최근 MS오피스 프로그램의 매크로 기능을 이용해 감염되는 새로운 랜섬웨어가 발견돼 사용자들의 주의가 필요하다. 

‘록키(Locky)’라고 명명된 새로운 랜섬웨어는 주로 이메일을 통해 유포되고 있다. 불특정 다수를 대상으로 아래 그림과 같이 기존에 자주 등장했던 송장(invoice)으로 위장한 메일을 통해 감염을 시도한다. 

스팸 메일에 첨부된 MS워드 파일을 열면 ‘인코딩되어 있는 내용을 확인하기 위해 매크로 기능을 사용하라’고 유도한다. 

해당 문서 파일에 포함되어 있는 매크로를 살펴본 결과, 난독화된 자바스크립트 구문이 확인되었다. 이 파일은 추가로 악성 파일의 다운로드와 특정 URL로의 연결을 시도한다. C&C 서버와의 연결을 통해 감염된 PC 내의 파일을 암호화하기 위한 키(key)를 받아오는 방식을 사용하고 있는 것으로 추정되지만, 분석 당시에는 해당 URL과 연결되지 않아 악의적인 행위에 대한 추가 확인을 진행할 수 없었다. 

록키 랜섬웨어에 의해 암호화된 파일은 확장자명이 ‘.locky’로 변경된다. 테슬라크립트(TeslaCrypt) 랜섬웨어 등 기존에 발견된 랜섬웨어와 같은 방식이다.

V3 365 Clinic 등 V3 제품군에서는 록키 랜섬웨어를 아래와 같은 진단명으로 탐지하고 있다.

<V3 제품군의 진단명>

W97M/Downloader (2016.02.18.00)

록키 랜섬웨어뿐만 아니라 ​교묘하게 위장한 스팸 메일을 통해 신종 악성코드 유포가 빈번하게 이뤄지고 있어 사용자들의 각별한 주의가 필요하다. 출처를 알 수 없거나 의심스러운 이메일은 가급적 즉시 삭제하는 것이 바람직하다. 유명 배송업체 등 낯익은 발신자가 보낸 이메일의 경우에도 첨부 파일을 바로 실행하는 것이 아니라 일단 PC에 저장 후 백신으로 검사하는 습관을 갖는 것이 좋다. 이와 함께 랜섬웨어 피해를 예방하기 위해 평소 중요한 데이터를 백업해두는 등의 노력도 필요하다. 랜섬웨어는 암호화 알고리즘을 이용하여 암호화하기 때문에 감염된 이후에는 사실상 파일 복구가 어렵기 때문이다.