윈도우 7, 10 사용자를 대상으로 Netix 랜섬웨어를 퍼뜨리는 가짜 넷플릭스 앱 발견

윈도우 7, 10 사용자를 대상으로 Netix 랜섬웨어를 퍼뜨리는 가짜 넷플릭스 앱 발견

Rogue Netflix App Spreads Netix Ransomware That Targets Windows 7 and 10 Users

Netix(RANSOM_NETIX.A)라 명명 된 랜섬웨어 패밀리가 해킹된 넷플릭스 계정에 접근하기 위해 특별히 제작된 프로그램을 사용하는 사용자들을 노리고 있습니다. 

* 넷플릭스 : 전 세계 유료가입자만 5700만명에 이르는 세계 최대 유료 동영상 스트리밍 서비스

<이미지 출처 : https://www.bleepingcomputer.com/news/security/rogue-netflix-app-spreads-netix-ransomware-that-targets-windows-7-and-10-users/>

이번에 발견된 랜섬웨어는 “Netflix Login Generator v1.1.exe”라는 이름의 프로그램을 통해 유포됩니다. 이 프로그램은 사용자에게 넷플릭스의 계정 및 패스워드를 제공해 주는 프로그램으로 위장하고 있으나, 실제로 이 프로그램에서 제공된 계정정보는 유효하지 않습니다. 이렇게 거짓 정보를 제공하는 것은 랜섬웨어 제작자들이 이 프로그램에 포함된 랜섬웨어가 파일들을 암호화 하는 시간을 벌기 위한 것으로 추정됩니다. 

이 랜섬웨어는 39개의 파일 타입을 암호화 대상으로 하고 있습니다. 이는 다른 랜섬웨어들에 비해 적은 수의 파일타입 만을 암호화 대상으로 하고 있으며, 사용자 하드드라이브의 전체 파일이 아닌 “C:\Users”  경로 하위의 파일들만을 타겟으로 하고 있습니다.

 

.ai, .asp, .aspx, .avi, .bmp, .csv, .doc, .docx, .epub, .flp, .flv, .gif, .html, .itdb, .itl, .jpg, .m4a, .mdb, .mkv, .mp3, .mp4, .mpeg, .odt, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .sql, .txt, .wma, .wmv, .xls, .xlsx, .xml, .zip

사용자가 “Netflix Login Generator v1.1.exe”를 설치하면, 해당 파일은 “netprotocol.exe”라는 이름의 다른 파일을 사용자의 PC에 드랍하며 즉시 실행합니다. 

이때 드랍되는 파일이 실제 Netix랜섬웨어로, 사용자가 윈도우 7이나 10을 사용하고 있을 경우 AES-256 암호화 알고리즘으로 파일을 암호화 합니다. 암호화가 끝나면, 서버에 연결하여 감염 ID 및 기타정보를 전송하고 사용자 기기에 표시할 랜섬노트를 내려받습니다. 

이 랜섬노트는 사용자 데스크탑 배경 화면으로 표시될 뿐만 아니라, 텍스트 파일도 사용자 PC에 드랍됩니다. 

<이미지 출처 : https://www.bleepingcomputer.com/news/security/rogue-netflix-app-spreads-netix-ransomware-that-targets-windows-7-and-10-users/>

<이미지 출처 : https://www.bleepingcomputer.com/news/security/rogue-netflix-app-spreads-netix-ransomware-that-targets-windows-7-and-10-users/>

이 랜섬웨어는 랜섬머니로 $100상당의 비트코인으로 요구하며, 사용자를 랜섬머니를 지불하고 복호화 키를 받아갈 수 있는 페이지로 이동시킵니다. Netix 랜섬웨어는 파일을 암호화 한 후 파일 확장자를 .se로 변경합니다. 

현재 알약에서는 해당 랜섬웨어에 대하여  Trojan.GenericKD.4225125로 탐지중에 있습니다. 

 

참고 : 

https://www.bleepingcomputer.com/news/security/rogue-netflix-app-spreads-netix-ransomware-that-targets-windows-7-and-10-users/

http://blog.trendmicro.com/trendlabs-security-intelligence/netflix-scam-delivers-ransomware/