랜섬웨어뉴스

갠드크랩 랜섬웨어가 새로운 트로이목마를 데리고 다시 나타났다. 얼마 전 한 위협 단체가 갠드크랩(Gandcrab)과 함께 정보 탈취 멀웨어인 비다르(Vidar)를 같이 활용하고서 1주일이 조금 넘은 시점에 등장한 것이다.

실제로 체크포인트는 최근 공격자들이 두 가지 버전의 갠드크랩과 베타봇(BetaBot)/뉴버트(Neuvert)와 아조르얼트(AzorUlt)라는 데이터 탈취형 트로이목마를 함께 버무려 두 번째 페이로드로서 활용하는 것을 목격했다고 한다.

베타봇은 로그인 크리덴셜과 금융 정보들을 훔친다. 그래서 다목적 기능을 한 멀웨어이지만 ‘정보 탈취형 트로이목마’로 분류되는 것이다. “그러나 이번 갠드크랩에서 발견된 베타봇이 정보를 탈취하기 위해 사용되었다고 확신하기는 어렵습니다. 공격자들이 갠드크랩 공격이 실패할 때를 생각해서 넣어둔 다목적 예비 장치가 아닐까 합니다.”​

아조르얼트 역시 데이터 탈취형 멀웨어로, 암호화폐 지갑과 관련된 정보나 FTP/IM/이메일 클라이언트 등의 크리덴셜을 훔치는 데 능하다. 또한 C&C 서버로부터 명령을 받기 전까지는 가만히 머물러 있으면서 아무런 활동을 하지 않는다.​