[주간 랜섬웨어 동향] - 11월 2주차

잉카인터넷 대응팀은 2021년 11월 5일부터 2021년 11월 11일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "PencilCry" 외 3건, 변종 랜섬웨어는 "Thanos" 외 3건이 발견됐다.

 

금주 랜섬웨어 관련 이슈로는 미국 당국이 REvil 랜섬웨어 공격의 배후인 우크라이나인을 체포한 사실을 밝혔다.

 

[표 1] 2021년 11월 2주차 신•변종 랜섬웨어 정리

 

2021년 11월 5일

PencilCry 랜섬웨어

암호화를 하지 않고, [그림 1]의 랜섬노트를 실행하는 "PencilCry" 랜섬웨어가 발견됐다.

 

[그림 1] PencilCry 랜섬웨어 랜섬노트

 

Thanos 랜섬웨어

파일명에 ".stepik" 확장자를 추가하고 "RESTORE_FILES_INFO.txt"라는 랜섬노트를 생성하는 "Thanos" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 특정 프로세스의 실행을 차단한다.

 

2021년 11월 8일

Stop 랜섬웨어

파일명에 ".stax" 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연결을 시도한다.

 

REvil 랜섬웨어 공격의 배후인 우크라이나인 체포

미국 정부는 Kaseya 공급망 공격 및 기타 REvil 랜섬웨어 공격의 배후로 의심되는 우크라이나인을 체포하고, 자국으로 인도를 고민중이라고 밝혔다. 미국 법무부는 해당 인물의 랜섬웨어 배포 혐의에 대한 기소장을 공개했으며 610만 달러 상당의 랜섬머니를 압수했다고 알렸다.

 

2021년 11월 9일

Flowey 랜섬웨어

암호화를 하지 않고, [그림 2]의 랜섬노트를 실행하는 "Flowey" 랜섬웨어가 발견됐다.

 

[그림 2] Flowey 랜섬웨어 랜섬노트

 

Small 랜섬웨어

파일명에 ".fun" 확장자를 추가하고 [그림 3]의 랜섬노트를 실행하는 "Small" 랜섬웨어가 발견됐다.

 

[그림 3] Small 랜섬웨어 랜섬노트

 

2021년 11월 10일

Pysa 랜섬웨어

파일명에 ".pysa" 확장자를 추가하고 "Readme.README"라는 랜섬노트를 생성하는 "Pysa" 랜섬웨어의 변종이 발견됐다.

 

[그림 4] Pysa 랜섬웨어 랜섬노트

 

HiddenTear 랜섬웨어

파일명에 ".payme" 확장자를 추가하고 "READ_ME_NOW.txt"라는 랜섬노트를 생성하는 "HiddenTear" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연결을 시도하고, 바탕화면의 배경을 [그림 6]으로 변경한다.

 

[그림 5] HiddenTear 랜섬웨어 랜섬노트

 

[그림 6] HiddenTear 배경화면

 

Zachacked 랜섬웨어

파일명에 ".ZACHACKED" 확장자를 추가하고 [그림 7]의 랜섬노트를 실행하는 "Zachacked" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버와 연결을 시도한다.

 

[그림 7] Zachacked 랜섬웨어 랜섬노트