DragonForce 랜섬웨어 분석

DragonForce 랜섬웨어

DragonForce Ransomware Analysis Report

Conti 기반 C++ Windows 랜섬웨어

1) 개요

DragonForce는 2023년 8월경부터 랜섬웨어 활동이 관찰된 Ransomware-as-a-Service(RaaS) 계열 위협 그룹이다. 데이터 유출 사이트(DLS)와 제휴자 기반 운영 방식을 활용하며 활동 범위를 넓힌 것으로 알려져 있다.
단일 페이로드만 사용하는 구조가 아니라, 제휴자가 공격 환경에 맞게 설정과 페이로드를 조정할 수 있는 형태로 분석된다. 공개 보고서에서는 LockBit 3.0 빌더 기반 변종과 ContiV3 기반으로 평가되는 변종이 함께 언급되며, 2024년부터 제휴 프로그램과 공격 관리·자동화 기능을 내세워 운영을 확장한 것으로 설명된다.
2025년에는 이른바 “랜섬웨어 카르텔” 모델을 내세우며, 제휴자가 DragonForce 인프라를 사용하면서도 자체 브랜드처럼 활동할 수 있는 구조를 홍보한 정황이 보고됐다. 다만 이는 DragonForce가 주장한 운영 모델에 가까우므로, 실제 조직 통합이나 타 그룹 흡수 여부를 확정적으로 해석해서는 안 된다.
본 보고서의 분석 대상은 DragonForce 계열 Windows 랜섬웨어 샘플이다. 분석 범위는 실행 파일 내부 코드, 복호화된 설정, 문자열, API 호출 흐름으로 확인 가능한 내용에 한정한다. 초기 침투 방식, 외부 C2 통신, 자료 유출 경로, SMB 취약점 악용 여부는 본 샘플의 정적 분석만으로 확정하지 않는다.

2) 전체 공격 흐름

샘플은 실행 초기 단계에서 API를 동적으로 해석하고 내부 설정을 복호화한 뒤, 실행 옵션과 권한 상태를 확인한다. 이후 프로세스 종료와 Shadow Copy 삭제 등 암호화 전 방해 요소를 정리하고, 로컬 및 내부망 경로를 수집해 파일 암호화를 수행한다. 암호화가 끝난 파일은 이름이 변경되며, 이후 랜섬노트 생성과 아이콘·바탕화면 변경 등 사용자 노출 아티팩트가 생성된다.
세부 단계별 동작은 3장에서 분석한다.

3) 공격 기법 분석

항목	내용
이름	410db536a57c511b0ccac2639e0eb3320f303fc5c90242379ab43364c51ef321.bin.exe.bin
파일 타입	PE32 실행 파일 (Windows, x86)
파일 크기	441.05 KiB (451,636 bytes)
MD5	19d69e198f1b8888d07eb612f1c27fa8
SHA256	410db536a57c511b0ccac2639e0eb3320f303fc5c90242379ab43364c51ef321
패킹	패커 식별 정보 없음
비고	Conti 기반 DragonForce 계열 Windows 랜섬웨어 본체

< 표 1 > 분석 대상 정보

초기화, API 해석, 후킹 복원
샘플은 API 이름을 그대로 import에 남기지 않는다. DLL과 API를 동적으로 찾고, API 이름은 소문자로 맞춘 뒤 MurmurHash2 해시로 비교한다. 확인된 해시 상수는 seed 0xB801FCDA, 매직 0x5BD1E995다.
해석된 API 주소는 슬롯에 저장해 같은 API를 반복해서 다시 찾지 않도록 한다. 이 구조는 탐지 규칙을 만들 때 해시 상수와 캐시 호출 형태를 함께 볼 수 있는 근거가 된다.
또한 kernel32, ntdll, ws2_32 등 12개 DLL을 대상으로 메모리의 함수 앞부분과 디스크 원본을 비교한다. 다르면 원본 바이트로 되돌리는 준비를 하므로, 사용자 모드 후킹의 영향을 줄이려는 코드로 확인된다.

