Masscan랜섬웨어 침해사고 기술보고서

랜섬웨어(Ransomware) - 몸값(Ransom) + 소프트웨어(Software)의 합성어로, 사용자 PC의 파일들을 잠그고, 인질로 삼아 협박하는 것. 취약한 웹페이지 접속 및 이메일 내 첨부파일 등을 통해 퍼짐.

랜섬웨어 종류 - Masscan, Globeimposter, mallox, 360 등. 음성메시지를 내보내기도 함.

​

SA계정 - DB서버 관리자 계정

​

브루트포스 - 무차별 대입으로, 조합 가능한 모든 문자열을 하나씩 대입해 보는 방식.

​

VPN, RDP 둘다 온라인을 통해 원격으로 다른 서버에 접근할 수 있다는 점에서 유사하다.

VPN - 웹서핑시, 다른 곳에 위치한 서버의 가상 IP로 실제 IP와 위치를 숨길 수 있다.

RDP - 윈도우즈 NT와 윈도우즈 CE의 통신을 지원하기 위하여 마이크로소프트사에서 개발한 프로토콜, 윈도우즈계열의 OS에서 지원되는 프로토콜로, 좁은 대역폭의 통신 환경에서도 동작하는 특징을 가진다. 다른 컴퓨터에서 원격으로 컴퓨터를 다루는 것.

​

명령 프롬프트(CMD) VS 파워쉘 VS 윈도우 터미널

명령 프롬프트의 상위호환이 파워쉘, 또 그 상위 호환이 윈도우 터미널이다.

---

-내용 요약

 데이터베이스 무작위 대입 공격을 통해 SA 계정 혹은 취약한 관리자 계정을 획득한다. 그리고 데이터베이스 내 명령 프롬프트(xp_cmdshell)를 활성화해서 계정생성 및 악성도구(권한상승 도구, 프락시 도구 등)를 다운받아 실행하고 서버에 원격접속한다. 원격접속 후 악성도구를 통해 권한상승 및 정보수집을 하고 수집된 정보를 통해 내부이동을 한다. 내부이동을 하면서 많은 서버와 연결된 백업서버나 관리자 PC를 거점으로 삼고 랜섬웨어를 배포 및 실행한다.

 

 

보고서 링크 : https://kisa-irteam.notion.site/Masscan-bca2eff1e838469faeaa47479c6bd06e

​