텔레그램 프로토콜 악용한 첫 번째 암호화 악성코드 발견

텔레그램 프로토콜 악용한 첫 번째 암호화 악성코드 발견

Researchers spot first cryptor to exploit Telegram protocol

카스퍼스키 랩의 연구원 Anton Ivanov와 Fedor Sinitsyn이 텔레그램 프로토콜을 악용하는 첫 번째 암호화 악성코드를 발견했습니다.

이 트로이목마는 Delphi로 작성되었으며, 크기는 3MB 이상입니다. 이것이 실행되면 감염 ID와 함께 파일 암호화 키를 생성합니다. 이후 악성코드는 공격자와 연락을 취하기 위해 공개적으로 이용이 가능한 텔레그램 Bot API를 사용하고, 제작자와 통신하기 위해 공개된 API를 사용하는 텔레그램 봇의 형태로 동작합니다.

악성코드는 정보를 제작자에게 보낸 후, 하드 드라이브에서 특정 확장자들을 가진 파일들을 탐색하고, 각각의 파일 바이트를 Key 바이트에 추가하는 간단한 알고리즘을 사용해 해당 파일들을 바이트 단위로 암호화시킵니다.

연구원들은 공격자들이 랜섬웨어를 통해 금전적인 이득을 취하기 위해서 Telegram crypt를 제작한 것으로 보고 있습니다. Ivanov는 “이 악성코드의 독특한 점은 공격자가 복호화를 위해 필요한 정보를 전송하는 데에 telegram API를 사용한다는 것이다.”라고 말했습니다.

그는 해당 악성코드의 제작자가 숙련된 공격자는 아닌 것으로 보인다고 밝혔습니다. 파일 암호화를 위해서 매우 단순한 암호화 알고리즘을 사용했기 때문입니다. 또한 사용자에게 신뢰할 수 없는 출처로부터 받은 파일을 열어보지 말 것을 강력히 권고했습니다.

출처 :

https://www.scmagazine.com/first-encryption-malware-to-target-telegram-spotted/article/571925/

https://securelist.com/blog/research/76558/the-first-cryptor-to-exploit-telegram/