내부 설정 복호화
샘플 안에는 926바이트 설정 블록이 들어 있다. 이 설정은 고정 ChaCha8 키와 nonce로 복호화되며, 평문 앞뒤의 0xDEAD/0xBEEF 값이 맞아야 파싱을 계속한다.
설정에는 파일 크기별 암호화 방식, 드라이버 사용 여부, 실행 옵션, 노출 파일 경로 등이 포함된다. 예약 작업 등록 코드는 존재하지만 현재 복호화된 설정에서는 기본 실행 경로로 켜져 있지 않다.
예약 작업 분기가 켜진 경우에는 자기 자신을 설정된 경로로 복사하고 작업 스케줄러에 등록한 뒤 현재 프로세스를 종료한다. Shadow Copy 삭제와는 별도 코드 경로다.

명령행 옵션과 동작 범위
실행 인자는 암호화 범위를 정한다. -m all은 기본값으로 로컬·네트워크·백업 흐름을 함께 수행하고, -m local/-m net은 범위를 좁힌다. -p는 지정 경로를 내부 목록에 추가하며, -log는 기존 로그 파일 끝에 이어 쓴다.

옵션	내부값	동작
-m all	10	로컬 + 네트워크 공유 + 복구 방해 모두 처리 (기본값)
-m local	11	로컬 드라이브 중심
-m net	12	내부망 SMB 공유 중심
-m backups	13	Shadow Copy 삭제 등 복구 방해 중심
-p <경로>	14	지정 경로를 내부 목록에 넣고 지정 경로 전용 처리
-log <경로>	–	로그 파일을 이어 쓰기 모드로 기록
-size <정수>	–	대형 파일 세그먼트 암호화 비율 덮어쓰기
-nomutex	–	중복 실행 방지 뮤텍스 생성 생략

< 표 2 > 명령행 옵션과 동작 범위

권한 확인과 SYSTEM 재실행
샘플은 현재 권한이 관리자 또는 SYSTEM인지 확인한다. SYSTEM이 아니면 실행 중인 프로세스들의 토큰 소유자를 확인하고, NT AUTHORITY 또는 NT AUTHORITY\SYSTEM 계정을 찾는다.
조건에 맞는 프로세스를 찾으면 그 토큰을 복제해 현재 실행 파일을 SYSTEM 권한으로 다시 실행한다. 흐름은 OpenProcess, OpenProcessToken, DuplicateTokenEx, CreateProcessWithTokenW 순서다.
이 동작은 새 취약점을 이용해 권한을 올리는 취약점 악용이라기보다, 이미 존재하는 SYSTEM 토큰을 이용해 더 높은 권한의 새 인스턴스를 만들려는 시도다.

BYOVD 취약 드라이버 설정
현재 설정의 드라이버 선택값은 2이며 rentdrv2 경로를 사용한다. 코드에는 TrueSight 분기와 드라이버 미사용 분기도 있지만 이 샘플의 활성 설정은 rentdrv2 쪽이다. 드라이버는 파일 암호화 엔진이 아니라 사용자 모드에서 종료하기 어려운 프로세스를 강제로 멈추기 위한 보조 수단이다. 아래 표는 어떤 드라이버를 쓰는지와 PID 전달 방식의 근거가 된다.

항목	활성 (rentdrv2)	대체 (TrueSight)
서비스명	rentdrv2	trueSight
파일명	rentdrv2.sys	truesight.sys
장치 경로	\\.\rentdrv2	\\.\TrueSight
IOCTL	0x22E010	0x22E044
입력 버퍼	0x808 바이트 {커맨드ID=1, PID}	4바이트 PID

< 표 3 > 드라이버 관련 설정값

BYOVD 드라이버 드롭과 서비스 등록
샘플은 x86과 x64용 드라이버 데이터를 각각 내장하며, 실행 환경의 아키텍처에 맞는 데이터 블록을 ChaCha8로 복호화한 뒤 zlib로 해제해 .sys 파일로 저장한다. 생성된 드라이버는 OpenSCManagerW, CreateServiceW, StartServiceW 순서로 서비스에 등록, 실행된다.
동일한 이름의 서비스가 이미 존재하면 생성 단계를 건너뛰고 시작을 시도하며, 로드된 드라이버는 프로세스 종료 루틴에서 전달된 PID를 처리하는 데 사용된다.

