멍청한 Cyborg 랜섬웨어 유포 작전

오늘 한 언론 매체에, 이메일을 통해 윈도우 10 업데이트를 가장한 악성코드가 퍼지고 있으니, 열지 말고 바로 삭제하라는 기사가 떴다. 핵심은 이 부분이다. 그러나 잘못된 점이 있다.

"이 이메일은 첨부 파일을 실행하지 않고 단지 메일 내용을 읽어보는 것만으로 PC가 랜섬웨어에 감염될 수 있다. 메일 안에 첨부한 'jpg' 형태 그림 파일에 악성코드가 숨어 있기 때문이다. 그림이 표시되는 순간 PC가 깃허브(GitHub)라는 사이트에서 자동으로 '사이보그(Cyborg)'라는 랜섬웨어를 내려받아 실행한다." (참1)

이메일을 열어 보는 것만으로 해킹당하고 악성코드가 실행되는 것은 물론 가능하다. 이메일에는 자바 스크립트 같은 실행 가능한 내용이 포함될 수 있기 때문이다. 또한 이메일 클라이언트 앱에 취약점이 있을 경우, 특별하게 조작된 메시지를 통해 이를 악용할 수도 있다.

그런데 이번 사이보그 랜섬웨어 유포 작전은 그런 것이 아니었다. .exe 실행파일인 악성코드를 그냥 .jpg 그림파일로 이름을 바꾼 것이다. 이것은 실행되기 어렵다. 형식만 그림일 뿐 사실은 실행파일이기 때문에, 그림이 표시되지 않는다. 사용자가 속아서 더블클릭하더라도, 윈도우는 이를 그림인 줄 알고 그림 앱에서 열기 때문에, 코드가 실행되지 않는다.

이것을 실행하려면 명령 프롬프트 창에서 직접 실행하거나, 바로가기(.lnk) 파일을 통해 이 과정을 대신하는 방법 밖에 없다(관1). 바로가기를 사용하는 것이 가장 속기 쉬운 방법일 것이다.


관련 자료

1. 파일 확장명 위장한 악성코드

참고 자료

1. "윈도10 업데이트 설치하세요" 이메일, 절대 열어보지 말고 바로 삭제하세요
2. Fake Windows Update Spam Leads to Cyborg Ransomware and Its Builder
3. Attacker Mistake Botches Cyborg Ransomware Campaign