[논문]스트림 암호 기반 랜섬웨어에 대한 기술적 분석 동향

이영주

스트림 암호 기반 랜섬웨어에 대한 기술적 분석 동향 원문보기

情報保護學會誌 = KIISC review, v.32 no.3, 2022년, pp.49 - 56

이영주 (한국인터넷진흥원)

초록
AI-Helper

최근까지 랜섬웨어 공격은 끊임없이 발생하고 있으며 공격자의 암호기술에 대한 이해가 향상되면서 다양한 암호 알고리즘을 사용하여 피해자의 중요한 데이터를 암호화하고 있다. 블록 암호만을 사용하던 초창기 랜섬웨어와 달리 최근 몇 년 전부터 스트림 암호를 사용하여 데이터를 암호화하는 랜섬웨어가 계속해서 발견되고 있다. 따라서, 본 논문에서는 스트림 암호 기반 랜섬웨어의 동작과정, 암호화 과정을 기술적으로 분석하여 어떠한 형태로 악성행위를 수행하는 지 알아보고자 한다

AI 본문요약
AI-Helper

문제 정의

이러한 시도가 성공하면서 스트림 암호 기반의 랜섬웨어가 매년 유포되고 있으며 영향력이 커지고 있는 상황이다. 따라서 이 논문에서는 스트림 암호 기반의 랜섬웨어가 어떠한 방법을 이용하여 동작하고 파일 암호화를 수행하는지 분석하여 기술적 동향을 파악하고자 한다.

제안 방법

또한, 랜섬웨어 공격자들은 더 많은 대상에게 랜섬웨어 공격을 수행하고 금전적 이득을 취하기 위해 파일 암호화 속도 향상의 필요성은 인지하였다. 그래서, 블록 암호보다 안전성은 상대적으로 낮지만 암호화 속도가 빠른 스트림 암호를 사용하여 파일 암호화를 시도하였다. 이러한 시도가 성공하면서 스트림 암호 기반의 랜섬웨어가 매년 유포되고 있으며 영향력이 커지고 있는 상황이다.

이론/모형

Conti 랜섬웨어는 Microsoft에서 제공하는 CryptoAPI의 함수를 사용하여 파일 암호화를 수행한다. 먼저, CryptGenRandom 함수를 사용하여 암호화 시 사용할 암호키와 nonce 값을 생성한다.
Conti 랜섬웨어는 파일 암호화 시 사용한 암호키와 nonce 값을 공격자의 공개키로 암호화하며, RSA-4096 암호 알고리즘을 사용한다. 해당 공개키는 하드코딩되어 있으며 CryptImportKey 함수를사용하여 값을 불러온다.
Ragnar 랜섬웨어는 Microsoft에서 제공하는 CryptoAPI의 CryptGenRandom 함수를 사용하여 난수를 생성한다. 생성된 난수에 SHA-512를 적용한 해시값의 일부분을 seed 값으로 사용한다.

성능/효과

4종(Conti, Ragnar, BlackMatter, Babuk Locker)의 랜섬웨어 동작과정 및 암호기능 분석 사례를 통해 파일 암호화 시 스트림 암호가 자주 사용되고 있음을 확인하였다. 대부분 Winodws의 CryptoAPI에서 제공하는 함수를 사용하여 암호키 생성에 필요한 무작위 값들을 추출하고 파일 암호화를 수행한다.

후속연구

블록암호뿐만 아니라 스트림 암호를 이용하여 파일을 암호화하는 사례도 계속해서 보고되고 있다. 이러한 추세에 맞춰 스트림 암호 기반 랜섬웨어를 심층적으로 분석하고 복구할 수 있는지 확인하는 연구를 진행하고 분석 사례를 확보해야 할 필요가 있다.

참고문헌 (13)

"Wikipedia", https://en.wikipedia.org/wiki/Salsa20
"DailySecu", https://www.dailysecu.com/news/articleView.html?idxno118479
성윤기, 김기문, 이영주, "Conti 랜섬웨어 암호기능 분석 보고서", 한국인터넷진흥원, pp. 2-4, 2021
성윤기, 김기문, 이영주, "Conti 랜섬웨어 암호기능 분석 보고서", 한국인터넷진흥원, pp. 5-6, 2021
"ESTsecurity, https://blog.alyac.co.kr/3009"
박창열, 김기문, 김대운, "Ragnar 랜섬웨어 암호기능 분석 보고서", 한국인터넷진흥원, pp. 2-8, 2020
박창열, 김기문, 김대운, "Ragnar 랜섬웨어 암호기능 분석 보고서", 한국인터넷진흥원, pp. 9-12, 2020
"ESTsecurity", https://blog.alyac.co.kr/3960
성윤기, 김기문, 이영주, "2021년 3분기 랜섬웨어 동향 보고서", 한국인터넷진흥원, pp. 29-31, 2021
성윤기, 김기문, 이영주, "2021년 3분기 랜섬웨어 동향 보고서", 한국인터넷진흥원, pp. 27-28, 2021
"Trend Micro", https://www.trendmicro.com/en_us/research/21/b/new-in-ransomware.html
성윤기, 김기문, 이영주, "2021년 1분기 랜섬웨어 동향 보고서", 한국인터넷진흥원, pp. 12-14, 2021
성윤기, 김기문, 이영주, "2021년 1분기 랜섬웨어 동향 보고서", 한국인터넷진흥원, pp. 11-12, 2021

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증