이메일 첨부된 메모장 함부로 열었다가 '랜섬웨어' 걸린다
이메일 첨부된 메모장 함부로 열었다가 '랜섬웨어' 걸린다
  • 한상현 기자
  • 승인 2017.03.30 15:58
  • 댓글 0
이 기사를 공유합니다

▲ ‘록키’ 랜섬웨어 감염 화면. (사진제공=하우리)

[화이트페이퍼=한상현 기자] 이메일을 통해 메모장으로 위장한 ‘윈도우 바로가기' 파일을 열었다가 랜섬웨어에 걸릴 수 있다.

보안전문기업 하우리는 최근 파워쉘을 이용해 감염시키는 진화된 ‘록키(Locky)’ 랜섬웨어 변종이 발견돼 PC 이용자들의 각별한 주의가 요구된다고 30일 밝혔다.

파워쉘(PowerShell)은 시스템 관리용으로 설계된 작업 기반 명령줄 쉘 및 스크립트 언어이다. 파워쉘은 주로 윈도 운영체제 및 응용 프로그램의 관리를 쉽게 제어하고 자동화하는 데 사용된다. 최근 이러한 기능이 랜섬웨어를 유포하는 데 악용되고 있다.

이번에 확인된 ‘록키’ 랜섬웨어는 이메일을 통해 메모장으로 위장한 ‘윈도우 바로가기(.LNK)’ 파일 형태로 유포됐다. 사용자가 해당 바로가기 파일을 실행할 경우, 파워쉘 프로그램이 동작해 사용자 PC에 ‘록키’ 랜섬웨어를 다운로드해 실행한다.

윈도 바로가기 파일은 특정 경로의 프로그램을 빠르게 실행할 수 있도록 도와주는 파일이지만 이를 이용해 파워쉘을 동작시켜 랜섬웨어를 다운로드하고 실행하도록 한 것이다.

실행된 ‘록키’ 랜섬웨어는 사용자 PC의 사진 및 그림 파일, 각종 오피스 문서 등을 암호화해 몸값을 요구한다. 암호화된 파일은 확장자가 ‘.OSIRIS’로 변경돼 더 이상 파일을 사용할 수 없게 된다.

이경민 보안대응팀 주임연구원은 “랜섬웨어를 유포하는 공격자들은 계속해서 다양한 방법을 사용해 진화하고 있어 지속적인 관찰이 필요하다”라며 “파워쉘이 꼭 필요한 경우가 아니라면 파워쉘 실행을 차단해 악성코드 감염 피해를 최소화 할 수 있다”고 말했다.

하우리 바이로봇에서는 해당 악성코드를 ‘LNK.Agent’, ‘Trojan.Win32.Locky’ 진단명으로 탐지 및 치료하고 있다.

화이트페이퍼, WHITEPAPER


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.