지옥 지키는 ‘케르베로스’보다 악명 높은 ‘케르베르’

올 초에는 2015년부터 탐지되던 테슬라크립트(TeslaCrypt) 랜섬웨어 등의 유포는 줄고 케르베르(Cerber) 랜섬웨어가 빠르게 퍼져나갔다. 파일을 암호화한 후 음성으로 감염 사실을 안내하는 독특한 특징을 가진 케르베르 랜섬웨어에 대해 알아본다.

‘케르베르’란 명칭은 그리스 신화에 등장하는 지옥을 지키는 개 ‘케르베로스(Cerberus)’에서 유래된 것으로 추정된다. [그림 1]의 결제 안내 화면을 확인해보면 케르베로스 이미지를 사용했다.

케르베르 랜섬웨어에 감염되면 문서, 그림 파일 등이 암호화되어 사용할 수 없게 된다. [그림 2]와 같이 운영체제에서 정상적으로 실행되지 않는 것을 확인할 수 있다. 공격자는 사용자에게 암호화된 파일을 다시 사용하려면 금전을 지불하라고 요구한다.

케르베르 랜섬웨어는 최초 유포 당시 멀버타이징(Malvertising) 기법을 사용했다. 멀버타이징은 ‘악성코드(Malware)’와 ‘광고(Advertising)’의 합성어로, 인터넷 사이트에 삽입되는 광고를 이용하여 악성코드를 유포하는 기법이다. 하지만 현재는 멀버타이징 기법뿐만 아니라 스팸 메일을 통해 온라인 전 범위에서 공격이 이뤄지고 있다.

최근 발견된 케르베르 랜섬웨어에서는 기존 버전과 다른 변경 사항도 발견됐다. 발견된 샘플 악성 파일은 NSIS 툴을 이용하여 제작됐다.

이 악성 파일이 실행되면 [표 1]과 같은 파일들을 생성하며, 시스템 내부 파일을 암호화한다.

기존의 케르베르 랜섬웨어는 암호화된 파일의 이름을 랜덤문자열로 변경한 후, 확장자 ‘.CERBER2’를 추가했다. 하지만 변경된 버전에서는 확장자 ‘.CERBER3’을 추가한다.

또한 암호화된 파일 경로에 파일 # HELP DECRYPT #.url, # HELP DECRYPT #.html, # HELP DECRYPT #.txt’를 생성한다.

생성된 파일은 추가적인 악성 행위를 수행하지 않는 파일이며, [그림 6]과 같이 사용자에게 랜섬웨어 악성코드 감염 안내와 금전을 요구하는 내용이 포함되어 있다.

케르베르 랜섬웨어를 통해 랜섬웨어는 끊임없이 변모하며 공격 범위를 점차 확장시켜 나가고 있음을 알 수 있다. 이러한 랜섬웨어의 공격을 예방하려면 보안 업데이트를 설치하여 드라이브 바이 다운로드(Drive-by-download) 공격을 막고, 의심스러운 메일의 첨부 파일 열람에 주의해야 한다. 또한 사용하고 있는 백신 제품의 엔진을 항상 최신 버전으로 유지하는 사용자의 올바른 습관이 필요하다.

V3 제품에서는 해당 랜섬웨어를 다음과 같은 진단명으로 탐지하고 있다.

<V3 제품군의 진단명>

Trojan/Win32.Cerber (2016.09.01.00)