[주간 랜섬웨어 동향] - 10월 4주차

잉카인터넷 대응팀은 2021년 10월 22일부터 2021년 10월 28일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Bronya" 외 1건, 변종 랜섬웨어는 "Stop" 외 5건이 발견됐다.

 

금주 랜섬웨어 관련 이슈로는 보안 업체가 AtomSilo 및 LockFile 랜섬웨어의 무료 복호화 툴을 공개했다.

 

[표 1] 2021년 10월 4주차 신•변종 랜섬웨어 정리

 

2021년 10월 22일

Stop 랜섬웨어

파일명에 ".zaps"로 변경하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도한다.

 

Bronya 랜섬웨어

암호화를 하지 않고, [그림 1]의 랜섬노트를 실행하는 "Bronya" 랜섬웨어가 발견됐다.

 

[그림 1] Bronya 랜섬웨어 랜섬노트

 

2021년 10월 23일

Thanos 랜섬웨어

파일명에 ".steriok" 확장자를 추가하고 "RESTORE_FILES_INFO.txt"라는 랜섬노트를 생성하는 "Thanos" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 특정 프로세스의 실행을 차단한다.

 

[그림 2] Thanos 랜섬웨어 랜섬노트

 

2021년 10월 24일

Zepplin 랜섬웨어

파일명에 ".[키 값]" 확장자를 추가하고 "RECOVERY.txt"라는 랜섬노트를 생성하는 "Zepplin" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다.

 

[그림 3] Zepplin 랜섬웨어 랜섬노트

 

WhiteHorse 랜섬웨어

파일명에 ".whitehorse" 확장자를 추가하고 "#Decrypt#.txt"라는 랜섬노트를 생성하는 "WhiteHorse" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화하고, 자기 자신을 자가 복제한다.

 

 

[그림 4] WhiteHorse 랜섬웨어 랜섬노트

 

2021년 10월 25일

Loki 랜섬웨어

".[공격자 메일][ID][파일명].Loki"로 파일명을 변경하고 [그림 5]의 랜섬노트를 실행하는 "Loki" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화하고, 공격자의 C&C 서버에 연결을 시도한다.

 

[그림 5] Loki 랜섬웨어 랜섬노트

 

2021년 10월 27일

Tohnichi 랜섬웨어

파일명에 ".mallox" 확장자를 추가하고 "RECOVERY INFORMATION.txt"라는 랜섬노트를 생성하는 "Tohnichi" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화하고, 자기 자신을 자가 복제한다. 또한, 특정 프로세스의 실행을 차단한다.

 

[그림 6] Tohnichi 랜섬웨어 랜섬노트

 

Nefilim 랜섬웨어

파일명에 ".PUSSY" 확장자를 추가하고 "PUSSY!!!DANGER.txt"라는 랜섬노트를 생성하는 "Nefilim" 랜섬웨어의 변종이 발견됐다.

 

[그림 7] Nefilim 랜섬웨어 랜섬노트

 

2021년 10월 28일

AtomSilo 및 LockFile 랜섬웨어 무료 복호화 툴 공개

한 보안 업체는 AtomSilo 및 LockFile 랜섬웨어의 무료 복호화 툴을 공개했다. 해당 업체 공식 홈페이지에는 AtomSilo 및 LockFile 랜섬웨어 분석 결과 및 동작 과정을 설명하는 글, 보호화 툴을 다운로드할 수 있는 링크와 사용법이 포함돼 있다.

 

[그림 8] AtomSilo 및 LockFile 랜섬웨어 복호화 툴

사진 출처 : Avast