AhnLab Security Emergency response Center(ASEC)은 내부 모니터링 중, Nevada 랜섬웨어의 유포 정황을 확인하였다. Nevada 랜섬웨어는 Rust 기반으로 작성된 악성코드이며 감염 시, 감염된 파일에 “.NEVADA” 확장자가 추가되는 특징을 갖는다. 또한 암호화를 수행한 각 디렉터리에 “README.txt” 이름으로 랜섬노트를 생성하며, 랜섬노트 내에 지불을 위한 Tor 브라우저 링크가 존재한다.
1. Nevada 랜섬웨어 주요 기능
해당 랜섬웨어는 하단의 그림과 같이 세부 실행 방식 지정을 위한 커맨드 기반 옵션을 지원하고 있다. 별도의 옵션을 지정하지 않고 실행 시, 모든 드라이브를 순회하며 암호화만을 진행하지만 “file’, “dir” 옵션 지정을 통해 개별 파일 및 디렉터리를 지정하여 암호화를 수행하거나, 기타 옵션들을 통해 자가삭제, 암호화 대상 드라이브 추가 로드, 안전모드에서 동작 수행 등의 기능을 활성화 할 수 있다. 하단의 표는 해당 랜섬웨어에서 커맨드라인 기반으로 지원하는 기능들에 대한 간략한 설명을 기술한다.
| 옵션 | 기능 |
| -file | 지정된 파일 암호화 수행 |
| -dir | 지정된 디렉터리 암호화 수행. 하위 디렉터리에 대해 암호화를 수행 (“Nevada” 확장자를 갖는 디렉터리가 존재할 경우 암호화 대상에서 제외) |
| -sd | 자가삭제 |
| -sc | 볼륨쉐도우 삭제 (관리자 권한으로 실행 필요) |
| -lhd | hidden 드라이브 로드 |
| -nd | 네트워크 공유 폴더 암호화 |
| -sm | 안전모드로 재부팅하여 랜섬웨어 동작 수행 (관리자 권한으로 실행 필요) Windows Defender 서비스 비활성화 |
| -help | 랜섬웨어 옵션 설명 |
1. 자가삭제 (-sd)
Nevada 랜섬웨어는 아래와 같이 암호화 루틴 수행이후 자가삭제를 수행하는 기능을 지원한다.
| “cmd.exe” /c ping 127.0.0.1 -n 3 > Nul & Del /f /q C:\path\to\malware\ransom.exe |
2. 볼륨쉐도우 삭제 (-sc)
Nevada 랜섬웨어의 주요한 특징으로 DeviceIoControl을 활용해, 시스템 복구를 방해(T1490)하는 기법을 확인하였다. 하단의 그림은 해당 랜섬웨어 내에서 확인된 볼륨쉐도우 복사본(VSS, Volume Shadow Copy)을 삭제하는 방식으로, 이는 2021년 3월 경 트위터 및 깃허브(poc)에 공개된 방법으로 파악된다.
해당 코드는 직접적인 Device IO Control calls을 통해 디바이스 드라이버에 직접 엑세스하여 “Volume Shadow Copy Storage 크기를 매우 작은 크기로 재지정”하는 방식이다. 흔히 vssadmin, wbadmin, bcdedit, wmic 명령어 호출을 통해 시스템 복구를 방해하는 기법은 기존 다양한 악성코드에서 활용되고 있었으나, 해당 랜섬웨어는 Device IO Control calls을 직접적으로 이용하는 흔히 사용되지 않는 방식을 활용하였다.
3. hidden 드라이브 로드 (-lhd)
Nevada 랜섬웨어는 하단의 그림과 같이 정의된 각 드라이브 문자열들을 활용하여 각 볼륨을 순회하며, 숨겨진 파티션을 로드하여 암호화를 수행하는 기능 또한 존재한다.
4. 네트워크 공유폴더 암호화 (-nd)
위와 같은 숨겨진 드라이브를 로드하여 암호화를 수행하는 기능 외에도, 하단의 그림과 같이 시스템 내에 존재하는 네트워크 공유 리소스에 접근하여 암호화를 수행하는 기능 또한 포함한다.
5. 안전모드로 동작(-sm)
해당 악성코드는 안전모드로 재부팅하여 동작하는 기능이 존재하며, 이를 위해 해당 랜섬웨어 프로그램을 안전모드 부팅 이후 실행되는 서비스 형태로 등록 후 실행하는 기능 또한 존재한다. 이 외에도 안전모드 부팅 이후 자동시작 서비스 목록에서 WinDefender를 제거하는 기능 또한 확인된다.
| Action | Registry Key | Value |
| Create | HKLM\SYSTEM\CurrentControlSet\Control\ServicesPipeTimeout | 0x5265c00 |
| Create | HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\nevada | “Service” |
| Delete | HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WinDefend | – |
2. Nevada 랜섬웨어 감염 대상 및 암호화 예외 조건
1. 감염 제외 Locale
해당 Nevada랜섬웨어 샘플의 경우, 하단의 그림과 같이 Commonwealth of Independent States (CIS) 국가 중 일부 국가(표 3 참조)의 경우 감염하지 않고 종료하는 특징이 있다. 해당 국가는 구소련 관련 국가들로 확인되며, 이러한 예외 국가 설정을 위해 코드 내 예외대상 국가들에 대한 비트 플래그가 설정된 것으로 보인다.
| 0x0419(ru-RU), 0x0423(be-BY), 0x0428(tg-Cyrl-TJ) ,0x042B(hy-AM), 0x042C(az-Latn-AZ), 0x0440(ky-KG), 0x0443(uz-Latn-UZ), 0x0444(tt-RU), 0x0819(ru-MD) |
2. 암호화 제외 파일명 및 폴더
해당 랜섬웨어는 아래의 그림과 같이 암호화 대상에서 예외처리 할 파일명 및 폴더명을 체크하는 루틴이 포함되어 있으며, 결과적으로 암호화 예외 대상이 되는 파일 및 폴더는 [표 4]에 기술되어있다.
| 감염 제외 폴더 | windows, program files, program files (x86), appdata, programdata, system volume information, NEVADA, |
| 감염 제외 확장자 | exe, ini, dll, url, lnk, scr |
| 감염 제외 substring | ntuser |
3. 결론
랜섬웨어 예방을 위하여 출처가 불분명한 파일 실행에 주의해야 하며, 의심스러운 파일의 경우 백신을 통한 검사 및 백신 최신 업데이트가 필요하다.
V3에서는 아래와 같이 진단하고 있다.
[파일 진단]
- Ransomware/Win.Nevada.C5391542 (2023.03.06.03)
[행위 진단]
- Ransom/MDP.Decoy.M1171
- Ransom/MDP.Event.M1785
[IOC]
- b673d92b77489d12779dc1fb5e8f6fdd (MD5)
연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.
Categories:악성코드 정보