[악성코드 분석] 유럽을 상대로 한 ‘BadRabbit Ransomware’ 감염 주의

[주의] 이번엔 유럽을 상대로 한 ‘BadRabbit Ransomware’ 감염 주의

1. 개요 

최근, 한국어 시스템을 노린 새로운 랜섬웨어 ‘Magniber Ransomware(=MyRansom)’ 가 발견 된 지 얼마 지나지 않은데 이어서 이번엔 유럽국가를 상대로 공격을 시도한 ‘BadRabbit Ransomware’ 가 새롭게 발견 되었다. 현재까지 피해가 확인 된 국가는 우크라이나, 러시아, 터키, 독일, 불가리아 등이다.

‘BadRabbit Ransomware’ 에 감염이 되면 대상이 되는 파일을 암호화 할 뿐 아니라, 정상적으로 PC를 사용하지 못하도록 MBR영역까지 수정하기 때문에 국내 사용자도 각별한 주의가 필요하다.

이번 보고서에서는 ‘Adobe Flash Player’ 설치 파일로 위장한 ‘BadRabbit Ransomware’ 에 대해서 알아보고자 한다. 

2. 분석 정보

2-1. 파일 정보

구분	내용
파일명	FlashUtil.exe (Adobe Flash Player 설치파일 위장)
파일크기	441,899 byte
진단명	Ransom/W32.BadRabbit.441899
악성동작	드롭퍼

구분	내용
파일명	Infpub.dat
파일크기	410,760 byte
진단명	Ransom/W32.BadRabbit.410760
악성동작	드롭퍼, 파일 암호화, 네트워크 전파

구분	내용
파일명	cscc.dat
파일크기	181,448 byte
동작	디스크 암호화에 사용되는 정상 드라이버

구분	내용
파일명	dispci.exe
파일크기	142,848 byte
진단명	Ransom/W32.BadRabbit.142848
악성동작	MBR 감염

2-2. 유포 경로

‘BadRabbit Ransomware’ 는 사용자가 특정 웹사이트를 방문하였을 때 Drive By Download 방식으로 유포되고 있는 것으로 확인 된다.

2-3. 실행 과정

해당 랜섬웨어의 원본 실행 파일은 ‘Adobe Flash Player’ 설치 파일로 위장되어 있으며 이 파일이 실행되면 “C:\Winodws\” 경로에 실제 악성 동작을 수행하는 ‘infpub.dat’, ‘dispci.exe’, ‘cscc.dat’ 파일들이 드롭 되어 실행 된다.

그 후 실행된 파일들은 각각의 역할에 따라 사용자 PC의 파일을 찾아 암호화 동작을 수행하거나, 부트 영역을 수정한다. 그리고 해당 작업들이 완료 되면 작업 스케줄러에 등록되어 있는 재부팅 명령에 따라 PC를 재부팅 한다.

재부팅 된 사용자 PC의 부트영역에는 암호화된 파일에 대하여 복호화 하기 위한 방법을 안내하고 있으며 Tor브라우저를 이용하여 비트 코인을 지불하라는 안내문이 작성되어 있는 것을 확인 할 수 있다.

[그림 1] Adobe Flash로 위장 한 ‘BadRabbit’ 실행 파일

 

3. 악성 동작

3-1. 파일 암호화

해당 랜섬웨어는 대상이 되는 파일을 찾아 암호화를 진행한다. 하지만 최근 발견된 랜섬웨어들이 원본 파일명을 변경하거나 특정 문자열을 확장자 뒤에 덧붙였던 방법과는 다르게 확장자는 변경되지 않으며 손상된 파일로 표시된다. 손상된 파일을 확인하면 다음과 같이 ‘encrypted’ 라는 특정 시그니처가 추가 된 것을 확인 할 수 있다.

[그림 2] 암호화 된 파일

암호화 대상이 되는 확장자는 아래와 같다.

