윈도우 업데이트를 가장하여 파일을 암호화하는 랜섬웨어 Fantom

AVG 멀웨어 연구원 Jakub Kroustek이 발견한 새 랜섬웨어 Fantom은 오픈소스 EDA2 랜섬웨어 프로젝트를 기반으로 한 것입니다.

 

Fantom 랜섬웨어는 중요 업데이트를 설치하는 것처럼 가장하는 가짜 윈도우 업데이트 화면을 표시하는 흥미로운 기능을 사용합니다. 하지만 백그라운드에서는 Fantom이 몰래 피해자의 파일을 암호화하게 되는 것입니다. 불행하게도 현재 Fantom 랜섬웨어를 해독할 방법이나 EDA2 기반의 랜섬웨어 키를 가져오는 일반적 방법이 이 변종에는 통하지 않습니다.

 

상단의 가짜 업데이트 화면은 랜섬웨어가 몰래 백그라운드에서 파일의 암호화가 진행될 때마다 증가하는 퍼센트 카운터가 포함되어 있습니다. 마치 가짜 업데이트가 정말 설치되는 것처럼 보여줘 피해자 하드드라이브의 늘어난 활동에 대한 이유를 만든 것입니다.

 

Ctrl+F4 키보드 조합으로 이 화면을 빠져나갈 수 있습니다. 이 방법으로 가짜 윈도우 업데이트 프로세스를 종료하고 정상적인 윈도우 화면을 표시해줄 것입니다. 그러나 랜섬웨어는 계속해서 백그라운드에서 파일을 암호화합니다.

 

암호화가 끝나면 가짜 윈도우 업데이트 실행파일과 섀도 볼륨 복사본을 삭제하는 두 개의 배치 파일을 실행한 다음, 'DECRYPT_YOUR_FILES.HTML'라는 피해자의 ID Key와 이메일을 보내는 방법을 담은 랜섬 노트(ransom note) 파일을 표시하게 됩니다. 

출처 : http://www.bleepingcomputer.com/news/security/fantom-ransomware-encrypts-your-files-while-pretending-to-be-windows-update/