복호화가 가능한 Green Blood v2.0 랜섬웨어 분석
요약.
Green Blood v2.0은 Golang으로 작성된 랜섬웨어로 2026년 1월부터 활동이 확인되었다.
주요 피해 지역은 남아시아, 아프리카, 남미 일부 국가이다.
본 버전은 파일 암호화와 데이터 탈취, 복구 방해 명령 실행 및 자가 삭제 기능을 포함한다.
암호화 키 구조상 복호화 가능성이 존재한다.
개요.
랜섬웨어는 실행 시 Mutex(Global\\GREENBLOODENCRYPTORMUTEX_2A3B4C5D)를 생성해 중복 실행을 방지한다.
암호학적으로 안전한 crypto/rand.Read로 32바이트 AES-256 키를 생성한다.
호스트네임, 윈도우 버전, MAC 주소 등을 이용해 16바이트 Machine ID를 생성하며 실패 시 시간 정보를 사용한다.
생성된 AES 키와 Machine ID의 XOR 결과로 Recovery Token을 생성한다.
분석 내용.
- 파일 암호화.
- 드라이브 스캔은 GetLogicalDrives로 수행되며 고정 드라이브를 대상으로 재귀 탐색을 수행한다.
- 암호화 제외 확장자 목록과 암호화 대상 확장자 목록을 기반으로 파일을 선별하며 확장자 없이 100바이트 이상인 파일도 암호화 대상이다.
- 암호화는 50개의 병렬 Worker로 1MB 단위 AES-256 CTR 모드로 수행되며 각 파일마다 16바이트 IV를 생성해 파일 상단에 저장한다.
- 임시 파일을 생성 후 암호화 완료 시 “.tgbg” 확장자로 변경하고 원본을 삭제한다.
- 50GB 이상 파일은 암호화하지 않는다.
- 랜섬노트.
- 랜섬노트에는 Recovery ID 및 Machine ID가 포함되며 Recovery ID의 32바이트 값을 Machine ID와 XOR하면 AES 키를 복원할 수 있다.
안티 포렌식 및 자가 삭제.
관리자 권한이 확인되면 볼륨 섀도우 및 백업 삭제, 윈도우 복구 환경 비활성화, 실시간 보호 및 방화벽 비활성화 등의 7개 명령어를 실행한다.
Temp에 생성한 배치파일로 자가 삭제를 시도하며 반복 재시도로 실행 파일과 배치 파일을 제거한다.
안랩 대응 현황.
V3 및 EDR 진단명으로 탐지 업데이트가 이루어졌으며 주요 진단명에는 Ransomware/Win.GreenBlood.*와 여러 MDP·EDR 이벤트명이 포함된다.
엔진 및 진단 업데이트 날짜가 보고서에 기재되어 있다.
결론.
동일한 실행에서 생성된 단일 AES 키를 모든 파일에 재사용하고 Recovery Token 구조를 통해 키 복원이 가능하므로 파일 복호화가 현실적으로 가능하다.
안티 포렌식 기능으로 현장 복구가 어려워질 수 있으므로 초기 대응이 중요하다.
대응 가이드.
- 감염 의심 시스템은 네트워크 분리 및 전원 보존을 우선 권장한다.
- 랜섬노트에 표시된 Recovery ID와 Machine ID를 보존할 것을 권장한다.
- 백업으로부터 복구 가능 여부를 우선 검토할 것을 권장한다.
- 복호화 시도는 복원된 AES 키와 각 파일의 상단 IV로 AES-256 CTR 복호화를 적용하면 성공 가능성이 높음을 권장한다.
- 탐지 규칙과 엔드포인트 방어를 최신으로 유지할 것을 권장한다.
