[210118] 새로운 랜섬웨어 패밀리 바북, 복잡한 암호화 알고리즘 채용해

www.boannews.com/media/view.asp?idx=93998

새로운 랜섬웨어 패밀리 바북, 복잡한 암호화 알고리즘 채용해

 

줄거리

올해 첫 랜섬웨어 '바북 락커(Babuk Locker)'가 발견되었다.

공격자들은 표적에 따라 맞춤형 공격을 실시하고, 강력한 암호화 알고리즘을 채용했다.

'바북 락커'가 암호화하는 방법

파일 암호화를 크게 두 가지 방식으로 진행한다. 작은 파일을 암호화 할 때와 큰 파일을 암호화할 때로 나뉜다.

작은 파일은 약 41MB 이하의 용량을 가진 것이고 이러한 파일은 ChaCha8이라는 암호화 알고리즘으로 두 번 암호화한다. 

41MB보다 큰 파일은 파일을 3등분하고, 각 부분에서 10MB 정도만 암호화를 진행한다. 또한 ECDH(Elliptic-curve Diffie–Hellman) 키 생성 방식을 통해 복호화 키를 보호하고 파일들을 암호화 한다.

=> SHA256 hash, ChaCha8 암호화, Elliptic-curve Diffie–Hellman (ECDH) 키 생성 및 교환 알고리즘의 자체 구현을 사용

 

 

몰랐던 지식

ChaCha8 암호화 알고리즘: 스트림 암호로 2008년에 발표된 Salsa20의 수정 버전이다. 일부 아키텍처에서 확산을 높이고 성능을 높이는 새로운 라운드 함수를 사용한다.

 

ECDH(Elliptic-curve Diffie–Hellman): 타원곡선 암호를 이용한 디피-헬만 키 교환 방식

- 특징 

--> 적은 CPU와 메모리 자원과 더 작은 키 값으로도 일반 디피 헬만에 비해 더 안전하다.

--> 일반 디피 헬만의 키 사이즈가 2048bit이면, ECDH에서는 224bit 사이즈의 키로 같은 안전성을 보장한다.

 

 

 

 

참고

blog.alyac.co.kr/3496

2021년 첫 기업용 랜섬웨어인 Babuk Locker 발견

chuongdong.com/reverse%20engineering/2021/01/03/BabukRansomware/

Babuk Ransomware

b.luavis.kr/science/elliptic-curve

Luavis' Dev Story - 타원곡선 디피 헬만