증상 및 요약

Trojan/Win32.Salsa.R198001 는 랜섬웨어류의 악성코드로서 특정 확장자를 가진 파일들을 대상으로 암호화하며, 복구를 위해 사용자에게 금전을 요구한다.​​​ 

* 전파 경로

자체 전파 기능은 없으며 사용자가 스펨메일로 온 악성파일을 실행하거나, 웹으로 부터 다운로드 및 실행 또는 취약점을 통한 드라이브-바이 다운로드 기법을 통해 감염 된다.

​* 실행 후 증상

[암호화 행위]​ 

특정 확장자를 가진 파일들을 대상으로 암호화를 수행하며, 원본 파일명.salsa222 확장자로 변경한다.

​

[감염 대상]​  

Salsa 랜섬웨어의 암호화 대상 확장자는 1245개다.

[감염 안내 페이지 생성]​​

바탕화면을 아래와 같이 변경한다.

​  

사용자에게 금전을 요구하기 위해 ​바탕화면과 암호화 된 파일이 있는 폴더에 아래와 같은 파일명포맷의 안내페이지를 생성한다.

- “CLICK HERE TO UNLOCK YOUR FILES SALSA222”

- “CLICK HERE TO UNLOCK YOUR FILES SALSA222\READ TO UNLOCK FILES.salsa.html”

- “CLICK HERE TO UNLOCK YOUR FILES SALSA222\LANGUAGE FILES\READ TO UNLOCK FILES.salsa.언어별파일.html”

[파일 생성]​

%ALLUSERSPROFILE%\donotdeletesalsa 경로에 자신과 동일한 파일을 생성한다. 

%ALLUSERSPROFILE%\donotdeletesalsa\lic.salsat

%ALLUSERSPROFILE%\donotdeletesalsa\salsa222.exe

%ALLUSERSPROFILE%\donotdeletesalsa\click 
here to unlock your files salsa222\read to unlock files.salsa.html

%ALLUSERSPROFILE%\donotdeletesalsa\click 
here to unlock your files salsa222\language files\READ TO UNLOCK FILES.salsa.언어별파일.html

[레지스트리 등록]

자동 실행을 등록하여 지속적인 감염을 유도 한다. 

- 키 : HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Salsa

값 : %ALLUSERSPROFILE%\donotdeletesalsa\salsa222.exe

출처: 안랩 http://www.ahnlab.com/kr/site/securityinfo/asec/asecCodeView.do