[랜섬웨어 분석] Nibiru 랜섬웨어

Nibiru Ransomware 감염 주의

 

최근 "Nibiru” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 확장자에 대해 암호화를 한 후 화면을 잠그며 작업 관리자를 실행할 수 없게 설정하여 잠금 화면을 종료할 수 없게 한다. 감염 이후 피해자에게 몸값을 요구하므로 사용자의 주의가 필요하다.

 

이번 보고서에서는 “Nibiru” 랜섬웨어에 대해 간략하게 알아보고자 한다.

 

“Nibiru” 랜섬웨어에 감염되면 [표 1]의 암호화 제외 폴더를 제외한 경로의 대상 확장자를 암호화한다.

 

[표  1]  암호화 대상 확장자 및 제외 폴더

 

암호화 이후에 파일명의 확장자 뒤에 “.Nibiru”라는 이름의 확장자를 덧붙인다.

 

[그림  1]  암호화 결과

 

 

해당 랜섬웨어는 랜섬 노트를 파일로 드랍하지 않는다. 대신 화면을 잠그며 해당 잠금 화면에 랜섬 노트가 작성되어 있다.

 

[그림  2]  랜섬 노트와 화면 잠금

 

레지스트리 값을 추가하여 사용자가 잠금 화면을 강제로 종료할 수 없도록 작업 관리자 창을 열 수 없게 한다. 또, 강제로 재부팅을 시도할 시 레지스트리에 등록된 실행 파일 경로 때문에 해당 랜섬웨어가 자동으로 실행되어 화면이 잠긴다.

 

[표  2]  레지스트리 설정

 

이번 보고서에서 알아본 “Nibiru” 랜섬웨어는 감염 직후 화면 잠금을 통해 사용자가 PC를 이용할 수 없도록 하기에 사용자의 주의가 필요하다. 랜섬웨어의 피해를 최소한으로 예방하기 위해서는 백신 제품을 설치하고 웹 브라우저를 항상 최신 버전으로 업데이트 하는 것을 권고한다.

 

상기 악성코드는 잉카인터넷 안티바이러스 제품 TACHYON Internet Security 5.0에서 진단 및 치료가 가능하다.

 

[그림  3] TACHYON Endpoint Security 5.0  진단 및 치료 화면