안티랜섬웨어 전문 기업 체크멀(대표 김정훈)은 암호화 대상 파일을 파워포인트 문서처럼 변경하는 글로브임포스터(GlobeImposter) 랜섬웨어의 변종이 확인됐다고 30일 밝혔다.

글로브임포스터 랜섬웨어는 2017년부터 메일 첨부파일 형태로 다양한 변종이 발견되고 있으며, 최근 취약점 또는 원격 제어 방식으로 사용자 몰래 접속해 감염시킨다. 특히 올해 11월부터 취약점 유포 방식으로 최신 보안 업데이트가 적용되지 않은 PC에서 웹 사이트 접속 중 자동 감염되어 문서, 사진, 음악 등의 데이터 파일뿐만 아니라 실행 가능한 파일까지 암호화하고 있다.
 

​

가장 최근 유포된 해당 랜섬웨어의 변종은 .PPTX 파일 확장명으로 암호화한 후 각 폴더마다 결제 안내 파일을 생성한다. ​또한 원격 제어를 통해 접속 정보를 삭제하여 파일 복구를 불가능하게 만들고, 윈도우 부팅 시마다 자동으로 재실행 되도록 설정한다.

결제 안내 파일에는 Tor Browser를 이용해 특정 주소로 접속하도록 안내한다. ​접속한 사이트에는 복구툴을 구입하려면 2일(48시간) 내에 $777 수준의 비트코인을 지불하도록 안내하고, 기간이 경과할 경우 가격이 2배로 상승할 것을 경고한다.

글로브임포스터 랜섬웨어는 다양한 형태로 파일 암호화를 시도하는 변종이 많고, 유포 방식도 메일 첨부파일, 취약점, 원격 제어를 통한 수동 방식 등으로 다양해 더욱 주의가 필요하다.

체크멀 관계자는 “앱체크는 .PPTX 파일 확장명으로 암호화를 시도하는 글로브임포스터 랜섬웨어의 파일 암호화 행위를 정상적으로 차단하고 암호화된 파일에 대한 자동 복원을 지원한다”며 ​“의심스러운 메일의 첨부파일은 주의하고, 원격 제어 방식으로 외부와 연결된 경우 접속 비밀번호 강화 및 사용자 제한 등 보안 정책을 수립하시기 바란다”고 전했다.