NBLock Black 랜섬웨어 분석

01개요

NBLock Black은 2026년 5월 초부터 활동이 관측된 Windows 기반 랜섬웨어다. 기존에 확인된 NBLock 랜섬웨어의 변종으로 추정된다. NBLock 계열은 피해 시스템의 파일을 암호화하여 정상적인 사용을 방해하고, 랜섬노트와 바탕화면 변경 등을 통해 피해 사실을 알리는 형태로 동작한다.

NBLock Black은 파일 암호화뿐만 아니라 시스템 보안 기능 무력화와 정보 탈취 기능을 함께 갖춘 복합적인 형태의 랜섬웨어라는 특징을 보인다. 피해 시스템을 식별하기 위한 고유 ID를 생성하고 이를 기반으로 암호화된 파일을 구분하며, 감염 및 암호화 결과와 관련된 정보를 외부 인프라로 전달하는 기능도 포함하고 있다.

NBLock Black을 운영하는 특정 공격 그룹은 아직 밝혀진 바가 없어, 현재로서는 특정 그룹의 활동보다는 NBLock 계열에서 파생된 변종으로 분류하는 것이 적절하다.

02상세 분석

관리자 권한 확인 및 UAC 우회

악성코드는 실행 초기 현재 프로세스의 관리자 권한 여부를 확인하며, 관리자 권한이 확보되지 않은 경우 UAC 우회 루틴을 호출하여 권한 상승을 시도한다.

< 그림 1 > 관리자 권한 확인

관리자 권한이 없을 때 시도하는 UAC 우회 루틴은 다음과 같다. ms-settings와 관련된 레지스트리 값을 변조한 후 Windows 정상 프로세스인 fodhelper.exe를 실행한다. fodhelper.exe는 Windows의 선택적 기능을 관리하기 위한 시스템 프로세스로, 별도의 UAC 승인 창 없이 높은 권한으로 실행될 수 있는 Auto-Elevate 특성을 가진다. 악성코드는 이러한 특성을 악용하여 UAC 알림 없이 관리자 권한으로 자신을 재실행하도록 시도한다.

< 그림 2 > UAC 우회 루틴

< 그림 3 > 등록된 레지스트리 모습

Windows Defender 무력화

UAC 우회 이후 Windows Defender의 탐지 기능을 무력화하기 위해 관련 레지스트리 값을 수정한다. 실시간 감시, 행위 기반 모니터링 및 파일 접근 시 검사 기능을 비활성화하도록 설정한다.

< 그림 4 > Windows Defender 관련 레지스트리 수정

또한 PowerShell의 Set-MpPreference 명령을 숨김 상태로 실행하여 Defender의 주요 보호 기능을 추가로 비활성화한다. 이와 함께 WinDefend 서비스의 중지를 시도하고 서비스 시작 값을 Disabled로 변경한다.

< 그림 5 > PowerShell 설정

정보 수집 및 외부 유출

우회 루틴을 완료한 악성코드는 시스템 정보 및 사용자 데이터 수집을 위해 임시 디렉터리를 생성한다. 이후 시스템 정보, Discord 인증 토큰, 추가 수집 정보와 현재 화면의 스크린샷을 각각 파일로 저장하고, Desktop, Documents, Downloads, Pictures 경로에서 5MB 미만의 파일을 수집한다.

< 그림 6 > 임시 폴더 생성 및 시스템 정보 수집

< 그림 7 > Tokens.txt에 저장되는 정보 (Discord 토큰 수집)

< 그림 8 > Dump.txt에 저장되는 정보 (자격증명, 네트워크, 프로세스 정보 등)

< 그림 9 > 생성된 파일

< 그림 10 > 새로 생성된 폴더

< 그림 11 > 폴더별 수집 파일

수집된 파일들은 압축하여 temp.sh에 업로드하고, 업로드 성공 시 반환되는 다운로드 링크를 별도의 외부 서버로 전송한다.

< 그림 12 > 수집한 파일 외부 업로드

백업 삭제 및 피해자 ID 생성

그런 다음 피해자가 파일을 복구할 수 없도록 시스템에 저장된 백업 파일들을 모두 삭제한다.

