MS 엣지 브라우저 아이콘으로 위장한 랜섬웨어 유포

마이크로소프트(Microsoft = MS)의 차세대 인터넷 브라우저의 공식 실행 아이콘으로 나쁜 해킹의 도구로 사용(위장)하는 랜섬웨어가 유포 중인 것으로 나타났다. PC 사용자가 엣지 브라우저(MS Edge Browser)를 무심코 새롭게 몰래 생성된 실행 아이콘을 클릭할 경우 Chaos 랜섬웨어가 감염이 된다. 암호화하는 파일 확장자가 약 2백여 개, 폴더 20여 개가 달해서 감염 시 피해가 매우 클 것으로 주의를 요한다.

 

 

마이크로소프트의 제품의 아이콘까지 해킹의 도구로 사용하는 해커들

 

마이크로소프트 엣지 브라우저로 위장해 유포중인 랜섬웨어 _자료 출처 이스트시큐리티 ESRC

 

이스트시큐리티 시큐리티대응센터(ECRC)에 따르면 마이크로소프트의 새로운 엣지 브라우저를 위장한 Chaos 랜섬웨어는 수정한 날짜가 2021년 10월 20일로 최근에 제작이 되었다고 한다.

 

만일 PC 사용자가 해당 파일을 정상적인 엣지 브라우저로 착각을 해서 실행할 경우 Chaos 랜섬웨어가 실행되는 것으로 확인 분석이 되었다고 한다.

 

이 랜섬웨어가 암호화하는 파일 확장자는 아래와 같다. 대표적인 문서와 그림, 사진 파일 확장자이며 이외 2백여 개가 넘는 확장자를 포함한다고 한다.

 

• 텍스트 문서 파일 - txt, html, htm, pdf 등
• 워드 파일 - doc, docx, dot, dotx 등
• 엑셀 파일 - xls, xlsx, csv 등
• 파워포인트 파일 - ppt, pptx 등
• 그림 도면 파일 - dwg, dwt, jpg, jpeg, png, psd, cs, bmp 등
• 동영상 파일 - mov, mkv, avi, wmv, swf 등
• 음악 파일 - m4a, mp3, mp4 등
• 압축 파일 - jar, zip, rar, apk, iso 등
• DB 파일 - sql, mdb, asp, aspx 등

 

암호화 작업을 하는 폴더 역시 Desktop, Links, Contacts, Documents(내문서), Downloads(다운로드), Pictures, Onedrive 등 20여 개체가 된다. 그냥 윈도우 운영체제에서 자주 쓰이는 폴더가 모두 타깃이 된다고 보면 된다.

 

▲랜섬웨어를 통해 암호화시킨 후 띄우는 랜섬노트 _자료 출처 이스트시큐리티 ESRC

 

위의 사진을 보면 랜섬웨어는 파일을 암호화 후 확장자를 "[기존 파일명.확장자].랜덤한 4자리 문자열"로 변경해서 'README.txt' 파일명을 가진 랜섬 노트를 사용자에게 보여준다. 이 랜섬 노트에는 파일 복호화를 위해 랜섬노트에서 안내하는 비트코인 주소로 0.1473766 BTC를 협박하듯이 보내라는 내용이 포함된다.

 

(위) 암호화 전 파일 / (아래) 암호화 후 파일 _자료 출처 이스트시큐리티 ESRC

 

암호화 코드 상에는 감염 후 배경을 변경하는 절차가 포함되어 있지만 이미지 파일이 포함되지 않아서 랜섬웨어 감염 후에 따로 바탕화면이 변경되거나 하지는 않는다. 옛날 랜섬웨어에 비해서 지능적으로 설계가 되었다. 철저하게 비트코인(돈)을 목적으로 돈을 벌겠다는 해커들의 움직임이다.

 

마지막으로 현재 알약에서는 해당 랜섬웨어에 대해서 Trojan.Ransom.Filecoder로 탐지가 가능하게 모든 알약 DB 엔진에 업데이트를 해둔 상태이다.

 

2021.06.07 - [이슈] - 인터넷 익스플로러(Internet Explorer) 은퇴 준비-IE 11 버전 지원 종료

인터넷 익스플로러(Internet Explorer) 은퇴 준비-IE 11 버전 지원종료

 

2021년 6월 7일에 포스팅한 마이크로소프트(MS)의 인터넷 익스플로러(Internet Explorer)가 은퇴를 하고 그 자리를 새롭게 자리할 MS Edge 브라우저를 인질을 삼은 듯한 국제 해커들의 치밀함에 기가 막힌다. 너무 지능적으로 변모하고 있는 해커들의 모습을 보면 나도 머물러 있으면 당하겠다는 생각을 무심코 해본다.

 

---

글 참고 원문 참조 : 이스트소프트 시큐리티 대응센터 ESRC 공식 블로그

Microsoft Edge 프로그램을 위장하여 유포중인 Chaos랜섬웨어 주의!