끝없는 랜섬웨어 공격 속, 새로운 전술의 등장
수많은 랜섬웨어 변종이 끊임없이 공격을 이어오는 가운데, 랜섬웨어 제작자들은 더욱 새로운 수법으로 사용자들을 겁주려 하고 있습니다.
지금까지는 기한 내에 몸값을 지불하지 않으면 파일을 삭제해 버리는 랜섬웨어가 등장했고, 파일 이름 자체를 변경해 데이터를 잠그고 복호화를 더욱 어렵게 만드는 변종들도 나타났습니다. 그런데 이번에는 포콘 타임(Popcorn Time) 랜섬웨어가 스스로 퍼져나가기 쉬운 구조를 도입해 제작자의 노력을 덜었다는 점에서 주목받고 있습니다. 어쩌면 피해자에게 조금은 '자비로운' 선택을 한 것이라고 표현할 수도 있겠습니다.
포콘 타임 랜섬웨어의 등장
최근 맬웨어헌터팀(MalwareHunterTeam)이 '포콘 타임'이라는 이름의 새로운 랜섬웨어를 발견했습니다. 이 변종은 사용자에게서 금품을 갈취하는 매우 특이한 방식을 사용합니다. 피해자가 이 악성코드를 다른 두 명의 사용자에게 성공적으로 전파하면 무료 복호화 키를 받을 수 있다는 것입니다. 물론 전파에 실패하면 결국 본인이 몸값을 지불해야 합니다. 설상가상으로, 랜섬웨어 내부에는 완성되지 않은 코드가 남아 있어 잘못된 복호화 키를 4회 입력하면 파일이 삭제될 가능성도 있습니다.
포콘 타임 랜섬웨어의 수상한 점
이 악성코드에는 다른 사용자에게 전파하기 위한 '추천 링크(referral link)'가 포함되어 있습니다. 최초 피해자는 이후 감염된 두 사람이 몸값을 지불했을 때에야 복호화 키를 받게 되며, 상대방이 지불하지 않으면 최초 피해자가 직접 비용을 부담해야 합니다. 블리딩 컴퓨터(BleepingComputer)는 이렇게 전합니다. "이를 용이하게 하기 위해 포콘 타임 랜섬 노트에는 랜섬웨어의 TOR 서버에 위치한 파일을 가리키는 URL이 담겨 있습니다. 현재 해당 서버는 다운된 상태이기 때문에 이 파일이 어떤 모습으로, 어떤 방식으로 위장되어 사람들을 속여 설치하게 만들지는 알 수 없습니다."
또한 이 변종에는 잘못된 복호화 키를 4회 입력하면 파일을 삭제하는 기능이 추가될 가능성도 제기되고 있습니다. 분명한 사실은 이 랜섬웨어가 아직 개발 단계에 있다는 것이며, 이러한 전술이 실제 구현되어 있는지 아니면 단순히 겁을 주기 위한 허풍인지는 불확실합니다.
포콘 타임 랜섬웨어의 작동 원리
랜섬웨어가 성공적으로 설치되면 먼저 %AppData%\been_here, %AppData%\server_step_one 등 여러 파일을 확인해 이미 실행된 적이 있는지 검사합니다. 시스템이 이미 감염된 상태라면 악성코드는 스스로 종료됩니다. 포콘 타임은 'been_here' 파일의 존재 여부로 이를 판단합니다. 반대로 해당 파일이 없다면 랜섬웨어는 악성 행위를 본격적으로 진행하며, 배경 화면으로 사용할 여러 이미지를 내려받거나 파일 암호화 과정을 시작합니다.
포콘 타임은 아직 개발 단계에 있기 때문에 현재로서는 사용자 바탕화면에 존재하는 Efiles라는 테스트 폴더만 암호화합니다. 이 폴더에는 .back, .backup, .ach 등 다양한 확장자를 가진 파일들이 담겨 있습니다.
이후 랜섬웨어는 미리 정의된 확장자와 일치하는 파일을 찾아 AES-256 방식으로 암호화를 시작합니다. 포콘 타임에 의해 암호화된 파일에는 '.filock' 확장자가 추가됩니다. 예를 들어 'abc.docx'라는 파일은 'abc.docx.filock'으로 변경됩니다. 감염이 완료되면 두 개의 base64 문자열을 변환하여 restore_your_files.html과 restore_your_files.txt라는 이름의 랜섬 노트로 저장하고, HTML 형식의 랜섬 노트를 화면에 표시합니다.
참고로 이 랜섬웨어가 노리는 파일 확장자는 수백 종에 달합니다. 문서(.doc, .docx, .pdf, .pptx, .xls 등), 이미지(.jpg, .png, .psd, .raw 등), 동영상(.mp4, .avi, .mkv, .mov 등), 오디오(.mp3, .wav, .flac 등), 데이터베이스(.sql, .mdb, .sqlite 등), 압축 파일(.zip, .rar, .7z 등), 소스 코드(.php, .java, .py 등), 가상 디스크(.vhd, .vmdk 등)까지 폭넓은 범위의 사용자 파일이 암호화 대상이 됩니다.
랜섬웨어로부터 보호하는 방법
아직까지는 감염 이후 이를 해결해 줄 수 있는 탐지 도구나 랜섬웨어 제거 프로그램이 개발되지 않았기 때문에, 사용자들은 사전 예방 조치를 통해 랜섬웨어 공격을 피하는 것이 최선입니다. 무엇보다 중요한 것은 데이터 백업입니다. 이와 함께 안전한 인터넷 사용 습관을 유지하고, 광고 차단 확장 프로그램을 활용하며, 신뢰할 수 있는 안티 멀웨어 도구를 설치하고, 시스템에 설치된 소프트웨어와 앱, 프로그램을 정기적으로 최신 상태로 업데이트해야 합니다. 백업 도구로는 256비트 AES 암호화를 통해 클라우드에 데이터를 안전하게 보관할 수 있는 Right Backup과 같은 클라우드 스토리지 솔루션을 활용하는 것도 좋은 방법입니다.
마무리: '자비'인가, 교묘한 확산 장치인가
포콘 타임 랜섬웨어의 "두 사람에게 전파하면 무료 복호화" 방식은 겉보기에는 자비로워 보이지만, 실질적으로는 피해자 스스로 감염을 확산시키도록 유도하는 바이러스성 마케팅에 가깝습니다. 게다가 잘못된 키 입력 4회 시 파일 삭제라는 조건까지 더해지면 이는 자비가 아니라 오히려 더 강력한 협박 수단이 될 수 있습니다. 결국 가장 확실한 방어책은 백업과 예방뿐입니다.