Gentlemen 랜섬웨어 분석

2025년 중반에 새로 등장해 현재까지 활발히 활동 중인 Gentlemen 랜섬웨어 그룹이 발견됐다. 해당 그룹은 다크 웹에서 위협 행위자를 대상으로 랜섬웨어 서비스와 플랫폼을 홍보하며 Windows, Linux 및 ESXi 등 다양한 OS 버전의 랜섬웨어 샘플을 제공한다. 또한 자체 홈페이지와 X 계정을 운영해 공격에 성공한 피해자의 정보와 탈취한 데이터의 일부를 공개하고 이를 빌미로 금전을 요구하는 이중 갈취 전술을 사용하고 있다.

 

Gentleme 랜섬웨어는 Go 언어 기반의 샘플로 Garble 난독화가 적용돼 분석을 어렵게 하며 샘플마다 실행에 필요한 고유의 패스워드를 가진다. 정확한 패스워드와 함께 랜섬웨어가 실행되면 탐지 회피, 복구 무력화 및 지속성을 설정한 후 파일을 암호화한다. 암호화된 파일은 .p7uon2 확장자를 추가하고 각 폴더마다 README-GENTLEMEN.txt라는 이름의 랜섬노트를 생성한다.

 

[그림 1] 암호화 결과 및 랜섬노트

 

실행 옵션

Gentlemen 랜섬웨어는 8개의 실행 옵션을 지원하며 그 중 --password는 필수 옵션으로 정확한 패스워드를 입력하지 않으면 악성 동작을 수행하지 않고 즉시 종료된다. 나머지 옵션은 암호화 대상 경로, 잠복 시간 및 암호화 비율 등을 결정할 수 있다.

 

[표 1] 실행 옵션

 

--system 옵션은 랜섬웨어 샘플이 작업 스케줄러를 악용해 시스템 권한을 획득하는 기능을 제공한다. 해당 옵션이 입력되면 /RU SYSTEM 옵션과 함께 schtasks 명령어를 실행해 자가 자신을 실행하는 예약 작업을 등록하고 등록된 작업을 강제로 시작한다. 이와 같은 방식은 관리자 권한 수준에서 작업 스케줄러가 시스템 권한으로 프로세스를 시작할 수 있도록 한다. --passowrd 및 --system 옵션에 따른 처리가 완료되면 환경변수 LOCKER_BACKGROUND의 값을 “1”로 설정한 후 자기 자신을 백그라운드에서 자식 프로세스로 재실행한다.

 

schtasks /Delete /TN gentlemen_system /F
schtasks /Create /RU SYSTEM /SC ONCE /TN gentlemen_system /TR {샘플 실행 경로 및 옵션} /ST 15:04
schtasks /Run /TN gentlemen_system

[코드 1] --system 옵션 수행 명령어

 

탐지 회피 및 복구 무력화

백그라운드에서 실행된 랜섬웨어 샘플은 CMD 명령어를 이용해 탐지 회피, 복구 무력화 및 지속성 설정 등의 동작을 수행한다. 먼저 윈도우 디펜더의 실시간 모니터링을 비활성화하고 현재 샘플과 C 드라이브를 검사 예외 항목에 추가한 후 보안 프로그램, 가상 머신 및 데이터 베이스 관련 프로그램을 포함한 상업 서비스의 프로세스와 서비스를 종료한다.

 

[그림 2] 서비스 및 프로세스 종료 코드

 

또한 볼륨 섀도우 복사본을 삭제해 암호화된 파일을 복구할 수 없도록 하고 윈도우 이벤트 로그와 Prefetch 등을 삭제해 랜섬웨어의 실행 흔적을 지운다. 마지막으로 작업 스케줄러와 Run 레지스트리를 등록해 지속성을 설정한다.

 

schtasks /Create /SC ONSTART /TN UpdateSystem /TR {sample_path & option} /RU SYSTEM
schtasks /Create /SC ONSTART /TN UpdateUser /TR {sample_path & option}

reg add HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run /v GupdateS /t REG_SZ /d {sample_path & option} /f
reg add HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run /v GupdateU /t REG_SZ /d {sample_path & option} /f

[코드 2] 지속성 설정 명령어

 

파일 암호화

암호화는 --path 옵션이 지정되지 않은 경우 시스템 내 모든 드라이브를 대상으로 진행되며 파일 또는 폴더 이름을 하드코딩된 제외 대상 목록과 비교해 암호화할 파일을 구분한다. 드라이브 탐색 중 제외 대상에 포함되지 않은 모든 폴더에 랜섬노틀르 생성한다.

