 크로스비(Simon Crosby)의 설명이다. “물론 패치는 되었지만 비교적 최신의 취약점을 통해 공격을 시도하려고 한 건 사이버 공격자들이 늘 하는 일이긴 합니다. 사용자들이 패치를 늦게 적용한다는 건 범죄자들도 아주 잘 알고 있습니다. 안전한 개발 문화를 정착시키거나 보안 신기술을 개발하기에 앞서 패치 따로 적용 따로 노는 이 현상부터 개선시켜야 합니다. 셰도우브로커스 사건처럼 예기치 않게 제로데이가 공개될 경우, 우리는 패치가 나와도 당하고 있습니다. 제로데이 취약점이 공개될 때마다 당할 겁니다.” 워너 디크립터 혹은 워너크라이(WannaCry) 랜섬웨어가 마이크로소프트 윈도우에 있는 SBMv2의 원격 코드 실행 취약점을 통해 침투한 후, 데이터를 암호화해 확장자를 전부 .WCRY로 바꾼다고 설명했다. “그런 후에는 디크립터 툴을 드롭하고 실행시킵니다. 이 디크립터 툴의 기능은 여러 국가에 있는 피해자들에게 협박 편지를 전달하는 겁니다. 그것도 다양한 언어로 번역된 채 말이죠.” 봄가트너는 워너크라이 공격에 대해 “SMB를 통해 빠르게 퍼지는 웜으로, TOR를 통해 통신을 한다”고 설명한다. “그래서 피어 투 피어 웜이라고 볼 수는 없습니다.” 전문가들은 MS의 최신 패치를 빠르게 적용할 것을 권장한다. 그러나 그렇게 할 여력이 되지 않는 곳이나 오래된 시스템을 계속 유지하는 병원, 공장, 전력소 등도 있어 워너크라이가 쉽사리 막히지 않을 것으로 보인다. “아마 그렇기 때문에 병원 등이 제일 첫 선에 당한 것이 아닐까 합니다.” [출처 : 보안뉴스 입력 : 2017-05-13 17:20 국제부 문가용 기자(globoan@boannews.com)]

보다 더 확실한 방어책은 행위기반으로 신종 랜섬웨어에 대응하는 좀비제로를 설치하는 것입니다. 시그니처 없이 신종 및 변종 랜섬웨어에 대응하여 제2의 WannaCry를 방어할 수 있습니다. 기존의 안티바이러스로는 신종 악성코드인 WannaCry를 막을 수 없습니다. 자세한 사항은 1544-5317로 제품 문의하시거나 www.npcore.com 사이트를 참조하여 주세요.

엔드포인트의 랜섬웨어 대응  솔루션 : 좀비제로 EDR for Ransomware  바로가기
2017.05.14

[SW유망기업을 찾아서] 엔피코어, 호러보다 무서운 해킹 ‘좀비제로’로 ‘일망타진’

작성자
admin
작성일
2016-11-30 14:53
조회
217
호러 영화에 자주 활용되는 소재로 ‘좀비’를 꼽을 수 있다. 사람을 물어 같은 ‘좀비’로 둔갑시키는, 죽었지만 죽지 않은 좀비들은 초인적인 힘을 오직 먹는다는 본능에 맡겨 사람들을 공포에 떨게 한다. 이 같은 좀비를 이용하는 간악한 무리들도 자주 등장한다.
현실에서도 이러한 일을 간혹 겪는다. ‘악성코드’는 PC를 물어 ‘좀비’를 만든다. 그 좀비를 조정하는 해커는 손쉽게 보통 사람들의 정보를 취득한다. 그리고, 취득한 정보를 자신의 본능을 채우기 위해 쓴다.

B급 영화에서나 일어날만한 호러 이야기는 현실로도 자주 등장한다. 어찌보면 어떤 좀비영화보다 더 공포스럽게 다가온다. “개인정보가 털렸다”, “유출정보가 2600만 건이 넘는다”라는 말만 들어도 불안감에 발을 동동 구르게 된다.

이러한 상황을 미연에 방지하고자 엔피코어(대표 한승철)는 안티바이러스 위주의 보안 시장에서 신, 변종 악성코드 전문 탐지대응 솔루션을 제공하고 있다.

