암호 해제하려면 토르 브라우저 이용해 금액 지불하도록 요구
에브리존 화이트디펜더, 히토비토 랜섬웨어 침해 행위 프로세스 분석

[보안뉴스 김영명 기자] 모든 파일을 ‘.hitobiyo’ 확장자로 암호화하는 형태로 추정되는 침해사고가 발생해 주의가 필요하다. 해당 랜섬웨어는 히토비토(Hitobito) 랜섬웨어로 불리고 있으며, ‘파일명.확장자.hitobiyo’ 형식으로 모든 파일을 변경하고 있는 모습을 보인다.


▲닷넷 프로젝트를 디컴파일 했을 때 내부 내용이 난독화 되어 있는 상태[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더는 최근 히토비토 랜섬웨어의 침해 행위 프로세스를 분석해 발표했다. 히토비토(Hitobito) 랜섬웨어 침해 행위 프로세스를 살펴보면, VB 닷넷 기반으로 랜섬웨어 자체는 ‘.NET Reactor’라는 상용 프로그램을 이용해 내부 코드는 난독화된 상태다. 작동할 때 모든 파일들의 암호화 진행과 함께 시작프로그램의 ‘레지스트리에 실행 등록’에는 랜섬웨어의 실행 파일과 함께 -alerta라는 인자가 추가된다. 실제 내부 테스트를 했을 때 해당 인자 값으로 실행할 경우 암호화 과정을 생략하고 자체 노트 GUI를 출력한다. 노트가 활성화된 상태에서는 주기적으로 작업관리자를 종료하고 있다.

히토비토 랜섬웨어 감염 후 모습과 랜섬노트 내용 안내 파일은 각각의 경로에 ‘KageNoHitobito_ReadMe.txt’ 파일이 생성되며, 암호화를 진행했을 때는 ‘파일명.확장자.hitoboyo’로 파일들을 변경한다.


▲랜섬웨어 감염 후 변경된 바탕화면[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더 담당자는 “히토비토 랜섬웨어의 증상은 감염된 PC의 모든 파일이 암호화돼 열 수 없으며, 몸값을 요구하는 랜섬노트 메시지가 html, txt, hat 형식의 파일로 데스크탑에 표시된다”며 “감염된 파일의 잠금을 해제하기 위해서는 몸값을 지불해야 하는데 대부분 비트코인을 요구하고 있다”고 설명했다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>