문서번호	정보통신보안담당관-24549
결재일자	2016.12.7.
공개여부	부분공개(2)
방침번호

			시 민
주무관		통합보안관제팀장	정보통신보안담당관
경대훈		도찬구	12/07 박웅수
협조
	정보보호정책팀장		변순권

- 서울시 통합메일 사용자의 ‘원클릭 해킹메일’ 수신 신고 -

「해킹메일」조사 및 분석 결과보고

추진근거	대내(외) 협력 현황			사 업 비
	부서(단체)명	협의내용	협의결과
자체방침	정보시스템담당관	해킹 의심메일 조사분석 및 조치관련	완료	비예산

정보통신보안담당관

(통합보안관제팀)

- 서울시 통합메일 사용자의 ‘원클릭 해킹메일’ 수신 신고 -

「해킹메일」조사 및 분석 결과보고

서울시 통합메일 사용자의 ‘원클릭 해킹메일’ 수신 신고에 대한 사고원인의 추적, 분석, 문제점 및 개선방안 등을 조사하여 결과를 보고함.

□ 관련근거

○ 국가 정보보안 기본지침 제35조(전자우편 보안대책)

○ 서울특별시 정보통신 보안업무 처리규칙 제32조(전자우편 보안대책)

○ 서울시 통합메일 보안강화계획(정보시스템담당관-11538, 2015.10.7)

○ 통합메일 보안강화 서비스 및 운영계획(정보시스템담당관-392, 2016.1.11)

□ 신고현황

구분	내용	비고
메일수신	2016.12.6.(화) 05:33
신고접수	2016.12.6.(화) 09:16
송 신 자	Stephenson.Beryl@rodenacker.net
수 신 자	alexis-79@seoul.go.kr
신 고 자	양천구 공원녹지과 이미선
제 목	Urgent_Data
첨부파일	payme*********.zip
열람여부	미열람

□ 공격분석

○ 대  상 : 스팸메일 차단시스템 로그, 해킹메일 원본

○ 분석자 : 한국통신인터넷기술 이호영(보안관제 용역직원)

○ 결  과 : 해킹의심메일 미열람(11건), 악성코드 자동검역

- 위장된 발신자 명의의 악성메일 대량유입(2,734건) - 수신 11, 실패 14, 차단 2,709

- 압축된 첨부파일 해제시 자바스크립트(~L844GG81G98.js)파일 생성(1개)

- 윈도우 스크립트 파일 실행시 악성코드 유포지로부터 악성코드 다운로드 시도

- C&C서버와 통신후 문서파일 암호화 및 확장자(.osiris) 변경 ➠ Locky 랜섬웨어 변종

- 동일 해킹메일 신고자 등 11명 수신	➠ 미열람(피해사항 없음)

○ 기  간 : 2016.12.6(화) ~ 12.7(수)

□ 추진경위

일  시

세  부  내  용

12.6(화) 05:33

○ < 양천구 도시환경국 > 해킹메일 수신

╺ 송 신 자 : Stephenson.Beryl@rodenacker.net

╺ 수 신 자 : alexis-79@seoul.go.kr

╺ 제    목 : Urgent Data

╺ 첨부파일 : payme*********.zip

12.6(화) 09:16

○ < 양천구 도시환경국 > → < 서울사이버안전센터 > 접수

12.6(화) 17:00

~

12.6(화) 18:30

○ < 서울사이버안전센터 > 해킹메일 분석

╺ 첨부파일 압축해제시 자바스크립트(js) 파일 생성

╺ 윈도우 스크립트 파일 실행시 악성코드 유포지로부터 랜섬웨어 다운로드

╺ C&C서버와 통신후 문서파일 암호화 및 확장자(.osiris) 변경

➠ 랜섬웨어 Locky의 변종

╺ 암호화된 파일 복구를 위해 결재를 유도하는 안내페이지 생성

╺ 동일 해킹메일 11명 수신 ➠ 미열람(피해사항 없음)

12.6(화) 17:46

○ < 서울사이버안전센터 > → < 한국지역정보개발원 > 신고

╺ 해킹메일 및 악성코드 유포지/C&C 정보

12.6(화) 18:05

○ < 서울사이버안전센터 > 상황전파(1차) – 유해 IP/도메인 차단

연번	IP	국가	도메인	비고
1	84.242.240.62	러시아	panaceya-n.ru/dro4zt	랜섬웨어 유포지
2	95.46.114.147	체코	-	C&C 서버

