입사지원 사칭 메일을 통해 ‘갠드크랩 랜섬웨어’가 국내에서 급속하게 확산되고 있어 각별한 주의가 요구된다.
이스트시큐리티(대표 정상원)에 따르면 15일 오후부터 개인 정보가 담긴 입사지원서를 사칭한 악성메일을 이용해 ‘갠드크랩 랜섬웨어 5.0.4’가 유포되고 있다. 이 버전은 MS 워드 매크로 기능을 악용한다. 사용자가 첨부된 파일을 열어 매크로를 활성화하면 랜섬웨어가 설치된다.
이스트시큐리티 시큐리티대응센터(ESRC)는 이 버전이 15일 오전 한국어 기반 환경에서 제작됐고, 제작된 악성 문서의 VBA 매크로 코드는 분석을 방해하기 위해 대부분 난독화돼 있다고 분석했다.
첨부된 MS워드 문서를 실행하면 워드파일의 버전 차이로 내용 확인이 되지 않는다며, ‘콘텐츠 사용’, ‘편집 사용’ 버튼을 클릭하도록 유도한다. MS워드의 보안 경고를 회피해 공격자가 사전에 설정해둔 매크로 기능이 실행되도록 유인하는 문구로, 만약 사용자가 ‘콘텐츠 사용’, ‘편집 사용’ 버튼을 클릭하면 그 즉시 갠드크랩 랜섬웨어가 PC가 설치되고 사용자 PC에 저장된 주요 파일을 암호화한다.
이후 공격자는 PC에 생성된 CRRILRPP-DECRYPT.txt 랜섬노트 파일 안내를 통해, 복호화(암호화 해제)를 위해서 토르(Tor) 브라우저로 특정 사이트에 접속할 것을 요구한다. 토르 브라우저는 일반적인 포털사이트에서 검색되지 않는 인터넷 공간인 ‘딥웹’에 접속이 가능해 불법적인 목적으로 많이 사용되는 브라우저다.
공격자가 안내한 사이트에 접속하면 복호화를 대가로 암호화폐 대시와 비트코인)의 지불을 요구하는 화면이 나타난다.
문종현 ESRC 센터장은 “이스트시큐리티는 기존 비너스락커 랜섬웨어 유포 조직이 이번 공격에도 가담한 것으로 판단하고 있으며, 상세한 위협 인텔리전 분석을 수행하고 있다”며 “한국 맞춤형 랜섬웨어 공격이 끊임없이 발생하고 있기 때문에, 주요 자료를 많이 다루는 기업과 기관은 반드시 자료를 분리 보관(백업)하고 임직원이 보안 수칙을 준수할 수 있도록 최선의 노력을 기울여야 한다”고 당부했다.
