[주간 랜섬웨어 동향] - 12월 3주차

잉카인터넷 대응팀은 2021년 12월 10일부터 2021년 12월 16일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "NRCL"외 1건, 변종 랜섬웨어는 "GlobeImposter"외 2건이 발견됐다.

 

금주 랜섬웨어 관련 이슈로는 Log4j에서 발견된 제로데이 취약점을 사용해 “Khonsari” 랜섬웨어를 유포한 이슈가 있었다.

 

[표 1] 2021년 12월 3주차 신&변종 랜섬웨어 정리

 

 

2021년 12월 10일

NRCL

파일명에 ".NRCL" 확장자를 추가하고 "note.txt"라는 랜섬노트를 생성하는 "NRCL" 랜섬웨어가 발견됐다.

 

[그림 1] NRCL 랜섬웨어 랜섬노트

 

2021년 12월 12일

GlobeImposter

파일명에 ".xls" 확장자를 추가하고 "read-me.txt"라는 랜섬노트를 생성하는 "GlobeImposter" 랜섬웨어의 변종이 발견됐다.

 

[그림 2] GlobeImposter 랜섬웨어 랜섬노트

 

2021년 12월 13일

VoidCrypt

파일명에 ".[공격자 메일][사용자 ID].Void" 확장자를 추가하고 [그림 3]의 랜섬노트를 생성하는 "VoidCrypt" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 특정 서비스를 종료하고 시스템 복원을 무력화한다.

 

[그림 3] VoidCrypt 랜섬웨어 랜섬노트

 

2021년 12월 15일

Log4Shell 취약점을 사용해 유포 중인 Khonsari 랜섬웨어

최근 공개된 Log4j 제로데이 취약점인 CVE-2021-44228을 악용해 유포된 “Khonsari” 랜섬웨어가 발견됐다. 해당 악성코드는 파일명에 “.khonsari” 확장자를 추가하고 “HOW TO GET YOUR FILES BACK.txt”라는 랜섬노트를 생성한다.

 

Stop

파일명에 ".Shgv” 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 C2 서버 연결을 시도한다.

 

WinCrypto

파일명에 ".wincrypto" 확장자를 추가하고 "README WINCRYPTO.txt"라는 랜섬노트를 생성하는 "WinCrypto" 랜섬웨어가 발견됐다.

 

[그림 4] WinCrypto 랜섬웨어 랜섬노트