[지디넷코리아]보안 기업인 Lurhq 그룹은 최근 보고에서 피해자의 컴퓨터에 있는 파일을 암호화해, 300달러의 지불과 교환에 암호를 해제하는 금전 목적의 트로이의 목마가 출현했다고 밝혔다.

이것은 런 샘 웨어(몸값 목적의 소프트웨어)라고 불리는 트로이의 목마로, 크라이집(Cryzip)이라는 이름이 붙여졌다. 크라이집은 과거 10개월에 출현한 동종의 트로이의 목마로서는 PGPcoder에 이어 두 번 째가 되고, 1989년에 최초의 런 샘 웨어가 확인되고 나서는 세 번째에 해당된다.

Lurhq의 연구자들은 3월 14일 파일을 암호화하는 트로이 목마가 1년간 2종 출현한 것으로볼 때, 악의가 있는 소프트웨어가 트렌드가 되고 있다는 설명을 덧붙였다.

Lurhq의 상급 보안 연구자인 조 스튜어트는 PGP코더가 2005년에 등장한 이후, 돈벌이를 위한 좋은 수단이 돼 거기에 달려드는 사람이 많다고 말한다.

크라이집은 우선 감염한 컴퓨터에 있는 원시 코드나 데이터베이스 등의 파일을 찾는다. 다음 집 라이브러리를 사용해 암호화된 파일로 보존한다. 크라이집의 배포 경로는 아직 특정화되지 않았다. 보안 연구자들에 의하면, 악의가 있는 웹 사이트로부터의 감염이나 바이러스에 감염한 컴퓨터에 만들어져 있던 백 도어로부터의 침입 등을 경로로 생각해 볼 수 있다고 한다.

크라이집은 텍스트를 고쳐 쓴 다음 파일을 삭제한다. 그리고 원의 파일명의 뒤로 _CRYPT_.ZIP를 더한 이름의 암호화가 끝난 파일을 남긴다.

스튜어트는 단순한 암호화 스킴을 사용한 PGP코더와 달리, 집 암호화는 보다 강력하다. 가능성이 있는 암호 열쇠를 얼마든지 시험하는 것으로 정보를 복원하는 것이 어려워지고 있다. 하지만 유저가 원본 파일의 카피를 가지고 있는 경우에는, 불트 포스 공격도 가능하다.

크라이집의 피해는 아직 크지 않다. Lurhq는 현재 감염이 확인된 것은 20건 정도라고 밝혔다. 그러나 악의가 있는 소프트웨어 제작자들은 저 레벨의 공격을 하는 경향에 있다. 이것은 보안 기업이 공격의 존재를 깨달아 방어책을 개발할 때까지의 시간을 길게 하려는 의도에서로 풀이된다.

크라이집을 만든 해커들은 몸값 회수에 E-Gold의 어카운트를 사용하고 있다. 피해자에 대해서 “우리의 소프트웨어가 당신의 컴퓨터에 있는 것은 당신이 불법 포르노 사이트를 방문했기 때문이다. 당신의 컴퓨터에 있는 모든 문서, 텍스트 파일, 데이터베이스는 패스워드 첨부의 파일로서 어카이브 되고 있다. 패스워드를 간파하는 것은 불가능하다. 패스워드는 10 문자 이상 있어, 패스워드 해석 프로그램에서도 불트 포스할 수 없다”라고 통고한다.

그리고는 자신의 E-Gold에 300달러를 지불하도록 요구한다. @