‘Cerber(케르베르)’: ‘말하는 랜섬웨어’라는 별칭을 가진 랜섬웨어의 변종

현재 JSE 스크립트 파일을 이용한 Cerber(케르베르) 랜섬웨어 변종이 이메일을 통해 국내에 전파되고 있으며, 사용자의 각별한 주의와 보안 강화를 당부 드립니다.

 

새롭게 발견된 ‘Cerber’ 랜섬웨어 변종은 국내 기업 이용자를 대상으로 JS 스크립트 파일을 첨부해 퍼져나간 Locky(락키) 랜섬웨어와 유사한 방식으로 전파되고 있으며, JS 파일 외에도 JSE 파일을 첨부한 새로운 형태로도 유포되고 있습니다.

 

이 랜섬웨어는 PC 사용자에게 압축파일이 첨부된 이메일을 발송하고 사용자가 압축파일에 포함된 JSE 스크립트 파일을 클릭하면, 해외 서버를 통해 Cerber 랜섬웨어가 은밀히 설치되는 방식을 취하고 있습니다.

 

아울러 랜섬웨어 감염 이후에는 사용자 PC에 존재하는 각종 문서, 사진, 음원 등의 자료를 암호화하는 등 일반적인 랜섬웨어와 동일한 악성 행위를 수행하게 됩니다.

 

 

▲ 음성 안내용 VBS 파일 내부 화면

 

다만 ‘말하는 랜섬웨어’라는 별칭을 가진 Cerber 랜섬웨어는 사용자 PC에 텍스트를 음성메시지로 변환하는 코드(Text-To-Speech)가 포함된 ‘# DECRYPT MY FILES #.VBS’ 파일을 생성하고, 스피커를 통해 랜섬웨어 감염을 영문 음성으로 내보내는 특징이 있습니다.

현재 Cerber 랜섬웨어는 12개국 언어로 랜섬웨어 감염 사실을 안내하고 있으나, 한국어 안내는 아직 포함되어 있지 않은 상태입니다.

이번 Cerber 랜섬웨어 변종은 7월 3일 이메일을 통해 국내에 유입된 것이 공식적으로 확인된 상태 이며, 특히 최근에는 사용자 신뢰를 높이기 위해 해외 이메일이 아닌 국내 도메인으로 발신자를 위장해 랜섬웨어를 유포하는 정황도 발견되고 있어, 이메일에 첨부된 파일을 열어볼 때 더욱 각별히 주의가 요구되는 바 입니다.

 

 

▲ 국내 유입된 Cerber 변종 알약 행위기반 실제 차단 화면

 

‘알약(ALYac)’ 백신 에서는, 새롭게 등장한 Cerber 랜섬웨어 변종을 알약의 행위기반 탐지 기능을 통해 완벽하게 사전 차단되는 것으로 확인 되었습니다.

이외에도 다양한 랜섬웨어 변종이 꾸준히 제작 유포되고 있어 개인과 기업 모두 각별한 주의가 필요하며, “운영체제(OS), 플래시 플레이어, 자바 등은 항상 최신 버전으로 유지하고, 랜섬웨어 차단 기능이 탑재된 보안 제품 사용과 중요 자료 백업을 생활화하는 보안 수칙 준수 습관화가 매우 중요 합니다.

현재 알약 백신 에서는 이번 랜섬웨어 악성코드를 아래 진단명으로 탐지 하고 있습니다.

 

▲Trojan.Ransom.Cerber

▲Trojan.JS.Downloader.Agent

 

 

<참고 자료>

 

1. Cerber(케르베르) : 신화 속의 동물로 ‘머리가 3개 달린 지옥을 지키는 개’를 뜻함

2. 알약, 랜섬웨어 차단 통계

: 일 평균 1만 건 이상 차단 통계 집계. 랜섬웨어 감염을 안심할 수 없는 단계

 

▲ 알약, 행위기반 탐지 기능 통한 ‘랜섬웨어 차단’ 통계(제공:이스트소프트)

 

 

<참고 사이트>

알약 랜섬웨어 바로가기☞

알약 블로그 정보 바로가기☞