OphionLocker, 새로운 랜섬웨어가 암호화에 타원 곡선을 사용하고, 통신에 Tor를 사용하며, 전파에 악성 광고를 사용합니다

목차

• OphionLocker 랜섬웨어가 암호화에 타원 곡선을 사용하고, 통신에 Tor를 사용하며, 전파에 악성 광고를 사용합니다
• 타원 곡선 암호화
• 작동 방식
• 랜섬웨어가 점점 더 고집스러워지고 있습니다

OphionLocker 랜섬웨어가 암호화에 타원 곡선을 사용하고, 통신에 Tor를 사용하며, 전파에 악성 광고를 사용합니다

Trojan7Malware 연구자들에 의해 새로운 종류의 랜섬웨어가 발견되었습니다. OphionLocker라는 이름이 붙여진 이 랜섬웨어는 파일 암호화에 타원 곡선 암호화를 사용하고, 통신에 Tor를 사용하는 점에서 매우 독특합니다. OphionLocker의 또 다른 독특한 특징은 전통적인 스피어 피싱 방법 대신 악성 광고 캠페인을 사용하여 스스로 전파한다는 것입니다.

타원 곡선 암호화

타원 곡선 암호화(ECC)는 유한 필드 위의 타원 곡선의 대수적 구조에 기반한 공개 키 암호화입니다. ECC 암호화의 주요 이점 중 하나는 더 작은 키 크기로 동일한 수준의 암호화를 제공한다는 것입니다.

이 대수적 형태의 암호화는 무작위 타원 곡선 요소의 이산 로그를 해결하는 데 기반합니다. 이는 두 개의 매우 큰 소수의 곱을 인수분해하는 더 친숙한 개념과 유사하게, 공개 키 암호화 시스템의 보안을 뒷받침하는 단방향 함수를 제공합니다. ECC는 더 낮은 키 크기로 동등한 수준의 보안을 제공하며, 스마트폰과 같은 제한된 컴퓨팅 파워를 가진 시스템에서 특히 유리합니다.

작동 방식

잠재적인 피해자가 악성 광고 코드를 제공하는 웹사이트를 방문하여 악성 코드를 다운로드하면, 사용 가능한 파일을 암호화한 후 Tor2web URL을 사용하여 복호화 도구를 얻기 위한 지침 페이지로 이동합니다. 공격자는 복호화 도구에 대해 비트코인 1개의 지불을 요구하며, 이는 현재 환율에 따라 350달러에 해당합니다. 그러나 복호화 도구의 가격은 피해자의 지리적 위치에 따라 변경될 수 있습니다. Trojan7Malware는 CryptoLocker 및 TorLocker에 의해 암호화된 파일 유형과 유사한 이 랜섬웨어의 파일 암호화 패턴을 다음과 같이 제시했습니다.

암호화된 확장자;
“accdb”,0,”.ai”,0,”.arw”,0,”.bay”,0,”.blend”,0,”.cdr”,0,”.cer”,0,”.cr2″,0,”.crt”,0,”.crw”,0,”.dbf”,0,”.dcr”,0,”.der”,0,”

.dng”,0,”.doc”,0,”.docm”,0,”.docx”,0,”.dwg”,0,”.dxf”,0,”.dxg”,0,”.eps”,0,”.erf”,0,”.indd”,0,”.jpe”,0,”.jpg”,0,”.jpeg”,0,”

.kdc”,0,”.mdb”,0,”.mdf”,0,”.mef”,0,”.mrw”,0,”.nef”,0,”.nrw”,0,”.odb”,0,”.odm”,0,”.odp”,0,”.ods”,0,”.odt”,0,”.orf”,0,”

.p12″,0,”.p7b”,0,”.p7c”,0,”.pdd”,0,”.pdf”,0,”.pef”,0,”.pem”,0,”.pfx”,0,”.ppt”,0,”.pptm”,0,”.pptx”,0,”.psd”,0,”.pst”,0,”

.ptx”,0,”.r3d”,0,”.raf”,0,”.raw”,0,”.rtf”,0,”.rw2″,0,”.rwl”,0,”.srf”,0,”.srw”,0,”.wb2″,0,”.wpd”,0,”.wps”,0,”.xlk”,0,”

.xls”,0,”.xlsb”,0,”.xlsm”,0,”.xlsx”,0,0″

이 랜섬웨어의 흥미로운 점은 작동하는 환경을 인식하려고 한다는 것입니다. 악성 코드가 가상 환경을 감지하면, 지불을 요구하지 않습니다. 가상 환경은 일반적으로 보안 연구자들이 이러한 악성 코드에 대해 사용하는 환경입니다.

이 악성 코드의 또 다른 독특한 특징은 HWID(하드웨어 식별) 번호를 생성하여 PC당 하나의 샘플만 생성될 수 있도록 한다는 것입니다.

이 악성 코드의 저자/관리자는 보안 연구자들로부터 랜섬웨어를 가능한 한 오랫동안 숨기기 위해 이러한 기술을 사용하는 것으로 보이며, 보안 연구자들이 침해했다고 판단하는 모든 PC를 블랙리스트에 올립니다.

OphionLocker는 인터넷 연결이나 사용자 상호작용 없이 암호화를 시작할 수 있기 때문에 이전 랜섬웨어 아바타보다 더 치명적입니다. 이는 피해자가 다운로드한 페이로드에 이미 공개 키가 존재하기 때문입니다. 이는 감지하거나 감염을 방지하기 어렵게 만듭니다.

랜섬웨어가 점점 더 고집스러워지고 있습니다

이러한 랜섬웨어의 전파와 악의적 성격, 그리고 핸들러/공격자/저자들이 점점 더 나아지고 대담해지고 있으며, 점점 더 복잡한 암호화 기술을 사용하고 있는 것 같습니다. 고위험 CryptoLocker 단속에도 불구하고, 랜섬웨어는 여전히 사용자에게 치명적인 위협입니다. 이러한 종류의 악성 코드 저자들이 채택한 기술의 발전은 타원 곡선 암호화와 통신을 위한 익명 네트워크 Tor를 사용하는 OphionLocker에서 확인할 수 있습니다.

출처: Trojan7Malware