.jpg)
랜섬웨어의 지능화...PC화면 잠그고 벌금 고지하는 랜섬웨어, 현재 국내 유포중
영문 이력서 위장한 매크로, 랜섬웨어에 감염...파워쉘로 랜섬웨어 다운로드하기도
[보안뉴스 김경애] 랜섬웨어가 갈수록 지능화되고 있다. 다양한 프로그램을 악용하는 등 랜섬웨어 감염경로가 확대되고 있는 것. 영문이력서를 위장한 매크로 실행을 유도해 랜섬웨어 감염을 유도하고, 익스플로잇 킷(Exploit Kit)을 통해 랜섬웨어 악성코드를 파워쉘로 다운로드해 실행하기도 한다. 이 뿐만 아니다. 인터폴을 사칭해 벌금을 요구하는 랜섬웨어까지 등장했다. 기존 랜섬웨어처럼 데이터를 납치해 암호화하는 수법과는 다소 차이가 있으며, 현재 국내에서 유포되고 있는 상황이다.
1. PC 화면 잠그고, 벌금 고지하는 랜섬웨어 국내 유포
PC 화면을 잠그고 벌금을 고지하는 랜섬웨어가 국내에 유포되고 있다. 해당 랜섬웨어의 악성코드 명칭은 ‘Reventon’으로 국내 웹사이트를 통해 드라이브 바이 다운로드(Drive-By-Download) 방식으로 유포되고 있다. 해당 랜섬웨어는 4일 발견된 이후 현재까지 계속 유포중이다.
악성코드에 감염되면 ‘인터폴 사이버범죄 담당부서에서 당신의 PC가 불법 컨텐츠 유포에 사용돼 PC를 일시적으로 잠그니 벌금을 내면 풀어준다’는 메시지로 이용자를 협박하고 있다.
일반적인 랜섬웨어는 데이터를 인질로 잡아 파일을 암호화하고 풀어주는 대가로 돈을 요구하는 반면, 이번에 발견된 랜섬웨어는 PC 화면을 잠그고 벌금이라며 이용자를 속이는 방법이라는 점에서 다소 차이가 있다.
이와 관련 하우리 최상명 CERT 실장은 “벌금을 사칭해 돈을 갈취하는 목적의 악성코드가 유포되고 있다”며 “해당 악성코드에 감염되면 바로 이용자의 PC 화면을 잠그기 때문에 PC 사용에 어려움이 있다”며 이용자들의 각별한 주의를 당부했다.
2. 영문 이력서 위장한 매크로, 랜섬웨어에 감염
또한, 영문 이력서로 위장해 국내 금융권을 타깃으로 한 매크로 악성코드가 발견됐다. 지난 3일 발견된 영문이력서 위장 매크로 악성코드는 이메일을 통해 국내에 유입되고 있다.
해당 이력서에는 ‘현재 문서가 보호되어 있으니 매크로를 활성화하면 보호된 원문을 볼 수 있다’는 메시지가 나타나며, 해당 문구를 통해 매크로 실행을 유도하고 있다.
매크로를 실행할 경우 웹에서 암호화된 악성코드를 다운받아 복호화한 후 실행한다. 실행된 악성코드는 랜섬웨어인 크립토월 4.0의 최신 변종으로 시스템의 중요 파일들을 암호화한다.
최상명 실장은 “이메일을 통해 이력서로 유입될 경우 인사담당자가 아니여도 호기심에 이력서를 열어볼 수 있다”며 “공격자는 이용자가 쉽게 속아 넘어갈 수 있도록 사람의 심리를 이용한 사회공학적 기법을 사용해 매크로 실행을 유도하고 있다”며 우려했다.
3. 파워쉘로 랜섬웨어 다운로드
시스템 관리자가 유용하게 사용할 수 있는 파워쉘(powershell.exe)이 이용자들을 악성코드에 감염시키는 유형도 포착됐다.
파워쉘은 윈도우 7 이상부터 윈도우 운영체제에 기본으로 내장된 쉘 프로그램으로, 시스템 관리자 입장에서는 아주 유용하게 사용할 수 있다.
하지만 파워쉘을 쓰지 않거나 해당 프로그램에 대한 이해가 부족한 경우 오히려 악성코드 감염의 빌미를 제공할 수 있다. 익스플로잇 킷이 악성코드를 다운로드해 실행하는 방법으로 파워쉘을 사용하기 때문이다.
이에 대해 최 실장은 “실제 익스플로잇 킷을 통해 랜섬웨어 악성코드를 파워쉘로 다운로드해 실행한다”며 “파워쉘이 꼭 필요한 경우가 아닌 기관과 기업, 개인은 가급적 파워쉘 실행 자체를 차단한다면 악성코드 감염 피해를 최소화할 수 있다”고 설명했다.
이어 최 실장은 “시스템 관리자가 파워쉘 프로그램 사용 여부에 대해 충분하게 검토하고, 프로세스를 차단할 수 있는 보안 프로그램을 이용하는 것이 바람직하다”고 덧붙였다.
