이미르 랜섬웨어
디지털 시대는 엄청난 편의성을 가져왔지만 랜섬웨어와 같은 점점 더 복잡해지는 위협의 길을 열었습니다. 개인 및 비즈니스 기기를 랜섬웨어와 다른 유형의 위협으로부터 보호하는 것은 데이터, 재정 및 평판을 보호하는 데 중요합니다. 사이버 보안계에서 파장을 일으키고 있는 정교한 위협 중 하나는 Ymir 랜섬웨어입니다.
목차
Ymir 랜섬웨어란 무엇인가요?
Ymir 랜섬웨어는 고급 암호화를 활용하여 피해자의 파일을 잠그고 복구 비용을 요구하는 정교한 위협입니다. 이 랜섬웨어는 ChaCha20 암호화 알고리즘을 사용하여 피해자가 독립적인 파일 복구를 시도하는 데 상당한 어려움을 겪도록 합니다. Ymir가 파일을 암호화할 때 무작위 문자로 구성된 고유한 확장자를 추가하여 파일 이름을 크게 변경합니다. 예를 들어 '1.png'가 '1.jpg.6C5oy2dVr6'이 될 수 있습니다.
이미르의 다층적 공격 전략
암호화 프로세스가 완료되면 Ymir는 피해자가 공격과 랜섬 조건을 알 수 있도록 여러 단계를 거칩니다. 랜섬웨어는 영향을 받는 각 디렉터리에 'INCIDENT_REPORT.pdf'라는 제목의 랜섬 노트를 넣습니다. 또한, 더욱 놀라운 조치는 피해자의 로그인 화면 전에 전체 화면 메시지를 표시하여 조치를 취할 때까지 피해자를 시스템에서 효과적으로 차단하는 것입니다.
사전 로그인 메시지는 피해자에게 네트워크가 침해되었고, 파일이 암호화되었으며, 민감한 데이터가 유출되었음을 알립니다. 이는 피해자에게 사건을 상사에게 보고할 것을 촉구하고, 허가되지 않은 도구로 파일을 해독하려는 시도는 돌이킬 수 없는 손상을 초래할 수 있다고 경고합니다.
이미르의 몸값 편지의 조건
'INCIDENT_REPORT.pdf'에 포함된 Ymir의 몸값 메모는 공격의 주요 요점을 반복하고 공격자의 요구 사항을 자세히 설명합니다. 이 메모는 몸값을 지불하면 피해자가 복호화 도구를 받고 수집된 모든 데이터가 공격자의 서버에서 삭제된다고 약속합니다. 반면, 지불이 이루어지지 않으면 문서는 유출된 데이터가 공개적으로 노출되어 상당한 재정적 및 평판 피해를 입을 수 있다고 위협합니다. 이러한 위협은 다크넷 포럼에서 정보를 판매하거나 미디어 매체 또는 경쟁사와 공유하는 것으로 확대됩니다.
공격자는 피해자가 복구가 가능하다는 증거로 최대 3개의 암호화된 파일을 해독하도록 허용합니다. 이는 데이터 유출의 증거와 함께 침해의 심각한 본질을 강조합니다.
복잡한 감염 사슬: 전략과 도구
Ymir 공격은 복잡하며, 랜섬웨어 자체가 배포되기 전에 RustyStealer를 사용하여 수행되는 초기 데이터 도난 단계가 포함됩니다. 종종 며칠 후입니다. 사이버 범죄자는 PowerShell 원격 제어 명령을 통해 시스템에 액세스하여 다양한 도구를 사용하여 제어를 유지하고 계획을 실행합니다.
이미르의 무기고에서 발견되는 일부 도구는 다음과 같습니다.
- 시스템 진단 및 측면 이동을 위한 프로세스 해커이자 고급 IP 스캐너입니다.
- WinRM(Windows Remote Management)과 SystemBC 맬웨어는 로컬 네트워크 전체에 감염을 확산시키는 데 도움이 됩니다.
- 탐지를 피하기 위한 정교한 기술에는 수백 개의 함수 호출을 통해 악성 코드를 점진적으로 삽입하는 메모리 연산이 포함됩니다.
몸값 지불의 가혹한 현실
랜섬웨어 공격의 가장 중요한 측면 중 하나는 몸값을 지불하는 것의 무의미함을 이해하는 것입니다. 사이버 보안 전문가들은 요구된 몸값을 지불해도 약속된 복호화 키나 소프트웨어가 보장되지 않는다고 강조합니다. 많은 경우 피해자는 지불 후 빈손으로 남겨져 아무런 혜택 없이 추가 범죄 활동에 자금을 조달합니다.
Ymir 랜섬웨어에 대항하기 위한 필수 보안 관행
Ymir 랜섬웨어 및 이와 유사한 위협으로부터 보호하려면 포괄적인 사이버 보안 조치를 구현하는 것이 중요합니다. 다음은 몇 가지 권장 사례입니다.
- 정기적인 데이터 백업 : 데이터가 안전한 오프라인 위치에 자주 백업되도록 합니다. 이 단계는 공격자와의 교류에 의존하지 않는 복구 옵션을 제공하기 때문에 랜섬웨어에 대한 가장 효과적인 보호 수단 중 하나입니다.
