[머니투데이 김주현 기자] [국내 웹사이트 광고서버 관리자권한 탈취 후 악성스크립트 삽입]

선 랜섬웨어의 랜섬노트/사진제공=안랩
안랩은 최근 웹사이트의 광고를 이용해 유포되는 선(Seon) 랜섬웨어를 발견했다고 30일 밝혔다. 

안랩에 따르면, 공격자는 먼저 특정 웹사이트 광고서버 취약점을 이용해 관리자 권한을 얻고 사이트 내 광고에 악성 스크립트를 삽입했다. 사용자가 해당 웹사이트에 접속하면 광고에 삽입된 악성 스크립트가 자동으로 동작, 악성코드 유포 도구인 '그린플래시 선다운 익스플로잇 킷'이 실행된다. 

그린플래시 선다운 익스플로잇 킷은 사용자 PC의 어도비 플래시 플레이어가 구버전일 경우 취약점을 확인해 랜섬웨어를 감염시키는 식이다. 이번 랜섬웨어 감염 사례는 국내 특정 뉴스 사이트의 광고에서 발견됐고 공격자가 국내 사용자를 타깃으로 삼은 것으로 추정된다고 안랩은 설명했다. 

선 랜섬웨어에 감염되면 사용자 파일이 암호화되고 팡리 확장자가 .FIXT로 바뀐다. 암호화 이후엔 'YOUR_FILES_ARE_ENCRYPTED.TXT'라는 이름의 랜섬노트가 뜨고 비트코인 등 암호화폐를 요구한다. 

현재 안랩 V3제품은 해당 악성코드를 진단하고 있다. 안랩은 이같은 랜섬웨어 피해를 줄이기 위해 △안정성이 확인되지 않은 웹사이트 방문 자제 △OS와 인터넷 브라우저, 응용프로그램, 오피스 SW등 프로그램의 최신 보안 패치 적용 △최신 버전 백신 사용 △중요한 데이터 별도 백업 등 기본적인 보안 수칙을 준수해야 한다고 조언했다. 

박태환 안랩 ASEC대응팀장은 "이번 랜섬웨어는 향후 이력서나 정상 설치 파일로 위장하는 등 다양한 방법으로 계속 유포될 수 있어 사용자의 주의가 필요하다"고 말했다.