2015.05.01 안랩, 디도스 기능 추가된 변종 랜섬웨어 주의당부

- 기존 ‘크립토락커’ 랜섬웨어 기능에 디도스 기능 추가

- 일반적 파일생성 방식 아닌 코드삽입 방식으로 디도스기능 활성화해 백신 진단 우회시도

- PC사용자는 기본 보안수칙 생활화, IT관리자는 보안관리 강화 등 조치 필요

 

안랩(대표 권치중, www.ahnlab.com )은 최근 국내에 확산되었던 랜섬웨어(보충자료1 참조)의 일종인 크립토락커(Crypto Locker)의 변종을 발견하고 사용자의 주의를 당부했다.

 

[변종 악성코드의 특징]

 

이번에 안랩이 발견한 변종은 랜섬웨어 기능 외에 디도스(DDoS, Distributed Denial of Service, 분산서비스거부)공격 기능이 추가된 것이 특징이다. 특히 디도스 기능을 하는 악성코드는 파일형태로 만들어지는 일반적인 방식이 아니라, 변종 악성코드에 최초 감염된 상태에서 사용자의 인터넷 브라우저를 몰래 자동 실행해 디도스 공격 기능을 가진 코드를 삽입하는 방식(injection 방식)으로 동작한다. (악성코드가 파일형식으로 만들어지지 않아) 악성파일을 잡아내는 백신 탐지기능을 우회 시도한다.

 

[변종 악성코드의 기능]

 

해당 악성코드는 국내 유명 IT커뮤니티에서 유포됐던 랜섬웨어의 일종인 ‘크립토락커 한글버전’의 기능을 동일하게 가지고 있으며, 감염 시 사용자의 파일을 암호화하고 금전을 요구한다. 여기에 ‘Nitol’이라는 디도스 공격 목적의 이미 알려진 악성코드를 삽입하는 방식으로 구동시킨다. 해당 기능이 활성화되면 특정 C&C 서버 (Command & Control 서버, 공격에 사용되는 서버)에 접속해 사용자의 PC정보를 유출할 뿐만 아니라, 공격자의 명령에 따라 디도스 공격을 수행한다.

 

안랩의 PC용 백신 V3 제품군과 지능형 공격 대응 솔루션인 ‘안랩 MDS’는 해당 악성코드를 진단하고 있다.

 

안랩 분석팀 유승열팀장은 “최근 악성코드는 단순히 하나의 기능만을 수행하는 것이 아니라 여러가지 기능이 복합된 형태로 진화하고 있다” 며, “이를 방지하기 위해서는 개인 사용자의 보안수칙 실행과 온라인 서비스를 제공하고 있는 업체에서도 자신의 웹사이트가 유포지가 되지 않도록 각별히 주의해야 한다”고 말했다.

 

랜섬웨어의 피해를 최소화하려면 PC사용자는 ▲스팸성 이메일(첨부파일) 실행 자제 ▲중요 파일 별도 백업 습관화 ▲수상한 웹사이트 방문자제 ▲OS 및 사용 프로그램 업데이트 등의 기본 보안수칙의 실천이 필요하다. 또한, 서비스 제공 업체의 IT 관리자는 ▲자신의 웹사이트가 악성코드의 유포지가 되지 않도록 패치 등 보안 관리 철저 ▲자사의 SW 취약점이 악성코드 유포에 활용되지 않도록 관리 강화 등의 조치가 필요하다.

 

[보충자료 1]

랜섬웨어(Ransomware)란 몸값을 뜻 하는 ‘랜섬(Ransom)’ 과 ‘소프트웨어(Software)’의 합성어로, ‘파일을 인질로 잡아 금전(몸값)을 요구하는 소프트웨어’란 의미이다. 랜섬웨어에 감염되면 사용자 컴퓨터에 저장된 문서, 그림 파일 등에 암호가 걸려 해당 자료들을 열지 못하게 된다.