KryBit 랜섬웨어 분석보고서

개요

KryBit은 2026년 3월 말 최초 관측되었으며, 다크웹 모니터링 기준 최초 탐지일은 4월 3일로 기록된 RaaS(Ransomware-as-a-Service) 조직이다. 데이터 탈취 후 암호화를 진행하는 이중협박 방식으로 사용하고 있으며 Tor 기반 전용 유출 사이트(DLS)를 통해 피해자를 압박한다.
기존 브랜드형 랜섬웨어 그룹과 달리 그룹명 유래나 상징에 대한 공개는 따로 없으며 2021년 유출된 Babuk 소스코드를 기반으로 한 랜섬웨어로 추정된다. 랜섬웨어는 Windows 뿐 아니라 Linux, NAS 장비까지 지원해 단일 시스템을 넘어 서버, 가상화, 백업 스토리지 까지 공격 표면을 확장하는 구조이다. 자체 기술력 보다는 경쟁사 공격 그룹인 0APT와의 상호 해킹전을 통해 이름이 크게 알려졌으며, 이 과정에서 내부 운영 구조가 대거 노출되어 신생 조직치고는 이례적으로 다량의 인텔리전스 자료가 조기에 확보된 공격 그룹이다.

KryBit Ransomware 상세분석

악성코드를 처음 실행 시 뮤텍스를 생성하여 동일 인스턴스가 이미 실행 중인지 확인한다. 기존 인스턴스가 감지되면 즉시 종료하여 파일이 중복 암호화 되는 것을 방지한다. 

<그림 1> 뮤텍스 생성

암호화를 방해할 수 있는 44개의 서비스를 강제로 종료한다. 종료 대상은 백신/백업, DB/ERP 계열이며, 중국산 백신 zhudongfangyu가 포함된 것으로 보아 중국 기업도 공격 대상에 포함된 것으로 추정된다. 

<그림 2>종료 서비스 탐색

<그림 3> 서비스 대상 확인 시 종료

<표1>서비스 종료 대상 목록
 

실행 중인 프로세스 전체를 스캔하여 종료 대상 목록에 해당하는 프로세스를 강제 종료한다. 오피스 계열이 대상에 포함된 것은 열린 파일은 암호화 할 수 없기 때문에 강제로 닫아 파일 잠금을 해제하기 위한것으로 추정된다. steam.exe, thunderbird.exe 등 게임 클라이언트 및 메일 클라이언트가 포함된 것 역시 동일한 목적으로 판단된다. 

<그림 4> 대상 프로세스 종료

<표2> 프로세스 종료 대상 목록

ShellExecute로 명령을 실행하여 시스템에 존재하는 VSS 섀도우 복사본 파일을 삭제한다. 피해자가 랜섬웨어 감염 이전 시점으로 파일을 복구할 수 없도록 한다. 64비트 환경에서도 잘 동작할 수 있도록 Wow64DisableWow64FsRedirection을 호출한다. 섀도우 복사본 삭제 루틴은 암호화 시작 전과 후 총 2차례 호출되는데 암호화 도중 새로 생성될 수 있는 섀도우 파일까지 완전히 삭제하기 위한것으로 추정된다. 

<그림 5> 섀도우 파일 삭제

실수로 삭제한 중요 파일이 휴지통에 남아있을 경우 몸값을 지불하지 않고도 해당파일을 복구할 수 있기 때문에 이를 차단하기 위해 SHEmptyRecycleBinA로 모든 드라이브의 휴지통을 비운다. 

<그림 6> 휴지통 비우기

시스템 종료 시 프로세스의 종료 순서는 설정된 우선순위에 따라 결정된다. SetProcessShutdownParameters(0,0) 을 호출하여 종료 우선순위를 낮게 설정함으로써 다른 프로세스보다 늦게 종료되도록 하여, 시스템 종료 또는 재부팅 과정에서 최대한 오랫동안 실행 상태를 유지하기 위한 목적으로 추정된다. 

<그림 7> SetProcessShutdownParameters로 종료 우선순위 설정

KryBit 랜섬웨어는 대상 파일의 용량에 따라 암호화 방식을 다르게 적용한다. 예를 들어 파일 용량이 64 바이트 이하일 경우 전체 암호화를 진행하며, 64 바이트에서 5MB 사이일 경우 파일의 10% 만큼만 암호화를 진행한다. 

<그림 8> 암호화 대상 파일 크기에 따른 분기

<표3> 파일 크기에 따른 암호화

암호화가 완료된 후에는 키 값에 대한 정보가 포함된 데이터 블록을 파일 마지막 부분에 추가한다. 이 데이터 블록에는 “choung dong looks like hot dog!!” 라는 문자열도 기록된다. 

<그림 9> 앞부분 일부만 암호화 된 모습과 문자열이 기록된 모습

암호화가 완료되면 확장자를 .KRYBIT로 변경하고 RECOVER-README.txt 라는 랜섬노트를 생성한다. 

<그림 10> 암호화 된 파일(일부)

<그림 11> 생성된 랜섬노트 내용(일부)

KryBit 랜섬웨어는 네트워크에 연결된 공유 폴더를 탐색하여 암호화 대상에 포함시킨다. 또한 Windows에서 드라이브 레터가 없는 볼륨은 일반적인 방법으로는 접근할 수 없는데 이러한 볼륨까지 암호화 하기 위해 시스템의 모든 볼륨을 나열한 뒤 드라이브 레터가 없는 볼륨에 강제로 할당하여 암호화 대상에 포함시킨다. 

<그림 12>네트워크에 연결된 공유 폴더 탐색

<그림 13>숨겨진 볼륨 드라이브 레터에 강제 할당

결론

해당 샘플은 단순한 파일 암호화에 그치지 않고, 탐지 회피·복구 차단·네트워크 전파를 유기적으로 결합한 체계적인 공격 도구임이 확인되었다. 공격 준비 단계에서 보안 솔루션과 백업 시스템을 선제적으로 무력화하고, 피해자가 취할 수 있는 모든 복구 수단을 차단한 뒤 암호화를 수행하는 구조는 피해 범위를 최대화하기 위해 정교하게 설계된 것으로 판단된다.
개인 사용자보다는 파일 서버와 네트워크 공유 폴더를 운영하는 기업 환경을 주요 타겟으로 한 것이 명확하며, 단일 감염 시스템을 넘어 내부 네트워크 전체로 피해가 확산될 수 있다는 점에서 위험도가 높다. 대응 방안으로는 중요 데이터의 오프라인 백업 유지, 네트워크 공유 폴더 접근 권한 최소화, 불필요한 관리자 권한 제거를 권고한다.