2024-03-28 18:30 (목)
NAS 장비 공격하는 랜섬웨어 등장…삼바 취약점 이용해 전파
상태바
NAS 장비 공격하는 랜섬웨어 등장…삼바 취약점 이용해 전파
  • 길민권 기자
  • 승인 2017.12.07 16:45
이 기사를 공유합니다

‘스토리지크립트’ 랜섬웨어가 요구하는 몸값 비용은 2비트코인

▲ ‘스토리지크립트’ 랜섬웨어의 랜섬노트. 하우리 제공.
▲ ‘스토리지크립트’ 랜섬웨어의 랜섬노트. 하우리 제공.
최근 NAS(네트워크 결합 스토리지) 장비를 대상으로 전파 중인 랜섬웨어가 발견되어 국내 사용자들의 각별한 주의가 필요하다.

이번에 전파 중인 랜섬웨어는 ‘스토리지크립트(StorageCrypt)’라고 명명된 랜섬웨어로 리눅스 ‘삼바(SAMBA)’ 취약점인 ‘삼바크라이(SambaCry, CVE-2017-7494)’를 통해 NAS 장비에 침투한다.

‘삼바’는 파일 공유 서비스로 최근 ‘워너크라이’ 랜섬웨어 사태를 야기했던 장본인이기도 하며, 윈도우와 리눅스를 혼용으로 사용하는 환경에서 많이 사용된다.

이번 ‘삼바크라이’는 리눅스 버전에 대한 공격 도구이며 주로 NAS 장비 환경이 리눅스이기 때문에 심각한 피해가 우려되는 상황이다.

해당 랜섬웨어는 NAS 서버에 있는 파일들을 “AES-256”과 “RSA-4096” 암호 알고리즘을 이용하여 암호화한 후 “.locked”라는 확장자로 변경한다.

그리고 “_Read_ME_FOR_DECRYPT.html” 파일명의 랜섬노트를 생성해 사용자에게 몸값 비용을 안내한다. 또한 폴더마다 “Autorun.inf”와 “美女与野兽.exe” 파일을 추가로 생성한다.

“Autorun.inf” 파일은 NAS에 접근하는 사용자들에게 “美女与野兽.exe” 파일을 전파하며, 이 파일은 백도어 악성코드로 확인됐다.

‘스토리지크립트’ 랜섬웨어가 요구하는 몸값 비용은 2비트코인(한화 약 3,800만 원)이다.

하우리 CERT실은 “해커들이 중요 자료들이 많이 보관되어 있는 NAS 장비를 노리고 있다”라며 “삼바 환경의 NAS 장비 사용자들은 해당 장비의 보안 패치를 실시하여 피해를 사전에 예방 할 수 있도록 해야 한다”라고 밝혔다.

현재 하우리 바이로봇에서는 ‘스토리지크립트’ 랜섬웨어는 "Linux.Agent"의 진단명으로, 백도어 악성코드는 “Backdoor.Win32.VB”의 진단명으로 탐지 및 치료할 수 있다.

★정보보안 대표 미디어 데일리시큐!★


■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★