새로운 바이러스가 등장하면 보안 업체들은 샘플을 확보해 분석, 대응하기 위한 전용 백신이나 기존 백신을 위한 엔진 업데이트를 진행하는데, 이러한 보안 업체의 활동을 방해하기 위해 자폭하는 악성 코드가 등장했다.
시스코 보안 블로그를 인용한 neowin에 따르면. Rombertik으로 알려진 새로운 유형의 악성 코드의 기본 기능은 웹 브라우저를 통해 무차별적으로 사용자 정보를 수집하는 것으로, 여기까지만 보면 기존 악성 코드와 특별히 다를 것이 없다.
Rombertik이 문제되는 부분은 연구진들의 분석을 어렵게 하기 위해 불필요한 코드와 데이터가 전체의 96% 이상을 차지하며, 연구진들이 분석을 위해 격리된 환경을 조성하는데 쓰이는 샌드박스 툴을 무력화 하기 위해 시스템 메모리에 무차별적으로 랜덤 데이터를 쓰기작업을 시도해 분석을 어렵게 만드는 것으로 전했다.
마이크로소프트의 윈도우 지원팀을 사칭한 스팸과 피싱 메시지를 통해 PDF나 .SCR 형태의 첨부 파일로 배포되고 있는 Rombertik은 첨부 파일을 실행할 경우 사용자의 시스템에서 백신과 같은 악성 코드 탐지 시스템이 동작하고 있는지를 확인 후 문제가 없으면 자신의 백업을 생성해 동작을 시작하며, 백신 탐지 과정에서 백신이 발견될 경우 MBR을 삭제해 사용자의 PC 사용과 대응을 어렵게 만든다.
권한 문제로 MBR 삭제가 어려울 경우 홈 폴더(C:\Documents and Settings\Administrator\)의 모든 파일을 랜덤 생성한 RC4 키로 암호화해 손상 시키며, MBR 삭제나 암호화가 완료되면 PC를 재부팅 시키는 것으로 전했다.
이번에 발견된 Rombertik 관련 자세한 내용은 시스코 보안 블로그에서 확인할 수 있다. |
