CryLocker 변형으로 알려진 Sage 2.0 랜섬웨어가 악성 스팸 메일 또는 Adobe Flash (SWF) 와 같은 웹 어플리케이션 취약점으로 국내에 유포되고 있음이 안랩의 악성코드 위협 분석 및 클라우드 진단 시스템인 ASD (AhnLab Smart Defense)로 확인되었다. Sage 랜섬웨어는 말하는 랜섬웨어로 알려진 Cerber 와 유사한 증상을 갖는 것으로도 알려져 있다.
Sage2.0 랜섬웨어는 CryLocker 와 동일하게 바로가기 파일(*.lnk) 생성, 암호화 제외 경로 문자열, 암호대상 등 유사한 점이 많으나 기능이 좀 더 추가되고, 암호화 방식이 달라졌다. 그리고, 2월 19일 Sage 2.2 랜섬웨어가 ASD 시스템을 통해서 국내 발견 되었는데, 코드 변화는 있으나 내부 기능은 Sage2.0 랜섬웨어와 동일한 것으로 확인되었다.
CryLocker 랜섬웨어와 동일하게 실행 시 내부에 존재하는 PE 이미지를 메모리 상에서 자기자신에 삽입하여 동작하며 감염 시 아래와 같은 화면을 띄워 사용자에게 금전적 요구를 한다.
[그림1] Sage 2.0 랜섬노트
[그림 2] 금전 요구 화면 (한국어 안내 페이지도 존재)
%appdata%경로에 자신과 동일한 파일을 생성하고, 시작프로그램에 새로 생성한 랜섬웨어에 대한 바로가기 (*.lnk)파일을 생성한다.
– C:Documents and Settings[사용자 계정]Application Data[랜덤명].exe
– C:Documents and Settings[사용자 계정]r시작 메뉴프로그램시작프로그램[랜덤명].lnk
추가적으로, 실행 파일을 삭제하는 배치파일을 숨김 속성으로 생성하고, Cerber 랜섬웨어처럼 감염사실을 음성을 통해 알려주는 VBS 스크립트 파일도 생성한다.
– C:DOCUME~1[사용자 계정]LOCALS~1Temp__config[랜덤숫자].bat (hidden)
– C:DOCUME~1[사용자 계정]LOCALS~1Tempf[랜덤숫자].vbs
[그림 3] %temp%에 생성된 스크립트 파일
:abx ping 127.0.0.1 -n 2 > nul del /A /F /Q “[실행파일경로]” if exist “[실행파일경로]”” goto abx del /A /F /Q [실행파일경로]” |
[표 1] 배치파일 데이터
Set f=//일부제거// (“Scripting.FileSystemObject”) f.DeleteFile Wscript.ScriptFullName, True Set v=CreateObject(“//일부제거//”) v.Speak “Attention! Attention! This is not a test!” WScript.Sleep(1500) v.Speak “All you documents, data bases and other important files were encrypted and Windows can not restore them without special software.User action is required as soon as possible to recover the files.” WScript.Sleep(2000) |
[표 2] Cerber 와 유사한 VBS 스크립트 파일 데이터
감염대상 드라이브는 “A: ,B: “를 제외 한 드라이브(C~Z)를 순회하며 파일을 암호화 시킨다.
이 때, 아래 표에 해당하는 문자열이 존재하는 폴더는 암호화 대상에서 제외된다.