윈도 업데이트로 위장한 신종 랜섬웨어 '주의'

[아이뉴스24 최은정 기자] 안랩은 최근 가짜 윈도 업데이트 설치 화면을 보여주는 신종 랜섬웨어 유포 사례를 발견했다며 3일 사용자 주의를 당부했다.

공격자는 먼저 '5926.tmp.exe', 'e291.tmp.exe', 'a717.tmp.exe' 등의 이름(추후 변형 가능)으로 임시파일(.tmp)을 사칭해 다양한 경로로 악성파일을 유포했다. 사용자를 속이기 위해 파일명에 '.tmp'을 붙였지만 실제로는 악성코드가 설치되는 실행파일(.exe)이다.

만약 사용자가 해당 파일을 실행하면, 특정 인터넷주소(URL)에 접속해 랜섬웨어 설치 파일을 다운로드 받는다. 해당 랜섬웨어가 사용자 PC의 파일을 암호화하는 동안에는 '업데이트를 준비하고 있으니 컴퓨터를 종료하지 말라'는 영어 메시지가 적힌 가짜 윈도 업데이트 설치 화면이 나온다. 이는 암호화 도중 사용자가 PC를 끄는 등 대응을 하지 못하도록 하기 위한 목적으로 추정된다.

해당 랜섬웨어에 감염되면 PC 내 파일의 확장자가 '.rezm'으로 변경되며 암호화된다. 또한 '_readme.txt'라는 제목으로 복호화 대가로 금전을 요구하는 랜섬노트도 생성된다. 현재 안랩 백신(V3) 제품군에서 해당 랜섬웨어를 차단하고 있다.

이보원 안랩 분석팀 주임 연구원은 "이번 신종 랜섬웨어는 파일 암호화 시간 동안 사용자의 의심을 피하기 위해 가짜 윈도 설치화면을 띄우는 것이 특징"이라며 "공격자는 감염과 암호화 성공률을 높이기 위해 다양한 방법을 시도하기 때문에 사용자는 기본 보안수칙을 생활화 해야한다"고 말했다.