대표적인 솔루션이 ‘좀비’ 시리즈다. 그 중 ‘좀비 제로’는 지능형 지속위협(APT)로부터 보호해준다. APT는 악위적인 범죄그룹에 의해 지정된 특정대상에 대해 이메일이나 웹 등으로 목적 달성시까지 지속적인 공격을 수행하는 신종 해킹 기법이다.

‘좀비 제로’는 이중방어 시스템으로 구성됐다. 에이전트를 이용해 사용자단의 행위기반 방어 제품과 가상시스템을 이용한 네트워크 패킷 분석 행위기반 탐지 제품이으로 구성돼 연동해 네트워크를 우회해서 침투하는 신종 APT 공격과 악성코드를 탐지하고 차단해준다. 네트워크와 엔드포인트의 연계분석을 통해 오탐율을 최소화하고 신속 대응이 가능해 최근 발생하는 랜섬웨어, 자료유출사고, 네트워크 마비 등 보안사고 발생을 미연에 방지하는 정보보안 시스템이다.

‘좀비제로’는 총 3단계로 네트워크 단에서의 시그니처 분석과 네트워크 단에서의 행위기반 분석 후 엔드포인트 단에서의 행위기반 분석 과정을 거친다.

이 중 네트워크 단의 APT 방어 솔루션 ‘좀비제로 인스펙터’는 트래픽 분석을 통해 다양한 유입 파일을 수집해 분석한다. 시그니처 분석 및 행위기반 분석을 동시에 지원하고 탐지된 악성코드 패턴생성을 통해 감염 PC를 치료한다.

‘좀비제로 에이전트’는 엔드포인트 단의 APT 공격을 탐지하고 차단과 치료를 돕는다. 행위기반 엔진을 적용해 알려지지 않은 신변종 악성코드에 대한 실시간 탐지와 차단, 치료가 가능하다. 네트워크를 우회해서 침투하는 위협에 대해서도 실시간 대응한다.

 

한승철 엔피코어 대표


<한승철 엔피코어 대표>


 

◇ 한승철 대표 “APT 위협 대응, 말보다 행동이 우선돼야”

“늦었다면 늦었을 수도 있다. 점차 지능화되고 있는 해킹에 대비하기 위해서 말보다는 행동이 먼저 앞서야 할 때다”

한승철 엔피코어 대표는 늘어나는 사이버 공격에 보다 적극적으로 대응해야 한다고 강조했다.

엔피코어는 지능형지속위협(APT)이 본격화된 2008년 11월 설립됐다. 당시 한 대표는 17년동안 보안 쪽에서 근무해온 노하우를 바탕으로 회사를 설립했다. 현재는 20명의 직원이 상주하고 있으며, 해외 투자자들의 이목을 집중시킬 정도로 선전하고 있는 업체다.

APT를 통한 보안 문제는 어제오늘일이 아니다. 예를 들어 불과 두달 전 모 쇼핑몰에서는 APT 공격으로 인해 개인정보 2600만 건이 유출되는 상황이 발생하기도 했다. 해커가 PC에 악성코드를 뿌린 후 DB 관리자 계정을 획득, 내부 정보를 수집했기에 가능했다. 문제는 이 악성코드가 정상적인 경로를 통해 유입돼 찾기 어렵다는 데 있다.

기존 백신의 경우 패턴에 의한 탐지/분석/치료를 기반으로 악성코드의 공격을 받고 피해(Zero Day, 무방비 구간)를 입은 후 사후 대처 가능하다는 한계를 지닌 반면 ‘좀비제로’는 행위기반 기술로 악성코드의 공격 시점에 탐지/분석/치료를 하여 실시간 대처 가능하다는 차별점을 지니고 있다.

가령, 해커가 악성코드를 제작해 특정 기업의 불특정 다수에게 마치 정상인 듯 위장해 이메일을 전송하면 자유롭게 기업 내부 전산망을 옮겨 다닌다.