 

[표 2] 암호화 제외 대상 목록

 

[그림 3] 암호화 제외 목록 비교 코드

 

암호화 모드

암호화 대상 파일은 랜섬웨어 실행 시 지정된 옵션 --fast / superfast / ultrafast에 따라 파일 암호화 비율이 결정된다. 암호화할 파일의 크기가 1MB 이하일 경우에는 옵션에 상관없이 파일 전체를 암호화하지만, 1MB를 초과할 경우 옵션 별 정해진 비율에 따라 부분 암호화를 진행한다. 부분 암호화는 비율에 따른 청크 사이즈를 계산한 후 파일의 시작, 중간, 끝 부분에서 각 청크 사이즈만큼만 암호화하는 방식으로 수행된다.

  - chunkSize = fileSize * (옵션 별 비율)

  - 파일 시작 : offset = 0

  - 파일 중간 : offset = (fileSize – 3 * chunkSize) / 2

  - 파일 끝 : offset = (fileSize – 3 * chunkSize)

 

[표 3] 옵션 별 암호화 비율

 

암호화 알고리즘

파일 암호화에는 대칭키 알고리즘인 XChaCha20을 사용하며 암호화에 사용할 키는 기반 키 교환 알고리즘 X25519를 사용해 생성한다. 공유 암호화 키를 생성할 때 사용되는 개인키는 파일마다 랜덤으로 생성해 각각의 파일이 모두 다른 키로 암호화되도록 설계됐다. 암호화 키 생성 순서는 다음과 같다.

  1. 파일 별 랜덤으로 32바이트의 임시 개인키(tmpPriv)를 생성한다.

  2. X25519 알고리즘으로 임시 개인키를 이용해 임시 공유키(tmpPub)를 생성한다.

      - tmpPub = X25519(tmpPriv, Basepoint)

  3. 임시 개인키와 샘플 내 하드코딩된 공격자의 공개키(attackerPub)로 공유 비밀키(shared)를 생성한다.

      - shared = X25519(tmpPriv, attackerPub)

  4. 공유 비밀키와 임시 공개키를 각각 XChaCha20의 암호화 키 및 Nonce로 사용해 파일을 암호화한다.

  5. 임시 공유키를 Base64로 인코딩해 암호화된 파일 끝에 추가한다.

      - 공격자는 자신의 개인키(attackerPriv)와 임시 공유키를 이용해 암호화 키를 유도할 수 있다.

      - shared = X25519(attackerPriv, tmpPub)

 

[그림 4] X25519 기반 암호화 키 생성 코드

 

각 파일의 암호화가 완료되면 파일 끝에 Base64로 인코딩된 임시 공개키와 “GENTLEMEN”이라는 문자열 마커를 포함한 0x51 바이트의 데이터를 추가한다. 임시 공개키는 공격자가 암호화 키를 유도할 때 사용하며 “GENTLEMEN” 문자열은 해당 파일이 암호화된 파일인지 검사하는 용도로 사용된다.

 

[그림 5] 파일 끝 데이터 추가 결과

 

Gentlemen 랜섬웨어는 윈도우 디펜더 비활성화 및 볼륨 섀도우 복사본 삭제 등을 수행해 탐지와 복구를 어렵게 하며 지정한 옵션에 따라 네트워크 드라이브나 공유 폴더도 감염할 수 있다. 또한 탈취한 데이터의 일부를 자체 홈페이지에 게시해 금전을 지불하도록 압박하는 이중 갈취 방식을 사용해 주의가 필요하다. 따라서 중요한 파일은 물리적으로 분리된 공간에 백업하는 습관이 필요하고 보안 프로그램과 OS를 항상 최신 버전으로 유지할 것을 권고한다.

 

상기 악성코드는 잉카인터넷 안티바이러스 제품 TACHYON Internet Security 6.0에서 진단 및 치료가 가능하다.

 

[그림 6] TACHYON Internet Security 6.0 진단 및 치료 화면