2016년 한국 노린 랜섬웨어 유포조직 추정...비너스락커에 이어 갠드크랩 유포중
[보안뉴스 원병철 기자] 이스트소프트의 보안 자회사 이스트시큐리티(대표 정상원)는 최근 국내 기업 인사 담당자를 대상으로 구직자의 입사 지원서를 위장한 악성 이메일이 급속도로 유포돼, 랜섬웨어 감염 피해가 속출하고 있다고 11일 밝혔다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)의 분석결과 이번 랜섬웨어는 지난 2016년부터 한국의 특정 기관, 기업, 고유 커뮤니티에 속한 개인을 대상으로 지속적으로 랜섬웨어를 유포했던 조직의 소행으로 추정된다.
이 공격 조직은 최초에는 비너스락커(VenusLocker) 랜섬웨어를 유포하였고, 올해 3월 ‘갠드크랩(GandCrab) v2.0’ 유포에 이어 현재는 ‘갠드크랩 v3.0’ 랜섬웨어를 이메일 첨부파일 형태로 유포하고 있는 것으로 확인되었다.
특히 이번 공격은 주로 이중 확장자를 사용해 문서나 사진 파일 등으로 위장한 링크파일(*.LIK)이 포함된 압축파일을 이메일에 직접 첨부해 유포했던 기존과 달리, 악성 URL 링크를 첨부하고 악성 압축파일을 내려 받도록 유도하는 공격 방식을 사용한다.
또한, 내려 받은 악성파일에는 이중 확장자를 사용한 위장 파일 대신 자바스크립트(*.js) 파일이 포함되어 있으며, 이 파일을 실행하면 자동으로 랜섬웨어가 사용자 PC에 설치되도록 하는 특징이 있다.
현재 해당 악성 이메일은 국내 유명 취업전문 사이트의 기업별 채용정보에 기재된 기업 인사 담당자의 이메일 주소로 급속도로 유포되고 있다.
메일은 기업 인사 담당자가 의심을 가지지 않도록 구직자가 입사 지원서를 제출하는 내용이 유창한 한국어로 작성되어 있으며, 링크 형태로 포함된 이력서를 클릭해 열람하도록 유도한다.
만약 인사 담당자가 메일 내용에 속아 이력서 링크를 클릭하게 되면, 발신자 이메일 아이디와 같은 이름의 압축 파일이 다운로드 된다.
이 압축 파일 내부에는 이력서를 의미하는 영문표기인 ‘resume.js’ 파일이 포함되어 있고, 인사 담당자가 이 파일을 실행하는 즉시 ‘갠드크랩(GandCrab)’ 랜섬웨어에 감염돼 문서, 사진 등 PC에 저장된 각종 파일이 암호화된다.
ESRC 문종현 이사는 “랜섬웨어 공격은 다양한 형태로 발전되고 있으며, 공격의 효과를 높이기 위해 특정 대상을 공격하는 타깃팅 공격이 증가하고 있다”라며, “만약 기관이나 기업에서 랜섬웨어에 감염될 경우 소중한 문서 자산을 유실하는 등 큰 피해가 발생되기 때문에, 조직에 속한 임직원의 보안 의식 수준 고취와 조직 차원에서의 보안 강화 노력이 절실히 필요하다”라고 당부했다.
현재 이스트시큐리티는 한국인터넷진흥원(KISA)과의 협력을 통해 자바스크립트 파일이 동작하는 해당 서버의 국내 접속 차단 조치를 진행 중이며, 추가 공격에 대한 모니터링도 강화하고 있다.
한편 이스트시큐리티는 “이번 랜섬웨어 공격과 관련된 악성 파일을 ‘Trojan.Ransom.GandCrad’ 등으로 진단하고 차단하는 알약(ALyac) 긴급 보안 업데이트를 진행했으며, 이 밖에 알려지지 않은 갠드크랩 랜섬웨어 변종 공격에 대해서도 알약에 적용된 랜섬웨어 행위기반 사전 차단 기술로 방어 가능하다”고 설명했다.