 

구분

내용

암호화 대상 파일 확장자

.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer  .cfg .conf .cpp .crt .cs .ctl .cxx.dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip

[표 1] 암호화 대상 파일 확장자

3-2. 네트워크 감염

‘BadRabbit Ransomware’ 는 더 많은 피해를 발생시켜 금전적 이득을 취하기 위해 감염 된 PC와 연결 된 네트워크를 대상으로 원본 악성코드 전파를 시도 한다. 

[그림 3] 동일 대역 네트워크 검색

동일한 네트워크상에 있는 다른 PC들의 IP들을 순차적으로 확인하여 SMB에 설정한 암호가 취약한지 코드 내부에 있는 임의의 계정 및 패스워드를 대입한다. 만약 SMB에 설정한 암호와 대입한 계정 및 패스워드가 일치 할 경우 추가적으로 악성코드를 ADMIN$ 공유폴더에 생성한다. 

[그림 4] ‘ADMIN$’ 를 이용한 네트워크 전파

 

또한, ‘ADMIN$’ 공유 폴더를 이용하여 성공적으로 악성코드를 생성 시켰다면 동일 네트워크 상에 있는 다른 PC에서 ‘wmic’ 명령어를 통해 원격호스트에서 해당 랜섬웨어를 실행되도록 한다. 

[그림 5] ‘wmic.exe’ 를 이용한 원격 실행

3-3. 부트 영역 변조

다른 랜섬웨어들이 재부팅 후 자동실행을 하기 위해 레지스트리나 작업 스케줄러에 암호화 동작을 수행하는 파일을 등록하였던 반면, 해당 랜섬웨어는 MBR영역을 변조하기 위해 아래 [그림 6]와 같이 재부팅 명령을 수행하거나 MBR영역을 변조하는 dispci.exe 파일을 실행하도록 한다.

[그림 6] 등록된 예약 작업

그리고 파일 암호화가 완료 되면 작업 스케줄러에 등록되어 있는 실행 시간과 명령어가 실행되어 감염 된 PC를 재부팅 한다. 재부팅 후 변조 된 부트영역을 통하여 사용자에게 파일이 암호화 되어 있음을 보여준다.

[그림 7] 감염 된 사용자 PC 부팅 화면

3-4. 결제 유도

암호화가 완료되면 ‘Readme.txt’ 라는 랜섬 노트 파일이 생성된다. 해당 파일을 열면 암호화 된 파일에 대하여 복호화하기 위한 방법으로 토르 브라우저를 설치하고 랜섬노트 안에 작성되어 있는 주소로 접속하라는 내용을 포함하고 있다. 

[그림 8] 랜섬 노트

랜섬노트에 작성되어 있는 주소를 토르브라우저를 이용하여 접속 할 경우 제한 시간 내에 비트 코인을 지불하라는 내용을 포함하고 있다.

[그림 9] ‘Tor 브라우저’ 접속 시 복호화 안내

4. 결론

이번 보고서에서 알아 본 ‘BadRabbit Ransomware’ 는 현재까지 주로 유럽국가를 상대로 공격을 시도하고 있다. 하지만 해당 랜섬웨어는 파일 암호화 뿐만 아니라 부트 영역을 감염 시켜 사용자를 불편하게 만들고 SMB를 이용한 네트워크 감염을 시도하기 때문에 국내 사용자도 안심 할 순 없다. 일단 감염이 되면 같은 네트워크를 사용하는 공공기관 및 회사에서 큰 피해를 줄 수 있을 것으로 보여 각별한 주의가 필요하다.

랜섬웨어의 피해를 최소한으로 예방하기 위해서는 MS에서 제공하는 최신 보안 패치와 함께 백신 제품을 설치하고 항상 최신버전으로 유지하여야 한다. 또한 중요한 자료는 별도로 백업해 보관에 유의하여야 한다.

상기 악성코드는 잉카인터넷 안티바이러스 제품 nProtect Anti-Virus Spyware V4.0에서 진단 및 치료가 가능하다.

[그림 10] nProtect Anti-Virus/Spyware V4.0 진단 및 치료 화면