- 강력한 엔드포인트 보안 : 의심스러운 활동을 탐지하고 차단할 수 있는 강력한 엔드포인트 보호 솔루션을 활용하세요. 여기에는 알려진 시그니처뿐만 아니라 동작으로 랜섬웨어를 식별하는 동작 기반 탐지가 포함됩니다.
- 다중 요소 인증(MFA) : 가능한 한 MFA를 활성화하세요. 사용자 계정에 보안을 더하기 때문입니다. 로그인 자격 증명이 손상된 경우에도 무단 액세스를 차단할 수 있습니다.
- 패치 관리 : 모든 소프트웨어, 특히 운영 체제와 일반적으로 사용되는 애플리케이션을 최신 상태로 유지하세요. 오래된 소프트웨어의 취약점은 랜섬웨어 운영자에 의해 자주 악용됩니다.
- 네트워크 세분화 : 침해가 발생하더라도 공격자가 전체 시스템이나 네트워크에 쉽게 액세스할 수 없도록 중요한 네트워크 리소스를 분리합니다.
위협에 앞서 나가기
Ymir와 같은 랜섬웨어 위협은 사전 방어 전략의 필요성을 강조합니다. 공격자의 협조 없이는 복호화가 불가능할 수 있지만, 강력한 예방 조치를 통해 공격의 영향과 가능성을 최소화할 수 있습니다. 견고한 사이버 보안 인프라에 투자하고 경계 문화를 육성하는 것은 진화하는 랜섬웨어 위협에 대한 회복력을 유지하는 데 필수적인 단계입니다.
이미르 랜섬웨어 비디오
팁 : ON 사운드를 켜고 전체 화면 모드에서 비디오를 볼.
메시지
이미르 랜섬웨어와 관련된 다음 메시지가 발견되었습니다.
|
#? What happened? Your network has been compromised and attacked by hackers. All files have been modified. Sensitive information has been stolen and handed over to our experts for analysis. #? Why did this happen? Your security system was weak, it allowed your company to be hacked. #? What are the possible consequences? You won't be able to use your data, so the company is frozen. You will lose money every day. If you refuse to make a deal, your data will be published on the internet, sold on darknet forums, shared with journalists and your competitors. You will suffer reputational damage, your stock will drop in value, clients and sponsors will lose trust in you. Also, if the incident becomes public, you will be noticed by law enforcement agencies and then a long investigation with freezing of your company will begin. You'll get multiple fines in excess of the deal. #? What do I get if I make a deal? You get file recovery software. We'll remove the stolen data from our servers and provide proof. You'll get an incident report and recommendations for protection. You'll get a guarantee that our team will add you to our whitelist of untouchable companies and we'll never come back to you again. We will not report the incident to anyone. #? # Why are you doing this? We're only interested in the money. We don't care about the rest. We also take pleasure in what we do. #? How can I trust you? You have no choice, either you lose everything or you trust us. We don't plan to deceive you. We operate in a public space, every action we take is discussed. If we defraud even 1 company, we will never be able to make a good deal. We will definitely recover your files and we will definitely keep everything confidential. We are specialists with years of experience and we respect ourselves and our reputation. You'll see that we're a bargain when you contact us. #? How do I proceed if I don't believe a word you say? You can go to the recovery or the enforcers, but it will definitely cost you more than dealing with us. Recovery will buy our software with your token and sell it to you at a 300% markup. The enforcers will trample your company, talk to the lawyers, they will tell you the consequences. #? I'm the administrator of this network, what do I do? Don't try to make a deal on your own, you won't have enough salary for a few years. Report the incident to your bosses. They'll find out anyway. We have their contacts and we'll let them know in three days if no one contacts us. If you try to rebuild the network alone and hide the incident from your bosses, you'll delay the inevitable. At some point, they'll hear about it on the news and be furious that you denied them the opportunity to save their company. #? What do I do? The first thing you should do is inform your bosses about the incident. You'll have to pay us to recover your files. Only we have the unique token. Don't try to use any third-party applications to recover your files, they may be damaged irretrievably. You need to contact us You can send us 1-3 modified files and we will prove that we can recover them. We will provide proof of the stolen data. RecoverySupport@onionmail.org To contact us, install qTOX messenger. hxxps://github.com/qTox/qTox/releases/download/v1.17.6/setupqtox-x86_64-release.exe Add our contact and we can make a deal. Tox ID: CF9AE1B27EAA4BF8C223735BEA15AAE23D5BA312B9D9061C805ABD99C373530DBDCC18B7C3BF |
|
IMPORTANT What happened? Your network has been compromised and attacked by hackers. All files have been modified. Sensitive information has been stolen and handed over to our experts for analysis. What do I do? The first thing you should do is inform your bosses about the incident. You'll have to pay us to recover your files. Only we have the unique token. Don't try to use any third-party applications to recover your files they may be damaged irretrievably. To contact us read the INCIDENT REPORT file carefully |
