[랜섬웨어의심파일] 고수님들 분석부탁드려요.

지금 

%Temp%

에

svchost.exe   <변형된 파일..

파일을 랜섬웨어로 검출되어 차단 삭제중..

그림으로 보면...

- 랜섬은 파일이나 확장자 뒤에...

.***** 이렇게 확장자가 더 붙어요...

참고] svchost.exe = 윈도우 기본 시작 프로그램 [중요..

오~ 과연~ 말씀대로 시작프로그램에 등록되어있네요.

첨부된 파일 자체로는 랜섬실행도 감염도 안됩니다.

Cryptxxx  변형된 Cryptxxx 2.0 랜섬웨어 같네요.

그리고 확장자가 바로 붙는게 아니라 Lock 이후 확장자가 붙습니다.

바이러스 걸린것 같네요.

저게 문제가 아니라 숨겨진 바이러스파일이 계속 저걸 생성하게 하는 겁니다.

포맷하세요.

포맷까지 필요없습니다. 백신은 가급적 외산 백산 (개인적으로 ESET NOD 추천)으로 검사후

시작에서 regedit 치신 후 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 에 보면

시작되는 실행레지가 있을 겁니다.

그거 삭제하시면 됩니다.

무 서 버~~~

ESET NOD32 Antivirus  ....... 추천 .......

첨부되어 있는 파일에는(9D5A.tmp.dll/svchost.exe) Payload 역할하는 핵심 부분이 없어서 어떤 루트킷 방식을 이용해서 침투하고 은폐하는 건지는 내용이 없어서 전체 분석은 할 수 없습니다.  두개의 파일 중 svchost.exe는 아래와 같은 코드로 시작하는데...

해킹코드가 svchost.exe를 통해서 하는 첫번째 작업으로 Undocumented API를 이용해서 DEP를 무력화 하고 있네요. 해킹 코드가 자신을 복제해서 실행하기 위해선 프로세스의 힙이나 스택 같은 곳에 코드를 복제해서 실행하게 되는데, DEP는 힙이나 스텍같은 데이타 속성을 갖는 메모리 영역이 어떤 코드에 의해서 인젝션되고 실행되는 것을 막는 기능을 하는데, 이걸 먼저 무력화 하는 거죠. 

해킹 코드가 하는 두번째 작업은 svchost.exe로 넘어온 command line 명령라인을 파싱해서 세컨드 복제 작업에 들어가는데... 명령라인으로 어떤 내용들이 들어오는지는 앞서 말한대로 첨부된 파일에는 Payload 역할하는 부분들이 없기 때문에, 이것만으로는 전체 분석을 할 수 없습니다.

Undocumented API를 이용해서 UAC Virtualization 우회를 시도하는 코드가 나타나 있고.

첨부되어 있는 두번째 파일인 9D5A.tmp.dll은 크게 보면 두 가지 작업을 하고 있는데, "1Mrny\\P4RKEmO0\\kY.csv" 파일을 "BLxs6v\\PNMI6F65.csv"로 카피하는 것과 프로세스들의 메모리 내용을 검사하는 모 벡신의 코드를 가로채서 Replace하는 단순한 코드들로 구성되어 있네요.

쉽게 탐지될 수 있는 뻔한 코드패턴을 사용하고 있는 것으로 보니, 초짜 해커가 작성한 코드구만요.

바이러스나 런섬웨어를 분석하는 게 어려운 일은 아닙니다만. Payload 코드도 같이 첨부가 되어야 침투방법, 은폐방법 등의 전체 분석이 가능한 겁니다.