프로세스 종료 대상과 방식
샘플은 설정에 포함된 프로세스명을 하나씩 조회해 PID를 찾는다. 대상은 데이터베이스, 백업·동기화, 문서 편집기, 메일 클라이언트, 브라우저, 일부 보안·시스템 관련 프로세스로 나뉜다. 종료 방식은 드라이버 사용 여부에 따라 갈린다. 드라이버가 로드되어 있으면 PID를 커널 드라이버에 넘겨 종료를 요청하고, 드라이버를 쓰지 않는 경로에서는 OpenProcess와 TerminateProcess로 사용자 모드 종료를 수행한다. 즉 사용자 모드 종료는 드라이버 실패 후의 보조 수단이 아니라 설정에 의해 처음부터 나뉘는 별도 분기다.

종료 대상 프로세스 목록
아래 표는 설정에서 확인된 38개 프로세스를 이름 기준으로 묶은 것이다. 제품명을 단정하기 위한 표가 아니라, 샘플이 어떤 업무 영역의 프로그램을 먼저 멈추려 하는지 보여주는 분류다. 데이터베이스와 백업·동기화, 문서 편집기, 메일 클라이언트가 함께 포함되어 있어 암호화 전 파일 점유를 해제하거나 복구 가능성을 낮추기 위한 동작과 연결된다.

Shadow Copy 삭제
샘플은 vssadmin 명령 대신 WMI와 WMIC를 사용한다. 먼저 ROOT\CIMV2에 연결하고 SELECT * FROM Win32_ShadowCopy 쿼리로 복사본 목록을 가져온다. 각 Shadow Copy ID에 대해 cmd.exe /c WMIC.exe shadowcopy where "ID=''" delete 형태의 명령을 만든 뒤 CreateProcessW로 실행한다.
32비트 프로세스가 64비트 OS에서 WMI를 제대로 조회하도록 __ProviderArchitecture 값을 64로 설정하는 코드도 확인된다. 이 동작은 예약 작업 등록 분기와 별도로 존재한다.

로컬 및 네트워크 경로 탐색 (1) — 로컬/ARP
로컬 경로는 GetLogicalDriveStringsW로 드라이브 문자를 열거한 뒤 큐에 넣는다. GetDriveTypeW로 종류를 가려내는 필터는 확인되지 않아, 매핑 드라이브나 이동식 드라이브도 큐에 들어갈 수 있다.
네트워크 쪽은 Winsock을 초기화하고 ConnectEx 포인터를 얻은 뒤, GetIpNetTable로 ARP 캐시를 읽는다. 여기서 10.*, 172.*, 192.168.*, 169.* 형태의 주소를 후보로 선별한다.
같은 /24 대역은 마지막 옥텟을 0으로 맞춰 중복을 줄인다.

로컬 및 네트워크 경로 탐색 (2) — 445 스캔/공유 열거
후보 /24 대역의 1~254 호스트에 TCP/445 연결을 비동기로 시도한다. 응답한 호스트에는 NetShareEnum(level 1)으로 SMB 공유 목록을 가져온다. 디스크 계열 공유만 수집하며 ADMIN$는 제외한다. C$, D$ 같은 숨김 공유는 조건에 맞으면 포함된다. 외부 C2, SMB 취약점 악용, 계정 대입 공격은 확인되지 않는다.

