[랜섬웨어 분석] 윈도우 업데이트를 가장한 랜섬웨어

윈도우 업데이트를 가장한 랜섬웨어 감염 주의

 

최근 윈도우 업데이트로 위장한 랜섬웨어가 등장하였다. 해당 랜섬웨어는 .tmp 확장자인 척 임시파일로 위장하여 배포되었으며, C2서버에 연결하여 악성코드를 다운로드 한다. 감염 동작이 수행되면, 가짜 윈도우 업데이트 진행 화면을 띄워 사용자가 암호화 동작을 알아채지 못하도록 하기 때문에 주의가 요구된다.
이번 보고서에서는 윈도우 업데이트를 가장한 랜섬웨어의 동작에 대해 알아보고자 한다.

 

해당 랜섬웨어는 C2 서버에 연결하여 public key와 id 정보가 있는 “bowsakkdestx.txt”와 가짜 윈도우 업데이트 설치 파일 인 “updatewin.exe” 파일을 다운로드 한다. 다운로드 된 “updatewin.exe” 을 실행시키고, 그 뒤에서 감염동작을 수행한다. 
 

[그림 1] 랜섬 노트 

C2 서버에 연결하여 사용자의 public key와 id 정보와 가짜 Windows Update 설치 파일을 다운로드 한다. 
 

[그림 2] C2서버 데이터 송수신

 

[그림 3] public key, id

[그림 4] 가짜 Windows 업데이트 진행 화면 

 

암호화가 수행되면 아래의 이미지와 같이 ‘파일명.확장자.rezm’ 로 파일명이 변경되며, 암호화가 진행된 디렉토리 아래에 랜섬노트가 생성된다. 
 

[그림 5] (좌) 암호화 전, (우) 암호화 후

이번 보고서에서 알아본 랜섬웨어는 Windows 업데이트를 가장하여 사용자가 감염사실을 인지하지 못하게 하므로 큰 피해를 초래할 수 있어 각별한 주의가 필요하다. 랜섬웨어 피해를 최소한으로 예방하기 위해서는 백신 제품을 설치하고 웹 브라우저를 항상 최신버전으로 업데이트 해야한다. 또한 중요한 자료는 별도로 백업해 보관하여야 한다.
 

상기 악성코드는 잉카인터넷 안티바이러스 제품 TACHYON Internet Security 5.0에서 진단 및 치료가 가능하다.

 

[그림 6] TACHYON Endpoint Security 5.0 진단 및 치료 화면