크라켄 크립토 랜섬웨어, 보안 앱 사이트에서 유포

SuperAntiSpyware로 위장

Kraken Cryptor 랜섬웨어는 8월에 처음 발견된 신종 악성코드인데, 9.14일 변종인 Kraken Cryptor 1.5가 발견됐다. 이것은 보안 소프트웨어인 슈퍼안티스파이웨어로 위장하고 있었다.

슈퍼안티스파이웨어는 바이러스토탈에서 봤을 뿐 나한테도 생소한 것인데, 나름대로 어느 정도 사용자 층은 갖고 있는 것으로 보인다.

파일 복구는 불가능

크라켄 크립토 1.5 랜섬웨어는 세밀하게 작성된 구성 파일에 따라 감염 PC의 파일을 암호화한다. 암호화된 파일은 일련번호-lock.onion이라는 이름을 갖게 된다. 복구를 시도할 때 원래 무슨 파일이었는지 알 수가 없다. 많은 랜섬웨어들이 단지 확장명만을 바꾸는 것과 대비된다.

현재로선 암호화된 파일을 해독할 방법이 없다. 그리고 이 악성코드는 복구가 어렵도록 파괴적인 활동을 한다. 부팅 시 복구 모드에 들어갈 수 없게 만들고, 윈도우의 백업 파일과 shadow volume 복사본까지 삭제한다.

결국 평소의 백업만이 유일한 대비책이다.

Shadow volume copies로 복구 시도

크라켄 크립토 1.5는 섀도우 볼륨 복사본을 삭제하지만 드물게 실패하는 경우가 있다. 이때는 복구 가능성이 열려 있다. 자세한 방법은 <참고 자료 2>에 있다. 한 마디로 말하면, 파일이나 폴더를 오른쪽 버튼으로 클릭했을 때 나타나는 '속성/이전 버전' 기능을 이용하는 것이다.

내 생각에는 미리 백업(파일 히스토리)을 해놓지 않는 한, 시스템 파일이 아닌 개인 파일을 이 방법으로 복구하기는 어려울 것 같다.

SuperAntiSpyware 사이트 해킹, 공급망 공격

이 악성코드는 슈퍼안티스파이웨어의 공식 사이트를 통해 유포됐다. 해커는 이 사이트를 해킹해 가짜 보안앱을 업로드했다. 정상 보안 앱은 SuperAntiSpyware.exe인데, 랜섬웨어는 끝에 s자를 하나 붙인 SuperAntiSpywares.exe였다. 정상 앱을 바꿔치진 않고 동시에 업로드돼 있었다. 메일이나 게시판 글에 가짜 링크를 올려 다운로드를 유도했을 것으로 보인다. 악성코드는 몇 시간만에 삭제됐다.


참고 자료

1. Kraken Cryptor Ransomware Masquerading as SuperAntiSpyware Security Program
2. How to recover files and folders using Shadow Volume Copies