미국정부사이트(dms.nwcg.gov)에서 Javascript를 통해 유포된 ceber랜섬웨어

미국 정부 사이트에서 호스팅된 Cerber ransomware로 이어지는 악성 JavaScript 다운로더가 발견되었다. 분석을 어렵게 만들기 위해 JavaScript에는 코드 흐름에 아무것도 추가하지 않고 

스크립트만 난독화하는 여러 가지 기능이 있다. 또한, 여러 변수에 부분 명령을 저장하고 Invoke-Expression을 사용하여 실행하는 난독화 된 PowerShell 명령을 가지고 있다. 

이는 실제로 알려진 악의적인 사이트에서 gif 실행 파일을 다운로드 할 수 있도록 한다. 현재 링크는 다운된 상태이다. 그러나 사전에 수집된 데이터를 분석한 결과, 이 특정 페이로드는 SHA256 1f15415da53df8a8e0197aa7e17e594d24ea6d7fbe80fe3bb4a5cd41bc8f09f6이 포함 된 Cerber ransomware임을 확인했다. 

이를 발견한 단체는 8월 30일에 Twitter를 통해 미국 정부 사이트에 멀웨어가 있음을 밝혔다. 그 결과 몇 시간 이내에 맬웨어 링크가 제거되었다.

https://blog.newskysecurity.com/us-government-site-unwittingly-hosting-malware-f1f4f11b6a1d]