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 이스트소프트의 보안 자회사 이스트시큐리티(대표 정상원)는 최근 국내 기업 인사 담당자를 대상으로 구직자의 입사 지원서를 위장한 악성 이메일이 급속도로 유포돼, 랜섬웨어 감염 피해가 속출하고 있다고 11일 밝혔다.
▲ 입사 지원서 위장 랜섬웨어 이메일 화면[이미지=이스트시큐리티]
이스트시큐리티 시큐리티대응센터(이하 ESRC)의 분석결과 이번 랜섬웨어는 지난 2016년부터 한국의 특정 기관, 기업, 고유 커뮤니티에 속한 개인을 대상으로 지속적으로 랜섬웨어를 유포했던 조직의 소행으로 추정된다.
이 공격 조직은 최초에는 비너스락커(VenusLocker) 랜섬웨어를 유포하였고, 올해 3월 ‘갠드크랩(GandCrab) v2.0’ 유포에 이어 현재는 ‘갠드크랩 v3.0’ 랜섬웨어를 이메일 첨부파일 형태로 유포하고 있는 것으로 확인되었다.
특히 이번 공격은 주로 이중 확장자를 사용해 문서나 사진 파일 등으로 위장한 링크파일(*.LIK)이 포함된 압축파일을 이메일에 직접 첨부해 유포했던 기존과 달리, 악성 URL 링크를 첨부하고 악성 압축파일을 내려 받도록 유도하는 공격 방식을 사용한다.
▲이력서 파일로 위장한 악성 스크립트 포함 압축 파일 화면[이미지=이스트시큐리티]
또한, 내려 받은 악성파일에는 이중 확장자를 사용한 위장 파일 대신 자바스크립트(*.js) 파일이 포함되어 있으며, 이 파일을 실행하면 자동으로 랜섬웨어가 사용자 PC에 설치되도록 하는 특징이 있다.
현재 해당 악성 이메일은 국내 유명 취업전문 사이트의 기업별 채용정보에 기재된 기업 인사 담당자의 이메일 주소로 급속도로 유포되고 있다.
메일은 기업 인사 담당자가 의심을 가지지 않도록 구직자가 입사 지원서를 제출하는 내용이 유창한 한국어로 작성되어 있으며, 링크 형태로 포함된 이력서를 클릭해 열람하도록 유도한다.
만약 인사 담당자가 메일 내용에 속아 이력서 링크를 클릭하게 되면, 발신자 이메일 아이디와 같은 이름의 압축 파일이 다운로드 된다.
이 압축 파일 내부에는 이력서를 의미하는 영문표기인 ‘resume.js’ 파일이 포함되어 있고, 인사 담당자가 이 파일을 실행하는 즉시 ‘갠드크랩(GandCrab)’ 랜섬웨어에 감염돼 문서, 사진 등 PC에 저장된 각종 파일이 암호화된다.
ESRC 문종현 이사는 “랜섬웨어 공격은 다양한 형태로 발전되고 있으며, 공격의 효과를 높이기 위해 특정 대상을 공격하는 타깃팅 공격이 증가하고 있다”라며, “만약 기관이나 기업에서 랜섬웨어에 감염될 경우 소중한 문서 자산을 유실하는 등 큰 피해가 발생되기 때문에, 조직에 속한 임직원의 보안 의식 수준 고취와 조직 차원에서의 보안 강화 노력이 절실히 필요하다”라고 당부했다.
현재 이스트시큐리티는 한국인터넷진흥원(KISA)과의 협력을 통해 자바스크립트 파일이 동작하는 해당 서버의 국내 접속 차단 조치를 진행 중이며, 추가 공격에 대한 모니터링도 강화하고 있다.
한편 이스트시큐리티는 “이번 랜섬웨어 공격과 관련된 악성 파일을 ‘Trojan.Ransom.GandCrad’ 등으로 진단하고 차단하는 알약(ALyac) 긴급 보안 업데이트를 진행했으며, 이 밖에 알려지지 않은 갠드크랩 랜섬웨어 변종 공격에 대해서도 알약에 적용된 랜섬웨어 행위기반 사전 차단 기술로 방어 가능하다”고 설명했다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2025-04-07] 
.jpg)
.JPG)
(0).jpg){kind=spacer}
.jpg)