제외 조건
암호화 전에는 디렉터리명, 확장자, 파일명을 먼저 검사해 제외 대상을 걸러낸다. 이는 운영체제 핵심 파일이나 이미 처리된 파일을 건드려 실행이 중단되는 상황을 줄이기 위한 흐름이다. .dragonforce_encrypted는 재암호화를 막기 위한 제외 확장자이고, readme.txt는 랜섬노트가 다시 암호화되지 않도록 제외된다.

구분 (개수)	항목
디렉터리 (11)	tmp, winnt, temp, thumb, $Recycle.Bin, $RECYCLE.BIN, System Volume Information, Boot, Windows, perflogs, Public
확장자 (7)	.exe, .dll, .lnk, .sys, .msi, .bat, .dragonforce_encrypted
파일명 (1)	readme.txt

< 표 5 > 제외 조건

파일 암호화 중 잠긴 파일 처리
이 기능은 독립 실행 단계가 아니라, 파일 암호화 중 대상 파일이 다른 프로그램에 열려 있을 때 호출되는 세부 처리 경로다. 샘플은 Windows Restart Manager를 사용해 해당 파일을 점유한 프로세스를 찾고 종료를 요청한다. 확인된 API 흐름은 RmStartSession, RmRegisterResources, RmGetList, RmShutdown, RmEndSession이다. 이는 설정에 포함된 38개 고정 대상 프로세스 종료와 별개로, 파일 단위의 잠금 원인을 동적으로 처리하는 경로다.

파일 암호화 방식
파일 암호화는 단순히 모든 파일을 같은 방식으로 처리하지 않는다. 크기와 확장자에 따라 전체 암호화, 부분 암호화, 헤더 중심 암호화로 나뉘며, 표의 임계값은 복호화된 설정에서 확인한 값이다. 데이터베이스·업무 데이터 계열처럼 특수 목록에 들어간 확장자는 크기와 관계없이 전체 암호화 대상이 된다. 설정 복호화용 고정 ChaCha8 키는 파일 본문 암호화 키로 직접 쓰이지 않고, 파일별 32바이트 키와 8바이트 nonce는 별도로 생성된다. 암호화 후에는 키, nonce, 파일명, 암호화 방식 메타데이터가 다시 암호화되어 파일 끝에 붙는다.

대상	조건	암호화 방식
특수 확장자 170종	크기 무관	전체 암호화
VM·디스크 이미지 20종	크기 무관	20% 세그먼트
일반 파일	≤ 2MB	전체 암호화
일반 파일	≤ 10MB	앞 3MB 헤더
일반 파일	> 10MB	50% 세그먼트 (-size로 덮어쓰기)

< 표 6 > 파일 크기·확장자 기준 암호화 분기

특수 확장자 전체 암호화
데이터베이스, 가상화 이미지, 백업·업무 데이터 계열 확장자는 파일 크기와 관계없이 전체 암호화 대상으로 처리된다. 코드상 목록은 171개 엔트리지만 .kdb가 중복되어 고유 확장자는 170개다. 이 목록은 단순 참고용 확장자 나열이 아니라, 어떤 파일군을 빠르게 복구하기 어렵게 만드는지 보여주는 근거다. 일반 파일은 크기 조건에 따라 부분 암호화될 수 있지만, 아래 확장자는 임계값보다 우선해 전체 암호화 흐름으로 들어간다.

