[주간 랜섬웨어 동향] – 7월 3주차

잉카인터넷 대응팀은 2021년 7월 16일부터 2021년 7월 23일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "MiniWorld" 외 4건, 변종 랜섬웨어는 "Dharma" 외 3건이 발견됐다.

 

또한, VMware의 ESXi 플랫폼을 대상으로 공격하는 "HelloKitty" 랜섬웨어의 변종이 등장했다.

 

[표 1] 2021년 7월 3주차 신•변종 랜섬웨어 정리

 

2021년 7월 16일

Dharma 랜섬웨어

파일명에 ".id[사용자 ID].[공격자 메일].DLL" 확장자를 추가하고 "info.txt"라는 랜섬노트를 생성하는 "Dharma" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화하고 방화벽 사용을 해제한다.

 

Stop 랜섬웨어

파일명에 ".zzla" 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연걸을 시도한다.

 

CryLock 랜섬웨어

파일명에 "[공격자 메일].[사용자 ID]" 확장자를 추가하고 "how_to_decrypt.hta"라는 랜섬노트를 생성하는 "CryLock" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연걸을 시도한다.

 

HelloKitty 랜섬웨어

최근 VMware의 ESXi 플랫폼을 대상으로 공격하는 "HelloKitty" 변종이 등장했다. 해당 변종 랜섬웨어는 리눅스 64비트 환경에서 동작하며 'esxcli' 커맨드 라인 툴을 이용해 서버에서 실행 중인 가상 머신의 정보를 획득하고 종료한다.

 

2021년 7월 17일

MiniWorld 랜섬웨어

파일명에 ".MCNB" 확장자를 추가하고 "@readme@.txt"와 [그림 1]의 랜섬노트를 생성하는 "MiniWorld" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연걸을 시도하고 바탕 화면의 배경을 변경한다.

 

[그림 1] MiniWorld 랜섬웨어 랜섬노트

 

2021년 7월 19일

CGP 랜섬웨어

파일명에 ".cgp" 확장자를 추가하고 "RESTORE_FILES_INFO.txt"라는 랜섬노트를 생성하는 "CGP" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 사용자의 정보를 탈취하고 공격자의 C&C 서버와 연결을 시도한다.

 

[그림 2] CGP 랜섬웨어 랜섬노트

 

Chaddad 랜섬웨어

파일명에 ".chaddad" 확장자를 추가하고 "RESTORE_FILES_INFO.txt"라는 랜섬노트를 생성하는 "Chaddad" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 특정 프로세스 실행 차단 및 서비스를 종료하고 시스템 복원을 무력화한다.

 

[그림 3] Chaddad 랜섬웨어 랜섬노트

 

2021년 7월 20일

Imshifau 랜섬웨어

파일명에 ".Imshifau" 확장자를 추가하고 "INFO OF DECRYPT.txt"라는 랜섬노트를 생성하는 "Imshifau" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 자동 실행 등록을 한 후 레지스트리 편집기 및 작업 관리자 실행을 차단하고 원본 샘플을 자가 삭제한다.

 

[그림 4] Imshifau 랜섬웨어 랜섬노트

 

2021년 7월 21일

HiddenTear 랜섬웨어

파일명에 ".jew" 확장자를 추가하고 "READ_IT.txt"라는 랜섬노트를 생성하는 "HiddenTear" 랜섬웨어의 변종이 발견됐다.

 

2021년 7월 22일

AvosLocker 랜섬웨어

파일명에 ".avos" 확장자를 추가하고 "GET_YOUR_FILES_BACK.txt"라는 랜섬노트를 생성하는 "AvosLocker" 랜섬웨어가 발견됐다.

 

[그림 5] AvosLocker 랜섬웨어 랜섬노트