< 그림 13 > 백업 파일 삭제

악성코드는 시스템의 프로세서 수, 컴퓨터 이름, 사용자 이름 및 운영체제 버전 정보를 기반으로 MD5 해시 값을 생성하여 피해자를 구분하기 위한 고유 ID로 사용한다. 또한 아이콘 파일 lock.ico와 바탕화면 이미지 파일 locked.png를 추출하여, 암호화 파일의 아이콘과 암호화 완료 후 배경화면 변경에 사용한다.

< 그림 14 > 랜섬노트 생성 및 아이콘, 배경화면 파일 추출

파일 암호화

파일 암호화를 위해 256비트 AES 키와 IV를 임의로 생성한다. 생성된 AES 키는 악성코드 내부에 저장된 다른 키 값을 이용하여 암호화하며, 암호화된 키를 key.bin 파일에 저장한다.

< 그림 15 > 키 값 생성 및 키 암호화

시스템 및 랜섬웨어 동작에 필요한 파일의 손상 방지를 위해 일부 경로와 파일은 암호화 대상에서 제외한다. Microsoft, Windows 문자열이 포함된 경로는 탐색하지 않으며, .exe, .sys, .dat, README, key.bin, lock.ico 등의 파일과 이미 암호화된 파일은 제외한다.

< 그림 16 > 제외 폴더, 제외 파일, 제외 확장자

암호화 대상 파일은 피해자 ID를 이용하여 기존 파일명을 변환하고, 피해자 ID의 앞 5자리를 소문자로 변환하여 새로운 확장자로 사용한다. 이후 원본 파일을 AES 방식으로 암호화하고 데이터를 별도의 파일에 저장한다. 암호화 파일 생성이 완료되면 기존 원본 파일의 내용을 난수 데이터로 덮어쓴 후 삭제한다.

< 그림 17 > 파일 암호화 루틴

< 그림 18 > 암호화된 파일

자가 삭제

악성코드는 모든 작업이 완료되면 실행 흔적 제거를 위해 cmd.exe를 숨김 상태로 실행한다. timeout 명령을 이용하여 2초간 대기한 뒤, 현재 실행 중인 악성코드의 경로를 확인하여 해당 파일을 강제로 삭제한다.

< 그림 19 > 악성코드 자가 삭제

03결론

NBLock Black은 Windows 환경을 대상으로 동작하며, 파일 암호화와 정보 탈취 기능을 함께 수행하는 랜섬웨어로 확인되었다. 실행 초기 관리자 권한을 확인하고 권한이 부족한 경우 fodhelper.exe를 이용한 UAC 우회를 시도하며, Windows Defender의 실시간 감시 및 행위 기반 모니터링 등을 비활성화하여 후속 악성 행위가 탐지되는 것을 방해한다. 이후 시스템 및 네트워크 정보, Discord 인증 토큰, 화면 캡처와 사용자 주요 경로의 파일을 수집하여 압축하고 외부 파일 공유 서비스를 통해 유출한다.

암호화 이후에는 랜섬노트와 바탕화면 이미지를 통해 피해 사실을 알리고, 피해자 식별 정보 및 암호화 결과를 외부 서버로 전송한다. 또한 주요 악성 행위가 완료된 후 자기 자신을 삭제하는 기능도 포함하고 있어 실행 흔적을 최소화한다. 이러한 행위를 종합하면 NBLock Black은 보안 기능 무력화, 정보 수집 및 유출, 파일 암호화, 원본 데이터 파괴, 흔적 제거를 연계하여 수행하는 복합형 랜섬웨어로 판단된다.

특히 파일 암호화뿐만 아니라 암호화 이전에 사용자 정보를 외부로 유출하는 기능이 확인되므로, 감염 사고 발생 시 암호화된 파일의 복구 여부뿐만 아니라 정보 유출 가능성에 대한 추가적인 침해 범위 조사도 필요하다.

04IoC

SHA-256

C2

05YARA Rule