Cerber는 피해자의 컴퓨터에 설치되면 파일을 암호화하여 액세스할 수 없게 만드는 일종의 악성 소프트웨어인 랜섬웨어 계열입니다. 그런 다음 공격자는 암호 해독 키에 대한 대가로 몸값을 요구합니다.
Cerber 랜섬웨어의 역사
Cerber는 2016년 3월 러시아 지하 포럼에서 판매된 서비스로 야생에서 처음 관찰되었습니다. 기술적으로 경험이 부족한 범죄자도 랜섬웨어 공격을 실행할 수 있는 '서비스형 랜섬웨어'(RaaS) 모델로 인해 빠르게 악명을 얻었습니다.
Cerber 랜섬웨어 이해
Cerber는 일반적으로 악성 이메일 첨부 파일, 웹 다운로드 또는 익스플로잇 키트를 통해 컴퓨터 시스템에 침투하여 작동합니다. 실행 시 Cerber는 시스템에서 데이터 파일을 검색하고 강력한 AES-256 암호화를 사용하여 암호화 프로세스를 시작합니다. 파일 이름이 바뀌고 암호화된 각 파일에 '.cerber' 또는 '.cerber2' 확장명이 추가됩니다.
암호화가 완료되면 랜섬웨어는 '# DECRYPT MY FILES #.txt' 또는 '.html'이라는 이름의 몸값 메모를 삭제합니다. 이 메모는 피해자에게 암호화에 대해 알리고 해독에 대한 대가로 일반적으로 비트코인으로 몸값을 요구합니다. 열쇠.
Cerber 랜섬웨어: 내부 모습
Cerber는 탐지를 회피하고 감염을 극대화하며 분석을 방해하기 위해 다양한 기술 전략을 사용합니다. 여기에는 다음이 포함됩니다.
-
안티분석 기법: Cerber는 법의학 분석을 방해하기 위해 코드 난독화 및 패킹과 같은 여러 기술을 사용합니다. 샌드박스 또는 가상 머신에서 실행 중인지 감지하고 감지를 피하기 위해 자체 종료할 수 있습니다.
-
지속성 메커니즘: Cerber는 감염된 시스템에 남아 있도록 레지스트리 키, 예약된 작업을 생성하거나 시작 폴더를 사용하여 지속성을 설정합니다.
-
네트워크 통신: 감염 후 Cerber는 C&C(명령 및 제어) 서버와 통신하며 종종 DGA(도메인 생성 알고리즘)를 사용하여 이러한 서버에 대해 차단하기 어려운 새 도메인 이름을 생성합니다.
Cerber 랜섬웨어의 주요 특징
Cerber 랜섬웨어의 몇 가지 특징은 다음과 같습니다.
-
음성 경고: Cerber는 텍스트 음성 변환 엔진을 사용하여 피해자에게 파일이 암호화되었음을 알리는 특이한 기능으로 유명합니다.
-
RaaS 모델: Cerber는 RaaS 모델로 인해 인기를 얻었습니다. 이 모델에서는 악성 코드 제작자가 랜섬웨어를 다른 범죄자에게 임대하여 수익을 공유했습니다.
-
회복력: C&C 통신을 위해 DGA를 사용하고, 잦은 업데이트로 대응에 탄력적이다.
Cerber 랜섬웨어의 변종
Cerber는 시간이 지남에 따라 여러 변종이 확인되면서 진화했습니다. 다음은 몇 가지 핵심 사항입니다.
| 변종 | 주목할만한 특징 |
|---|---|
| 케르베르 v1 | 초기 버전, '# DECRYPT MY FILES #.txt' 또는 '.html'이라는 랜섬 노트 |
| 케르베르 v2 | AV 방지 기술 도입, 버그 수정 |
| 케르베르 v3 | v2와 유사한 사소한 수정 |
| 케르베르 v4 | 암호화된 파일에 임의의 4자 확장자를 도입했습니다. |
| 케르베르 v5 | 암호화 속도 향상, 대규모 기업 네트워크 대상 |
| 케르베르 v6 | 머신러닝 탐지를 우회하는 안티분석 기술 도입 |
Cerber 랜섬웨어의 의미 및 완화
몸값 지불로 인한 금전적 손실과 비즈니스 중단을 포함하여 Cerber의 영향은 심각할 수 있습니다. 중요한 파일을 정기적으로 백업하고, 업데이트된 바이러스 백신 소프트웨어를 유지하고, 피싱 이메일 및 의심스러운 다운로드의 위험에 대해 직원을 교육하는 것이 중요합니다.
감염된 경우 일반적으로 몸값을 지불하지 않는 것이 좋습니다. 이는 파일 복구를 보장하지 않고 추가 범죄 활동을 조장하기 때문입니다.
유사 랜섬웨어와의 비교
다음은 Cerber를 다른 유사한 랜섬웨어와 비교한 것입니다:
| 랜섬웨어 | 결제 방법 | 암호화 알고리즘 | 주목할만한 특징 |
|---|---|---|---|
| 케르베르 | 비트코인 | AES-256 | RaaS, 음성 경고 |
| 록키 | 비트코인 | RSA-2048 | 가변 몸값 |
| 크립토락커 | 비트코인 | RSA-2048 | 최초의 광범위한 랜섬웨어 |
| 울고 싶다 | 비트코인 | AES-256, RSA-2048 | MS17-010 취약점 악용 |
랜섬웨어의 미래
Cerber와 같은 랜섬웨어는 고급 회피 및 지속성 기술을 활용하여 더욱 정교해질 것으로 예상됩니다. 사이버 보안 방어자와 공격자 모두가 머신 러닝과 AI를 채택하면 미래 환경이 형성될 가능성이 높습니다.
프록시 서버 및 Cerber 랜섬웨어
프록시 서버는 랜섬웨어 공격에 간접적으로 역할을 할 수 있습니다. 공격자는 프록시 서버를 사용하여 실제 IP 주소를 숨겨 활동을 추적하기 어렵게 만들 수 있습니다. 그러나 프록시 서버도 방어의 일부가 될 수 있습니다. 조직에서는 프록시를 사용하여 인바운드 트래픽에서 랜섬웨어 징후를 검사하고 악성 콘텐츠를 차단할 수 있습니다.
