한글버전 랜섬웨어 라다만트 제작자와 동일한 제작자 소행으로 추정

[보안뉴스 민세아] 김정은 북한 국방위원회 제1위원장의 이름을 포함한 악성코드가 국내에서 DBD(Drive-By Download) 방식으로 유포되고 있다.


▲ ‘김정은’ 악성코드 분석 화면(자료: 하우리 최상명 실장)과 구글 검색 화면

해당 악성코드는 비트코인 등 가상화폐 지갑을 훔쳐가며, ‘v1_KimChenIn’으로 악성코드 내에 중복 실행 검사 구성요소를 생성하고, 악성코드가 실행되면 원본 악성코드 파일을 삭제하기 위해 추가적으로 ‘kim.bat’이라는 배치파일을 생성한다. 이는 자신을 복사한 후 원본 파일을 삭제하고 복사한 악성코드를 실행시키기 한 목적이라고 볼 수 있다. 비트코인 지갑은 비트코인을 주고받을 수 있는 계좌 개념으로 생각하면 된다.

해당 악성코드는 2일 오후 4시 경 처음 움직임이 포착되어 현재까지 계속해서 유포되고 있는 것으로 알려졌다.

‘KimChenIn’은 러시아 및 우크라이나 등의 동유럽 국가에서 김정은 북한 제1위원장을 영문으로 표기한 것이다. 러시아 및 우크라이나에서는 김정은 북한 제1위원장을 ‘КимЧенЫн’, ‘KimChenIn’ 등으로 표기하고 있다.

정보보안 전문기업 하우리 최상명 CERT실장은 “코드 분석 결과 해당 악성코드는 기존에 국내에 유포된 적 있는 한글버전 랜섬웨어(Ransomware)인 라다만트(Radamant)의 동일 제작자에 의해 제작된 것으로 추정된다”고 전했다.

또한 최 실장은 “해당 조직은 라다만트 등의 랜섬웨어를 통해 인질 파일에 대한 복호화 대가로 비트코인을 요구하고, 비트코인 지갑을 훔쳐 비트코인을 수집하는 등 다양한 방법으로 금전적 이득을 취하는 것으로 보인다. 그들이 한국을 주요 시장으로 삼은 만큼 앞으로 예의주시할 필요가 있다”고 당부했다.
[민세아 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>