한 대표는 “가상 공간을 활용한 행위 기반 기술을 이용해 악성코드를 판별하게 된다”며, “외부로부터 유입된 파일을 가상의 공간에 옮긴 뒤, 그 파일이 어떻게 움직이는지를 살펴보고, 만약 이상을 유발하면 이를 악성코드로 판단해 치료나 제거를 하게 된다”고 설명했다. 이러한 행위 기반 기술을 이용해 알려지지 않은 악성코드까지도 찾아낼 수 있게 된다.

보안 솔루션의 경우 각 경쟁사별로 다수의 악성코드를 제작해 서로 공유한 뒤 자체 보안 솔루션을 테스트하게 되는데 엔피코어는 90% 이상 악성코드를 잡아내는 등 두각을 나타내고 있다.

이러한 기술력을 인정받아 지난 2014년에는 깐깐하기로 유명한 일본 투자사인 자프코인베스트먼트에서 15억 원의 투자를 받기도 했다.

한 대표는 “신,변종 악성코드 탐지, 차단 시간의 경우 경쟁사 제품이 5분 정도 소요되는 반면, ‘좀비제로’는 1분이면 해결할 수 있다.”며, “그 뿐 아니라 기술난이도가 높은 커널 드라이버단에 설치되어 타 어플리케이션과 충돌을 방지하여 프로그램 운영에 영향을 끼치지 않으며 시스템 안정성을 보장한다”고 강조했다.

이어, “타경쟁사의 경우 용도별 솔루션을 별도로 운영해 클라이언트는 이를 각각 구매해 운영해야 하지만 좀비제로는 솔루션 한 대로 해결 가능해 운영/관리의 효율성과 비용 절감 면에서 경쟁력을 갖추고 있다”며, “현재 시장에는 4개의 주요 제품과 경쟁이 이루어지고 있으며 초기 시장을 외산이 주도하였으나 보안 제품의 시장 특성상 점차적으로 국산 제품이 시장 점유를 높여가고 있는 추세로 외산제품은 고가의 정책을 고수하고 있어 외산 제품 대비하여 30% 정도의 가격경쟁력을 보유하고 있으며 국내 경쟁 제품과는 제품별 차이는 있으나 직접 제조한 국산 제품이다보니 약 15% 정도의 가격 경쟁력을 보유하고 있다”고 덧붙였다.
.
좀비제로는 국정원 CC 인증을 보유하고 있으며 외산 제품에 비해 한글 지원이 완벽하다. 외산 제품에 비해 커스터마이징 및 사후서비스를 신속하게 지원한다.

엔피코어는 국내뿐만 아니라 해외 시장 진출에도 발 빠르게 움직였다. 일본과 인도네시아, 대만, 말레이시아에서 총판을 통해 영업을 진행 중이다. 태국 필리핀 등과도 접촉 중이다.

한 대표는 “2014년 베트남에 대표 사무소를 설립했다. 대부분 해외에서는 국내와 마찬가지로 즉각적인 지원을 받기를 원한다. 현재 베트남에서 6명의 직원이 상주하며, 판로 확대에 노력하고 있다”며, “미국에 법인을 세웠으며 미국에서도 정보보안 사항이 법제화되면서 방산사업 쪽에 주력하고 있다. 추석 전에는 ‘아이덴티티얼라이언스’라는 현지 파트너사와 60만 달러의 계약을 맺고 오기도 했다”고 말했다.

한편, 한 대표는 수직적인 회사경영을 지양하고, 누구나 자유롭게 자신의 의견을 피력할 수 있는 회사 분위기를 만들기 위해 노력하고 있다. 개발과 영업부가 서로 옥신각신하는 일들이 많지만 엔피코어에서는 남의 말이나 다름없을 정도로 유기적이다. 노력에 대한 성과는 확실하게 보장하고 있기도 하다. 분기별로 워크샵을 진행하는 한편, 직원 추첨제를 통해 휴가까지 지원하고 있다.

한 대표는 “빨리가고 싶다면 혼자가야 하고, 멀리가고 싶다면 함께 가야 한다”며, “자유로운 분위기에서 직원들 모두 칸막이를 허물고 소통할 수 있어야 최대의 성과를 낼 수 있다고 믿는다”고 말했다.