특수 전체 암호화 확장자

.4dd, .4dl, .abcddb, .abs, .abx, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .accft, .adb, .ade, .adf, .adn, .adp, .alf, .arc, .ask, .bdf, .btr, .cat, .cdb, .ckp, .cma, .cpd, .dacpac, .dad, .dadiagrams, .daschema, .db, .db2, .db3, .dbc, .dbf, .dbs, .db-shm, .dbt, .dbv, .db-wal, .dbx, .dcb, .dct, .dcx, .ddl, .dlis, .dp1, .dqy, .dsk, .dsn, .dtsx, .dxl, .eco, .ecx, .edb, .epim, .exb, .fcd, .fdb, .fic, .fm5, .fmp, .fmp12, .fmpsl, .fol, .fp3, .fp4, .fp5, .fp7, .fpt, .frm, .gdb, .grdb, .gwi, .hdb, .his, .hjt, .ib, .icg, .icr, .idb, .ihx, .itdb, .itw, .jet, .jtx, .kdb, .kexi, .kexic, .kexis, .lgc, .lut, .lwx, .maf, .maq, .mar, .mas, .mav, .maw, .mdb, .mdf, .mdn, .mdt, .mpd, .mrg, .mud, .mwb, .myd, .ndf, .nnt, .nrmlib, .ns2, .ns3, .ns4, .nsf, .nv, .nv2, .nwdb, .nyf, .odb, .oqy, .ora, .orx, .owc, .p96, .p97, .pan, .pdb, .pdm, .pnz, .qry, .qvd, .rbf, .rctd, .rod, .rodx, .rpd, .rsd, .sas7bdat, .sbf, .scx, .sdb, .sdc, .sdf, .sis, .spq, .sql, .sqlite, .sqlite3, .sqlitedb, .te, .temx, .tmd, .tps, .trc, .trm, .udb, .udl, .usr, .v12, .vis, .vpd, .vvv, .wdb, .wmdb, .wrk, .xdb, .xld, .xmlff

< 표 7 > 특수 확장자 전체 암호화 목록

파일명 변경 방식
현재 설정에서는 encrypt_file_names 값이 켜져 있어, 암호화 후 원본 파일명을 그대로 남기지 않는다.
동작 순서는 단순하다. 원본 경로에서 디렉터리와 파일명을 나누고, 파일명을 바이트 배열로 바꾼 뒤 커스텀 base32 알파벳 gwfn6l3bk45o2zecvi7xtyqrpsudmahj로 인코딩한다.
마지막으로 인코딩된 이름에 .dragonforce_encrypted를 붙이고 MoveFileW로 파일명을 바꾼다. 결과적으로 감염 후 파일명은 .dragonforce_encrypted 형태가 된다.

랜섬노트 생성
샘플은 대상 디렉터리에 readme.txt 랜섬노트를 만든다. 노트 본문은 PE 내부 데이터 블록에서 꺼낸 뒤, 본체 설정과 별도의 ChaCha8 키로 복호화한다. 복호화된 본문에는 피해자 ID 자리표시자가 들어 있고, 실행 중 생성한 두 개의 64비트 값을 이 위치에 넣는다. 이 구조 때문에 같은 실행 흐름에서 생성된 랜섬노트는 같은 식별값을 공유한다. 즉 readme.txt는 단순 고정 문구가 아니라 실행 중 생성된 식별 정보를 포함하는 결과물이다. 

사용자 노출 아티팩트 — 아이콘
아이콘 루틴은 icon.ico 자산을 파일로 쓰고, .dragonforce_encrypted 확장자의 DefaultIcon 값을 이 경로로 연결한다.
권한이 충분하면 시스템 범위(HKLM\Software\Classes)를, 부족하면 사용자 범위(Software\Classes)를 사용한다. 따라서 암호화된 파일은 확장자 연결에 따라 별도 아이콘으로 표시될 수 있다. 

로그 처리
현재 설정에서는 로그가 켜져 있으며 기본 경로는 C:\Users\Public\log.log다. -log 인자를 쓰면 지정한 로그 파일을 OPEN_ALWAYS로 열고 파일 끝으로 이동해 기존 내용을 보존한 채 뒤에 이어 쓴다. 로그 파일 앞부분에는 64비트 seed 2개가 먼저 기록된다. 이후 이 값에서 파생된 키와 nonce로 ChaCha 상태를 만들고, 로그 줄에는 시간과 스레드 ID 접두어를 붙인다.
로그 암호화 플래그가 켜져 있으면 로그 줄은 ChaCha8로 암호화되어 저장된다. 따라서 log.log가 생성되어도 일반 텍스트 편집기에서 바로 읽히지 않을 수 있다. 

