최근 새로운 랜섬웨어가 국내 사용자를 타깃으로 유포되고 있는 것이 확인됐다. 특히 정상적인 윈도우 시스템 파일을 통해 PC에 다운로드되기 때문에 더욱 피해가 우려된다.
지난 5월 13일, 안랩 시큐리티대응센터(ASEC)의 악성코드 분석가들이 새로운 랜섬웨어가 국내에 유포된 것을 포착했다. 이번에 발견된 랜섬웨어는 국내 사용자를 타깃으로 한 정황과 함께 기존 랜섬웨어와는 다소 다른 특징을 보인다.
신종 랜섬웨어는 정상 윈도우 시스템 파일인 'regsvr32.exe'를 통해 PC에 다운로드되기 때문에 사용자가 감염 여부를 알아차리기 어렵다. 이후 감염 PC에 존재하는 여러 폴더에 'how_to_decrypt.txt'라는 랜섬노트 파일을 생성한다.
또 파일을 암호화하고 나면 파일명 뒤에 새로운 확장자만 추가하는 대부분의 랜섬웨어와 달리 'kname@protonmail.com'이라는 이메일 계정과 함께 '.kname'이라는 확장자를 추가한다.
또한 암호화할 대상과 암호화하지 않을 대상을 정해놓은 대부분의 랜섬웨어와 달리 이번에 발견된 랜섬웨어는 암호화하지 않을 대상만 정해놓았다. 암호화 제외 대상 중에 'AhnLab' 폴더도 포함되어 있다.
해당 폴더는 대표적인 국내 보안 업체인 안랩(AhnLab)의 보안 제품이 설치되는 폴더로, 안랩 제품과 관련된 폴더에 대해 암호화를 시도하다가 탐지되는 것을 방지하기 위함으로 보인다.
안랩 관계자는 "한동안 랜섬웨어의 기세가 수그러드는 것처럼 보였으나 최근 신·변종 랜섬웨어가 잇따라 유포되고 있다"며 "랜섬웨어는 일단 감염되고 나면 피해를 회복할 수 있는 방법이 거의 없기 때문에 감염 예방에 만반의 노력을 기울이는 것이 중요하다. 사용 중인 운영체제(OS)나 소프트웨어의 최신 보안 업데이트를 반드시 적용하고 출처가 불분명한 이메일의 첨부파일은 실행하지 않도록 해야한다"고 전했다.
(데일리팝=변은영 기자)
(사진/자료=안랩)
