히토비토 랜섬웨어, ‘.hitobiyo’ 형식으로 모든 파일 암호화하며 확산 중

암호 해제하려면 토르 브라우저 이용해 금액 지불하도록 요구
에브리존 화이트디펜더, 히토비토 랜섬웨어 침해 행위 프로세스 분석

[보안뉴스 김영명 기자] 모든 파일을 ‘.hitobiyo’ 확장자로 암호화하는 형태로 추정되는 침해사고가 발생해 주의가 필요하다. 해당 랜섬웨어는 히토비토(Hitobito) 랜섬웨어로 불리고 있으며, ‘파일명.확장자.hitobiyo’ 형식으로 모든 파일을 변경하고 있는 모습을 보인다.

▲닷넷 프로젝트를 디컴파일 했을 때 내부 내용이 난독화 되어 있는 상태[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더는 최근 히토비토 랜섬웨어의 침해 행위 프로세스를 분석해 발표했다. 히토비토(Hitobito) 랜섬웨어 침해 행위 프로세스를 살펴보면, VB 닷넷 기반으로 랜섬웨어 자체는 ‘.NET Reactor’라는 상용 프로그램을 이용해 내부 코드는 난독화된 상태다. 작동할 때 모든 파일들의 암호화 진행과 함께 시작프로그램의 ‘레지스트리에 실행 등록’에는 랜섬웨어의 실행 파일과 함께 -alerta라는 인자가 추가된다. 실제 내부 테스트를 했을 때 해당 인자 값으로 실행할 경우 암호화 과정을 생략하고 자체 노트 GUI를 출력한다. 노트가 활성화된 상태에서는 주기적으로 작업관리자를 종료하고 있다.

히토비토 랜섬웨어 감염 후 모습과 랜섬노트 내용 안내 파일은 각각의 경로에 ‘KageNoHitobito_ReadMe.txt’ 파일이 생성되며, 암호화를 진행했을 때는 ‘파일명.확장자.hitoboyo’로 파일들을 변경한다.

▲랜섬웨어 감염 후 변경된 바탕화면[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더 담당자는 “히토비토 랜섬웨어의 증상은 감염된 PC의 모든 파일이 암호화돼 열 수 없으며, 몸값을 요구하는 랜섬노트 메시지가 html, txt, hat 형식의 파일로 데스크탑에 표시된다”며 “감염된 파일의 잠금을 해제하기 위해서는 몸값을 지불해야 하는데 대부분 비트코인을 요구하고 있다”고 설명했다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)