12.6(화) 18:20

○ < 서울사이버안전센터 > 상황전파(2차) – IPS 탐지정책 제작/배포

12.7(수) 09:30

○ < 서울사이버안전센터 > 피해여부 확인 – 미열람 및 즉시 신고

12.7(수) 10:00

~

12.7(수) 11:00

○ < 서울사이버안전센터 > 악성메일 유입 피해여부 조사

╺ 스팸메일차단시스템 로그(1주일)

※ 2,734건 유입(차단 : 2,709, 실패 : 14, 수신 : 11)

□ 분석결과

○ 신고된 해킹메일 정보	➠ 제품 거래처리 오류 확인 위장

- 메일제목 : Urgent Data

- 발 신 자 : Stephenson.Beryl@rodenacker.net

- 메일내용 : 거래 처리에 발생된 오류 확인 요청

- 첨부파일 : payme*********.zip

○ 첨부파일 분석	➠ 피싱(개인정보 유출)

- 첨부파일 압축 해제 시 자바 스크립트 파일(js) 생성

· 생성파일 : ~L844GG81G98.js

- js 파일은 악성코드 유포지로부터 사용자 TEMP 디렉토리에 랜섬웨어를 다운받아 C&C서버와 통신 후 자동실행 되도록 작성

※ 랜섬웨어 유포지(IP, 도메인) 차단 전파(12.6(화) 18:05)

연번	IP	국가	도메인	비고
1	84.242.240.62	러시아	panaceya-n.ru/dro4zt	랜섬웨어 유포지
2	95.46.114.147	체코	-	C&C 서버

- 윈도우 프로세스(rundll32.exe)를 이용하여 악성코드(랜섬웨어) 실행

- PC에 저장된 모든 문서파일 암호화 및 금융 결제를 요구하는 안내페이지(OSIRIS.html) 생성

○ 서울시 해킹메일 유입현황

- 스팸메일차단시스템 로그분석

‧ 유입기간: 2016.12.9(화) 01:45~10:59,  유입건수: 2,734건

- 악성메일 수신현황 : 유입된 2,734건 중 11건 수신

구분	유입건수	차단건수	실패	수신
				열람	미열람
건수	2,734	2,709	14	-	11

- 피해여부 조사 : 피해 PC 없음

구분	첨부파일 다운로드 여부			백신프로그램 설치여부			피해현황
	계	실시	미실시	계	설치	미설치	계	없음	피해
건수	11	-	11	11	11	-	11	11	-

○ 바이러스 백신(V3) 탐지

- 자바 스크립트 파일(~L844GG81G98.js) ➠ 미탐지

· 정보보호정책팀에 백신 탐지정책 적용 요청(2016.12.6(화) 17:58)

· 서울시 백신 차단정책 적용(2016.12.7(수) 12:07)

- 랜섬웨어 파일(ai3rI4QFwDN.zk)	➠ 자동검역(2016.11.23.(수))

파일명	진단	엔진버전	분석결과
ai3rI4QFwDN.zk	Trojan/Win32.Locky		악성

➠ 분석결과 제품 거래 처리에 발생된 오류 확인 요청으로 위장한 해킹메일이 다수 유입되었으나, 스팸메일차단시스템 차단 및 PC사용자의 즉시 신고(미열람)로 피해사항 없음.

□ 문제점 : 없음

□ 잘한점 : 해킹메일 수신을 인지하고 즉시 신고하여 악성코드 감염 및 피해 예방(침해사고 대응매뉴얼에 따라 조치)

□ 조치사항

○ 출처가 불분명한 메일 열람금지, 인지시 즉시 신고

○ 바이러스 백신 최신 업데이트 및 주기적 검사 실시

붙 임 : 1. 서울시, KLID에 해킹메일 신고 1부.

2. 상황전파(1~2차) 1부.

3. 원클릭 해킹메일 분석결과 보고서 1부.

4. 랜섬웨어 예방 및 대응절차 1부

5. 서울시 통합메일 사용자 유의사항 1부.  끝.