4) 결론

분석 대상 악성코드는 실행 파일 내부 코드와 복호화된 설정 기준으로, Windows 환경에서 파일 암호화와 복구 방해를 수행하는 DragonForce 계열 랜섬웨어다. 실행 흐름은 내부 설정 복호화, 동적 API 해석, 권한 확인 및 재실행, 프로세스 종료, Shadow Copy 삭제, 로컬·내부망 경로 수집, 워커 스레드 기반 파일 처리, 파일 암호화, 파일명 변환, 랜섬노트·아이콘·바탕화면 생성으로 이어진다.

핵심 분석 결과는 다음과 같다.
· 설정 블록은 ChaCha8로 복호화되며, 0xDEAD/0xBEEF 검증값을 통해 파싱 여부를 결정한다.
· 프로세스 종료는 설정에 포함된 38개 대상 프로세스를 기준으로 수행되며, 드라이버 사용 여부에 따라 커널 IOCTL 또는                                   OpenProcess+TerminateProcess 경로로 나뉜다.
· 파일 암호화 중 파일이 잠긴 경우에는 Restart Manager를 이용해 점유 프로세스 확인과 종료 요청을 수행한다.
· Shadow Copy 삭제는 vssadmin이 아니라 WMI 조회와 WMIC.exe delete 명령 생성 방식으로 수행된다.
· 네트워크 경로 수집은 ARP 기반 사설망 후보 선별, TCP/445 연결 확인, NetShareEnum 공유 열거 흐름으로 구성된다.
· 파일 암호화는 파일 크기와 확장자에 따라 전체 암호화, 부분 암호화, 헤더 중심 암호화로 분기된다.
· 암호화 후 파일명은 커스텀 base32 인코딩 결과에 .dragonforce_encrypted 확장자가 붙는 구조다.
· 랜섬노트, 아이콘, 바탕화면 변경은 암호화 이후 사용자에게 감염 사실을 노출하는 후속 아티팩트 생성 단계로 확인된다.

방어 관점에서는 개별 파일 해시나 생성 아티팩트에만 의존하기보다, 권한 확보와 복구 수단 무력화, 내부 공유 경로 탐색, 대량 파일 암호화로 이어지는 전반적인 행위 흐름을 연계해 탐지할 필요가 있다. 또한 공유 자원의 접근 권한을 최소화하고, 운영망과 분리되거나 삭제·변조가 제한된 백업 체계를 마련해 피해 확산을 억제하고 복구 가능성을 확보해야 한다.



 

5) IOCs

분석 대상 SHA-256
410db536a57c511b0ccac2639e0eb3320f303fc5c90242379ab43364c51ef321

관련 DragonForce 샘플 SHA-256
451a42db9c514514ab71218033967554507b59a60ee1fc3d88cbeb39eec99f20
4db090498a57b85411417160747ffd8d4875f98b3ca2b83736a68900b7304d2b
df5ab9015833023a03f92a797e20196672c1d6525501a9f9a94a45b0904c7403
d67a475f72ca65fd1ac5fd3be2f1cce2db78ba074f54dc4c4738d374d0eb19c7
0dfe23ab86cb5c1bfaf019521f3163aa5315a9ca3bb67d7d34eb51472c412b22

 

6) 참고 문헌

[1] Group-IB, “Inside the Dragon: DragonForce Ransomware Group,” Group-IB Blog, 2024.
[2] Sophos Counter Threat Unit Research Team, “DragonForce targets rivals in a play for dominance,” Sophos, 2025.
[3] Trend Micro / TrendAI Research, “Ransomware Spotlight: DragonForce,” TrendAI, 2025.
[4] S2W TALON, “DragonForce Ransomware Analysis Report,” S2W, 2025.