[랜섬웨어 분석] BabukLocker 랜섬웨어

 

최근 “BabukLocker” 랜섬웨어가 발견되었다. ‘BabukLocker’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 볼륨 섀도우 복사본 삭제를 통해PC 복구가 불가능하도록 하며 랜섬노트를 통해 랜섬머니를 요구한다. 해당 랜섬웨어는 암호화 이전에 특정 프로세스를 종료시켜 더 많은 파일을 암호화하므로 주의가 필요하다.

 

“BabukLocker” 랜섬웨어를 실행할 때 [표 1]에 해당하는 명령어를 이용하여 네트워크 드라이브를 암호화하는 루틴이 추가된다.

 

[표  1]  명령어를 통한 암호화

 

해당 랜섬웨어에 감염되면 %USERPROFILE% 경로 및 하위 폴더의 모든 확장자의 파일이 암호화 되며 암호화된 파일명의 확장자 뒤에 “.__NIST_K571__” 라는 이름의 확장자를 덧붙인다.

 

[그림  1]  암호화 결과

 

또한, 암호화 대상 폴더에 “How To Restore Your Files.txt”라는 이름의 랜섬노트를 생성하여 사용자에게 감염 사실을 알린다. 랜섬노트에는 랜섬웨어 공격자와 협상을 할 수 있는 URL 주소가 담겨있으며 해당 사이트에 접속하여 랜섬머니를 지불하고, 암호화된 파일을 복구하라고 경고 한다.

 

[그림  2]  랜섬 노트

 

 

그리고 암호화하기 이전에 더 많은 파일을 효율적으로 암호화하기 위해 [표 2]에 해당하는 특정 프로세스 종료한다.

 

 

[표  2]  종료 프로세스

 

 마지막으로 정상적인 복구가 불가능하도록 [표 3]의 명령어를 사용하여 볼륨 섀도우 복사본을 삭제한다.

 

[표  3]  복구 무력화

 

이번 보고서에서 알아본 “BabukLocker” 랜섬웨어는 로컬 드라이브뿐만 아니라 네트워크 드라이브까지 암호화하기에 사용자의 주의가 필요하다. 사용자가 랜섬웨어의 피해를 최소한으로 예방하기 위해서는 백신 제품을 설치하고 웹 브라우저를 항상 최신 버전으로 업데이트 하는 것을 권고한다.

 

상기 악성코드는 잉카인터넷 안티바이러스 제품 TACHYON Internet Security 5.0에서 진단 및 치료가 가능하다.

 

[그림  3] TACHYON Endpoint Security 5.0  진단 및 치료 화면