히토비토 랜섬웨어, ‘.hitobiyo’ 형식으로 모든 파일 암호화하며 확산 중

암호 해제하려면 토르 브라우저 이용해 금액 지불하도록 요구
에브리존 화이트디펜더, 히토비토 랜섬웨어 침해 행위 프로세스 분석

[보안뉴스 김영명 기자] 모든 파일을 ‘.hitobiyo’ 확장자로 암호화하는 형태로 추정되는 침해사고가 발생해 주의가 필요하다. 해당 랜섬웨어는 히토비토(Hitobito) 랜섬웨어로 불리고 있으며, ‘파일명.확장자.hitobiyo’ 형식으로 모든 파일을 변경하고 있는 모습을 보인다.

▲닷넷 프로젝트를 디컴파일 했을 때 내부 내용이 난독화 되어 있는 상태[자료=에브리존 화이트디펜더]

에브리존 화이트디펜더는 최근 히토비토 랜섬웨어의 침해 행위 프로세스를 분석해 발표했다. 히토비토(Hitobito) 랜섬웨어 침해 행위 프로세스를 살펴보면, VB 닷넷 기반으로 랜섬웨어 자체는 ‘.NET Reactor’라는 상용 프로그램을 이용해 내부 코드는 난독화된 상태다. 작동할 때 모든 파일들의 암호화 진행과 함께 시작프로그램의 ‘레지스트리에 실행 등록’에는 랜섬웨어의 실행 파일과 함께 -alerta라는 인자가 추가된다. 실제 내부 테스트를 했을 때 해당 인자 값으로 실행할 경우 암호화 과정을 생략하고 자체 노트 GUI를 출력한다. 노트가 활성화된 상태에서는 주기적으로 작업관리자를 종료하고 있다.

히토비토 랜섬웨어 감염 후 모습과 랜섬노트 내용 안내 파일은 각각의 경로에 ‘KageNoHitobito_ReadMe.txt’ 파일이 생성되며, 암호화를 진행했을 때는 ‘파일명.확장자.hitoboyo’로 파일들을 변경한다.

에브리존 화이트디펜더 담당자는 “히토비토 랜섬웨어의 증상은 감염된 PC의 모든 파일이 암호화돼 열 수 없으며, 몸값을 요구하는 랜섬노트 메시지가 html, txt, hat 형식의 파일로 데스크탑에 표시된다”며 “감염된 파일의 잠금을 해제하기 위해서는 몸값을 지불해야 하는데 대부분 비트코인을 요구하고 있다”고 설명했다.
[김영명 기자(boan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다