하우리에 따르면 에레보스(Erebus) 랜섬웨어는 윈도 이벤트 뷰어를 이용한 '사용자 계정 제어 보안 기능' 우회 기법을 활용한다. 레지스트리를 수정해 '.msc' 확장명에 대한 연결을 납치하고, 이를 통해 상승모드에서 실행된 이벤트 뷰어의 권한을 따라 실행되게 된다.
또, 이 랜섬웨어는 추적을 어렵게 하기 위해 스스로 '익명(Tor) 브라우저 클라이언트'를 다운받아 네트워크 통신에 사용한다. 암호화 과정에서 '볼륨 쉐도우 복사본(Volume Shadow Copy)'을 지워 복구지점을 없애기 때문에 복원은 불가능하다.
공격자는 복호화를 위한 비용으로 0.085 비트코인(10만원)을 요구한다.
김동준 하우리 보안연구팀 연구원은 "이번 에레보스 랜섬웨어는 기존 랜섬웨어보다 비교적 저렴한 가격으로 감염자들이 복구 비용을 내도록 유혹한다"며 "출처가 불분명한 파일은 절대 실행하면 안 되고 보안 업데이트를 항상 최신으로 수행하고 백신이나 취약점 차단 솔루션을 사용하여 감염을 방지할 수 있다"고 말했다.
이경탁기자 kt87@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