[김경애 기자(boan3@boannews.com)]
영문 이력서 위장한 매크로, 랜섬웨어에 감염...파워쉘로 랜섬웨어 다운로드하기도
[보안뉴스 김경애] 랜섬웨어가 갈수록 지능화되고 있다. 다양한 프로그램을 악용하는 등 랜섬웨어 감염경로가 확대되고 있는 것. 영문이력서를 위장한 매크로 실행을 유도해 랜섬웨어 감염을 유도하고, 익스플로잇 킷(Exploit Kit)을 통해 랜섬웨어 악성코드를 파워쉘로 다운로드해 실행하기도 한다. 이 뿐만 아니다. 인터폴을 사칭해 벌금을 요구하는 랜섬웨어까지 등장했다. 기존 랜섬웨어처럼 데이터를 납치해 암호화하는 수법과는 다소 차이가 있으며, 현재 국내에서 유포되고 있는 상황이다.
▲ 인터폴을 사칭해 벌금을 요구하는 랜섬웨어 감염화면
1. PC 화면 잠그고, 벌금 고지하는 랜섬웨어 국내 유포
PC 화면을 잠그고 벌금을 고지하는 랜섬웨어가 국내에 유포되고 있다. 해당 랜섬웨어의 악성코드 명칭은 ‘Reventon’으로 국내 웹사이트를 통해 드라이브 바이 다운로드(Drive-By-Download) 방식으로 유포되고 있다. 해당 랜섬웨어는 4일 발견된 이후 현재까지 계속 유포중이다.
악성코드에 감염되면 ‘인터폴 사이버범죄 담당부서에서 당신의 PC가 불법 컨텐츠 유포에 사용돼 PC를 일시적으로 잠그니 벌금을 내면 풀어준다’는 메시지로 이용자를 협박하고 있다.
일반적인 랜섬웨어는 데이터를 인질로 잡아 파일을 암호화하고 풀어주는 대가로 돈을 요구하는 반면, 이번에 발견된 랜섬웨어는 PC 화면을 잠그고 벌금이라며 이용자를 속이는 방법이라는 점에서 다소 차이가 있다.
이와 관련 하우리 최상명 CERT 실장은 “벌금을 사칭해 돈을 갈취하는 목적의 악성코드가 유포되고 있다”며 “해당 악성코드에 감염되면 바로 이용자의 PC 화면을 잠그기 때문에 PC 사용에 어려움이 있다”며 이용자들의 각별한 주의를 당부했다.
2. 영문 이력서 위장한 매크로, 랜섬웨어에 감염
또한, 영문 이력서로 위장해 국내 금융권을 타깃으로 한 매크로 악성코드가 발견됐다. 지난 3일 발견된 영문이력서 위장 매크로 악성코드는 이메일을 통해 국내에 유입되고 있다.
▲ 영문이력서로 위장한 매크로 실행 유도 화면
해당 이력서에는 ‘현재 문서가 보호되어 있으니 매크로를 활성화하면 보호된 원문을 볼 수 있다’는 메시지가 나타나며, 해당 문구를 통해 매크로 실행을 유도하고 있다.
매크로를 실행할 경우 웹에서 암호화된 악성코드를 다운받아 복호화한 후 실행한다. 실행된 악성코드는 랜섬웨어인 크립토월 4.0의 최신 변종으로 시스템의 중요 파일들을 암호화한다.
최상명 실장은 “이메일을 통해 이력서로 유입될 경우 인사담당자가 아니여도 호기심에 이력서를 열어볼 수 있다”며 “공격자는 이용자가 쉽게 속아 넘어갈 수 있도록 사람의 심리를 이용한 사회공학적 기법을 사용해 매크로 실행을 유도하고 있다”며 우려했다.
3. 파워쉘로 랜섬웨어 다운로드
시스템 관리자가 유용하게 사용할 수 있는 파워쉘(powershell.exe)이 이용자들을 악성코드에 감염시키는 유형도 포착됐다.
▲ 익스플로잇 킷(Exploit Kit)을 통해 파워쉘로 랜섬웨어를 다운로드하는 코드 화면
파워쉘은 윈도우 7 이상부터 윈도우 운영체제에 기본으로 내장된 쉘 프로그램으로, 시스템 관리자 입장에서는 아주 유용하게 사용할 수 있다.
하지만 파워쉘을 쓰지 않거나 해당 프로그램에 대한 이해가 부족한 경우 오히려 악성코드 감염의 빌미를 제공할 수 있다. 익스플로잇 킷이 악성코드를 다운로드해 실행하는 방법으로 파워쉘을 사용하기 때문이다.
이에 대해 최 실장은 “실제 익스플로잇 킷을 통해 랜섬웨어 악성코드를 파워쉘로 다운로드해 실행한다”며 “파워쉘이 꼭 필요한 경우가 아닌 기관과 기업, 개인은 가급적 파워쉘 실행 자체를 차단한다면 악성코드 감염 피해를 최소화할 수 있다”고 설명했다.
이어 최 실장은 “시스템 관리자가 파워쉘 프로그램 사용 여부에 대해 충분하게 검토하고, 프로세스를 차단할 수 있는 보안 프로그램을 이용하는 것이 바람직하다”고 덧붙였다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-17] 
.jpg)
.jpg)
