악명 높은 랜섬웨어가 '디아블로(Diablo)'와 '루키투스(Lukitus)'라는 두 가지 새로운 변종과 함께 무섭게 돌아왔습니다.
새롭게 발견된 Locky 변종
보안 연구자들은 최근 랜섬웨어 Locky의 신규 계열인 '디아블로'와 '루키투스'를 발견했습니다. 이들은 다른 암호화(크립토락킹) 랜섬웨어와 마찬가지로 PC 내부의 파일을 암호화한 뒤, 복호화 키를 대가로 금전을 요구하도록 설계되었습니다. 두 변종은 2017년 8월 16일 보안 연구진에 의해 처음 보고되었습니다.
"랜섬웨어는 공격자의 기술적 정교함보다 인간 심리의 취약성을 교묘히 이용하는 공격이다."
— 제임스 스콧(James Scott)
잠적했다가 돌아온 Locky
Locky는 전 세계적으로 큰 성공을 거둔 대표적인 랜섬웨어 중 하나입니다. 2016년 처음 등장해 그해 연말까지 활동하다가 자취를 감추었지만, 더 이상 위협이 아니라고 생각한다면 큰 오산입니다. Locky는 활동을 중단한 뒤, 공격에 활용되는 세계 최대급 봇넷 중 하나인 Necurs 봇넷의 힘을 빌려 다시 모습을 드러냈습니다.
'디아블로'와 '루키투스', 무엇이 다른가?
8월 9일부터 Locky는 새로운 파일 확장자 ".diablo6"를 사용해 파일을 암호화하고 "diablo-.htm"이라는 안내 문서를 남겼습니다. 디아블로 변종은 기존과 다른 명령·제어(C&C) 서버로 통신하는 것이 특징입니다. 이와 함께 암호화된 파일에 '.Lukitus' 확장자를 붙이는 또 다른 변종도 확인되었습니다.
흥미로운 점은 'Lukitus'가 핀란드어로 '잠금(locking)'을 의미한다는 사실입니다.
감염 경로: 스팸 메일과 매크로 악용
이번 캠페인은 .DOCM 파일이 삽입된 PDF 첨부파일 형태의 스팸 메일을 발송하는 방식으로 진행됩니다. 사용자가 첨부파일을 다운로드한 후 요청에 따라 매크로를 활성화하는 순간, 컴퓨터의 모든 파일에 접근할 수 없게 됩니다.
모든 데이터가 암호화되면 공격자는 피해자가 복호화 키를 원할 경우 몸값을 요구합니다. Locky는 예전만큼 널리 퍼져 있지는 않지만, 강력한 암호화 기술을 갖추고 있어 여전히 심각한 위협으로 평가됩니다.
다시 나타난 이유는?
이번 사건은 Locky가 일정 기간 활동하지 않는다고 해서 사라졌다고 단정했던 이들에게 경각심을 일깨워 줍니다. Locky가 모습을 드러낸 것은 이번이 처음이 아니며, 한동안 행방을 감춘 뒤 새로운 감염 사고와 함께 다시 등장하는 패턴을 반복해 왔습니다.
Locky의 갑작스러운 재출현은 지난 6월 공개된 Jaff 랜섬웨어 복호화 도구와 관련이 있을 가능성이 제기됩니다. Jaff는 5월에 등장했으며, Locky 배포에 쓰인 것과 동일한 Necurs 봇넷을 통해 확산되었습니다.
랜섬웨어 대응은 계속되어야 한다
이번 사례는 랜섬웨어가 당분간 우리 곁을 떠나지 않을 것임을 보여줍니다. 따라서 보안 업계와 사용자 모두 이러한 위협에 맞서기 위해 끊임없이 새로운 전략과 기술을 개발하고 철저히 대비해야 합니다.
참고로 이번 Locky 변종들은 서로 다른 C2(Command & Control) 서버로 통신하며, 제휴 ID로는 AffilID3와 AffilID5를 사용하는 것으로 알려졌습니다.