[2023년 7월] 월간 뉴스레터-EDR을 활용한 LockBit 랜섬웨어 추적하기

2019년 말에 등장한 LockBit 랜섬웨어 조직은 러시아에 기반을 두고 전 세계의 기업 및 공공기관을 대상으로 활동하고 있습니다. 

 

모든 랜섬웨어 조직들 중 가장 활발히 활동하고 있으며, 올해 상반기에만 300개 이상의 기업을 공격해 전체 랜섬웨어 공격의 3분의 1이상을 기록하고 있습니다.

 

GSC(Genians Security Center)에서는 위협 케이스 분석을 통해 지속적으로 고도화되는 공격자의 Operations과 TTPs에 효율적으로 대응하기 위한 연구를 진행하고 있습니다.

 

위협 케이스 중 탐지를 피하기 위한 보안 우회 전술의 의도가 반영되어 만들어진 LockBit 랜섬웨어 배포용 DeliveryBox를 분석해 공격자의 도구들(Tools)과 TTPs를 식별했습니다.

 

 

- MAC 주소의 대/소문자 문제로 AP(Access Point)에 연결되지 못하는 문제 해결
- Web 콘솔의 Elasticsearch 플러그인에서 샤드정보가 표시되도록 개선
- 멀티센서 장비 삭제 후 재등록 과정에서 일부센서의 상태가 비정상 등록되는 문제 해결

- 이벤트 처리 지연시 분석을 위해 메모리 덤프를 생성하는 기능 추가
- 엔드포인트 그룹관리 필터에 '도메인, 로그온ID' 추가 
- 단말의 네트워크 격리 시, 알림메시지를 고정하는 기능 추가