글로브임포스터 랜섬웨어, ‘파일명.확장자.doc’로 암호화하며 확산중

에브리존 안티랜섬웨어 화이트디펜더, 글로브임포스터 분석 노트 공개

[보안뉴스 김영명 기자] 2017년 발견된 글로브임포스터(GlobeImposter)가 지난해말부터 다시 무차별 확산하고 있는 것으로 알려졌다. 글로브임포스터 랜섬웨어는 감염된 파일을 ‘파일명.확장자.doc’ 형식으로 바뀌며, ‘Read__ME.html’ 파일로 랜섬노트를 남기며 복호화를 위한 키를 구매할 수 있는 결제를 안내한다.

▲글로브임포스터 랜섬웨어에 감염된 이후 변경된 바탕화면 모습[자료=에브리존 화이트디펜더]

에브리존에서 제공하는 안티랜섬웨어 화이트디펜더(WhiteDefender)는 글로브임포스터 랜섬웨어의 특징을 크게 △PC의 모든 파일이 암호화돼 열 수 없고 △몸값을 요구하는 랜섬노트 메시지가 html, txt, hat 파일로 데스크탑에 표시되며 △파일 잠금을 해제하려면 몸값을 지불해야 하며 대부분 비트코인으로 요구한다 등으로 설명하고 있다.

▲함수와 변수의 이름이 난독화되어 있는 내부 코드[자료=에브리존 화이트디펜더]

글로브임포스터 랜섬웨어는 비주얼베이직(VB) 닷넷으로 만들어졌다. 이 랜섬웨어의 행동 프로세스를 분석해보면 닷넷 기반인 만큼 내부 코드의 확인은 가능하지만 함수와 변수 이름에 대한 난독화 기능이 적용돼 있다. 암호화가 진행된 이후에는 Temp 폴더에 생성된 안내 .txt 파일이 윈도 시작 시 자동으로 실행되도록 시작프로그램 폴더에 링크를 통해 생성한다.

글로브임포스터 랜섬웨어 감염이 특정 컴퓨터에서 작동하게 되면, 안내 파일은 컴퓨터 내 다양한 경로에 파일로 생성된다. 이후 암호화가 진행되면 <파일명.확장자.secure[이메일주소]> 형식으로 파일들을 변경한 후 암호화가 완료되면 바탕화면을 특정 이미지로 변경한다.

▲글로브임포스터 랜섬웨어가 남긴 랜섬노트[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더 관계자는 “화이트디펜더는 해당 랜섬웨어의 악성행위 자체와 행위를 차단하기 이전에 암호화가 진행될 파일에 대해서도 실시간으로 모니터링하며 감염 행위를 막고 자동 복원도 지원한다”고 밝혔다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)