Prinz Eugen 랜섬웨어 분석

개요

Prinz Eugen은 2026년 새롭게 등장한 Go 언어 기반의 신종 랜섬웨어이다.  남아프리카공화국 최대 금융기관 중 하나인 Standard Bank Group의 데이터 유출 건으로 처음 존재가 드러났으며, 5월 프랑스의 Transitions Pro Centre Val de Loire 등 다양한 국가와 산업군을 대상으로 이중협박 공격을 수행했다. 특정 분야에 국한되지 않고 RDP 취약점 등이 노출된 환경을 무차별 타겟팅하는 특성을 보여, 에너지 산업군 역시 주요 위협 대상으로 노출되어 있다.
위협주체는 ROOTBOY라는 다크웹 포럼 판매자로 추정되며, 독일 군함(Prinz Eugen)과 암호 패스워드(germania), 패키지명(scorched-earth-ausfc) 등 독일 관련 테마를 일관되게 사용하고 있다. Prinz Eugen 랜섬웨어는 파일 시스템 내에 랜섬노트를 전혀 남기지 않고, 다크웹 유출 사이트나 이메일 등 외부 채널을 통해서만 협박을 진행하는 특징을 보인다. 또한 최신 수정된 파일을 우선 암호화하고, 메모리 내 암호화 키를 소거 하는등 다양한 안티포렌식 기술과 원격 관리 도구를 활용한 공격방식을 사용하여 탐지 및 복구를 어렵게 만든다. 

초기침투와 지속성 확보

Prinz Eugen Ransomware는 RDP 계정정보를 도용해 최초 침투한 것으로 추정된다. 공격자는 침투 후 Chrome 브라우저를 통해 “servertool.exe”라는 이름으로 Prinz Eugen Ransomware를 다운로드 하고 사용자 음악(Music) 폴더에 배치했다.
정식 원격 관리 프로그램인 RemotePC를 악용하여 Powershell을 실행하고, C2 서버로부터 추가 RAT 페이로드를 다운로드했다. 또한 net user admin germania /add 명령을 실행하여 germania라는 이름의 백도어 관리자 계정을 직접 생성해 지속성을 확보했다. 

servertool.exe (Prinz Eugen Ransomware) 분석

암호화 관련 핵심 기능은 Go 언어로 작성된 scorched-earth-ausfc 패키지 내에 구현되어 있다. 실행 시 커맨드 라인으로 암호화 대상 디렉터리를 받으며 “—delete” 옵션을 통해 원본 파일 삭제 여부를 결정한다. 

<그림 1> 랜섬웨어 실행 시 

인자로 넘어온 암호화 경로를 확인한 후 해당 경로에서 암호화 제외 폴더, 파일을 찾는 과정을 거친다. 이미 암호화가 완료된 파일, 암호화 진행 중인 파일 등을 암호화 대상에서 제외한다. 

<그림 2> 암호화 제외 대상 파일 

암호화 제외 대상을 지정하는 패턴 매칭 로직(filepath.Match 기반)이 구현되어 있으나, 본 샘플에서는 제외 패턴 목록이 빈 상태로 하드코딩되어 있어 해당 기능이 비활성화된다. 이에 따라 심볼릭 링크, 디렉터리 자체, 이미 암호화된 파일(.prinzeugen), 작업용 임시파일(.tmp)을 제외한 모든 파일이 확장자 구분 없이 암호화 대상이 된다. 

<그림 3> 비활성화 된 특정 확장자 제외 기능 

전달된 암호화 대상 경로를 확인하면 해당 경로를 대상으로 탐색을 수행한다. Prinz Eugen ransomware는 가장 최근에 수정한 파일부터 암호화를 시도하며, 시간이 동일할 경우 파일명을 오름차순으로 비교하여 암호화를 수행한다. 가장 최근에 사용한 파일일 수록 현재 사용중일 가능성이 높기 때문에 백업 되어 있을 가능성이 낮으며  피해자에게 압박감을 줄 수 있다. 

<그림 4> 최근 수정 파일 암호화 로직 

암호화는 여러 워커를 생성해 수행된다. 먼저 {파일명}.prinzeugen.tmp 파는 임시 파일을 만들어 해당 파일을 암호화한다. 암호화에는 chacha20-Poly1305 알고리즘을 사용하며 암호화가 완료된 파일의 헤더에는 CHV1이라는 매직 바이트가 있다. 

<그림 5> 임시 파일 생성

<그림 6> CHV1 매직 바이트

<그림 7> 생성된 임시 파일

암호화가 완료될 경우 임시파일 명을 {파일명}.prinzeugen 으로 변경한다. 그 다음 –delete 옵션에 따라 암호화 된 파일의 원본 파일을 제거한다. 

<그림 8> 암호화 완료 후 파일명 변경

<그림 9>원본파일 삭제 

Prinz Eugen ransomware는 다른 랜섬웨어처럼 피해자의 시스템에 텍스트 파일 또는 html로 된 랜섬노트를 생성하지 않는다. 또한 암호화가 완료된 후 암호화 키를 0으로 초기화 하여 자체적으로 삭제한다. 이는 포렌식 흔적을 최소화하기 위한 것으로 추정된다. 

<그림 10> 암호화 키를 0으로 덮어씀 

키 값 초기화 완료후 cmd.exe 를 실행해 자가삭제를 진행한다. 

<그림 11> cmd.exe 실행하여 자가 삭제 진행 

결론

Prinz Eugen ransomware는 단순한 파일 암호화를 넘어, 최신 수정 파일 우선 암호화, 메모리 흔적 제거, 이중 협박 전략 등 매우 정교한 위협이다. 특히 디스크에 랜섬노트나 암호화 흔적을 남기지 않음으로써 기존 시그니쳐 기반 탐지 체계와 침해 사고 발생 후 포렌식 조사를 의도적으로 무력화 하려고 한다.
이런 위협에 대응하기 위해선 Prinz Eugen ransomware가 초기 침투에 사용했던 RemotePC와 같은 정상 RDP의 이상행위 모니터링, 권한 없는 계정 추가 감시, Powershell 스크립트 실행 모니터링 등 복합적인 보안 모니터링은 필수적이다.