[아이티데일리] 6월 동안 잠시 활동이 주춤했던 록키(Locky) 랜섬웨어가 보안 솔루션을 우회하는 기술을 탑재하며 더욱 위협적으로 활동을 재개했다.

파이어아이는 지난 6월 1일 이후 3주 간 정체기를 가지며 활동이 잠잠해지는 듯 했던 록키 랜섬웨어가 자바 스크립트 다운로더와 록키 페이로드 등을 업데이트하며 더욱 위협적으로 활동을 재개한 정황을 포착했다고 11일 밝혔다.

록키 랜섬웨어는 한국의 사용자를 대상으로 공격을 집중하고 있어 국내 기업 및 사용자들의 주의가 요구된다. 실제로 파이어아이가 공개한 지난 6월 21일부터 23일 사이 국가별 탐지 내역을 살펴보면 한국은 일본, 미국에 이어서 록키 랜섬웨어의 스팸 이메일이 가장 많이 유포된 국가였다.

록키 랜섬웨어가 유포하는 스팸 메일은 흔히 미지불된 인보이스를 송부하는 메일을 가장하고 있다. 그러나 첨부된 zip파일에는 인보이스 대신 자바 스크립트로 쓰여진 록키 다운로더가 포함돼 있어 zip파일을 확인하려 실행하면 록키 랜섬웨어에 감염된다.

파이어아이에 따르면 이번에 활동을 재개한 록키 랜섬웨어는 다운로더와 록키 페이로드에 몇 가지 업데이트가 이뤄졌다.

다운로드된 록키 랜섬웨어가 제대로 실행되기 위해서는 명령줄 인수(command-line arguments)가 필요하다. 파이어아이가 분석한 샘플에서는 자바 스크립트 기반 다운로더 단계에서 명령줄 매개 변수(command line parameter) ‘123’이 바이너리에 전달된다. 이 명령줄 인수 값은 랜섬웨어 코드 언패킹(unpacking) 단계에서 이용된다.

정상적인 바이너리는 통과된 인수 값을 확인하거나, 예상되는 값과 명령줄 매개 변수를 비교해 인증에 실패하면 정상 종료된다. 그러나 록키 랜섬웨어의 경우 프로그램이 종료되지 않으며 명령줄 매개 변수로 받은 값을 바이너리로 정의된 상수 값으로 추가한다.

또한, 이 상수와 매개 변수 값의 합은 복호화 과정에 이용된다. 만일 명령줄 인수가 통과되지 않으면, 0을 상수에 추가한다. 이 경우 복호화 과정을 위한 상수가 불일치됨에 따라, 복호화된 코드가 유효하지 않게 돼 프로그램 충돌을 일으킨다. 이렇듯, 록키 랜섬웨어는 감염의 두 번째 단계를 진행하기 위해서 첫 번째의 다운로더 단계에 의존한다.

전수홍 파이어아이코리아 지사장은 “록키의 스팸 메일 유포는 기존의 보안 솔루션을 우회하며 지속되고 있다. 특히, 국내 기업 및 사용자는 록키 랜섬웨어의 주요 타깃이 됨에 따라 더욱 주의가 요구된다”며, “랜섬웨어가 진화를 거듭함에 따라 기업 내 보안 인식 수준도 지속적으로 높아져야 한다. 무엇보다 사용자들은 발신자가 불분명한 메일의 첨부 파일 클릭을 자제해야 한다”고 말했다.