글로브임포스터 랜섬웨어, ‘파일명.확장자.doc’로 암호화하며 확산중

에브리존 안티랜섬웨어 화이트디펜더, 글로브임포스터 분석 노트 공개

[보안뉴스 김영명 기자] 2017년 발견된 글로브임포스터(GlobeImposter)가 지난해말부터 다시 무차별 확산하고 있는 것으로 알려졌다. 글로브임포스터 랜섬웨어는 감염된 파일을 ‘파일명.확장자.doc’ 형식으로 바뀌며, ‘Read__ME.html’ 파일로 랜섬노트를 남기며 복호화를 위한 키를 구매할 수 있는 결제를 안내한다.

▲글로브임포스터 랜섬웨어에 감염된 이후 변경된 바탕화면 모습[자료=에브리존 화이트디펜더]

에브리존에서 제공하는 안티랜섬웨어 화이트디펜더(WhiteDefender)는 글로브임포스터 랜섬웨어의 특징을 크게 △PC의 모든 파일이 암호화돼 열 수 없고 △몸값을 요구하는 랜섬노트 메시지가 html, txt, hat 파일로 데스크탑에 표시되며 △파일 잠금을 해제하려면 몸값을 지불해야 하며 대부분 비트코인으로 요구한다 등으로 설명하고 있다.

▲함수와 변수의 이름이 난독화되어 있는 내부 코드[자료=에브리존 화이트디펜더]

글로브임포스터 랜섬웨어는 비주얼베이직(VB) 닷넷으로 만들어졌다. 이 랜섬웨어의 행동 프로세스를 분석해보면 닷넷 기반인 만큼 내부 코드의 확인은 가능하지만 함수와 변수 이름에 대한 난독화 기능이 적용돼 있다. 암호화가 진행된 이후에는 Temp 폴더에 생성된 안내 .txt 파일이 윈도 시작 시 자동으로 실행되도록 시작프로그램 폴더에 링크를 통해 생성한다.

글로브임포스터 랜섬웨어 감염이 특정 컴퓨터에서 작동하게 되면, 안내 파일은 컴퓨터 내 다양한 경로에 파일로 생성된다. 이후 암호화가 진행되면 <파일명.확장자.secure[이메일주소]> 형식으로 파일들을 변경한 후 암호화가 완료되면 바탕화면을 특정 이미지로 변경한다.

에브리존 화이트디펜더 관계자는 “화이트디펜더는 해당 랜섬웨어의 악성행위 자체와 행위를 차단하기 이전에 암호화가 진행될 파일에 대해서도 실시간으로 모니터링하며 감염 행위를 막고 자동 복원도 지원한다”고 밝혔다.
[김영명 기자(boan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다