[오늘의 보안] Medusa 랜섬웨어

<3줄 요약>

- Medusa 랜섬웨어는 첨단 기술, 교육, 제조, 의료 등 광범위한 산업을 표적으로 삼는 것으로 알려짐
- 취약점이 있는 자산이나 애플리케이션을 악용하고 합법적인 계정을 하이재킹하는 것으로 시작
- 랜섬웨어 실행 시, .dll, .exe, .lnk 및 .medusa 확장자 파일 열거 후 암호화 진행

 

LotL(living off-the-land) 기술: 대상 컴퓨터에 이미 설치된 도구를 사용하거나 간단한 스크립트와 셸 코드를 메모리에서 직접 실행하는 공격

 

https://thehackernews.com/2024/01/medusa-ransomware-on-rise-from-data.html

Medusa Ransomware on the Rise: From Data Leaks to Multi-Extortion

 

- Medusa 랜섬웨어( Medusa Locker와 다름)는 첨단 기술, 교육, 제조, 의료, 소매 등 광범위한 산업을 대상으로 함

- 2023년에는 주로 미국, 영국, 프랑스, ​​이탈리아, 스페인, 인도의 74개 조직이 랜섬웨어의 영향을 받은 것으로 추정

- 패치되지 않은 취약점이 있는 인터넷 연결 자산이나 애플리케이션을 악용하고 합법적인 계정을 하이재킹하는 것으로 시작

- 종종 초기 액세스 브로커를 사용하여 대상 네트워크에 대한 발판을 확보

- Microsoft Exchange Server를 이용하여 웹 셸을 업로드한 후 ConnectWise 원격 모니터링 및 관리(RMM) 소프트웨어를 설치하고 실행하는 통로로 사용함

- 합법적인 활동 및 회피 탐지와 조화를 이루는 LotL(living off-the-land) 기술에 의존

- 하드 코딩된 보안 제품 목록을 종료하기 위해 한 쌍의 커널 드라이버를 사용

- 랜섬웨어를 실행하여 .dll, .exe, .lnk 및 .medusa 확장자를 가진 파일을 열거하고 암호화