Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

□ 개요

최근 파일암호화에 부팅잠금 기능까지 더해진 랜섬웨어가 발견되어 국내 사용자들의 각별한 주의가 요구된다.

 

□ 내용

최근 발견된 이 랜섬웨어는 사용자 PC의 파일들을 암호화할 뿐만 아니라PC 부팅에 참조되는 MBR(Master Boot Record) 영역을 boot.bin 파일로 덮어씌워 재부팅 시 윈도우 접근을 불가하도록 한다감염 된 사용자 시스템은 복구가 불가능하다.

  

레드부트 랜섬웨어는 감염 시 특정 경로에 [그림 1]과 같은 5개의 파일을 생성한다.

▷ 파일 생성 경로 : C:\Users\사용자PC\[랜덤8글자]

 

 

[그림 1] 생성된 5개의 파일 

 

레드부트 랜섬웨어는 사용자PC명을 기반으로 파일암호화 키를 만들고, 각 파일들을 특정경로에 생성한다. 

아래 그림은 각 5개 파일의 역할과 동작 과정을 나타낸 것이다. 


 

[그림 2] 각 파일의 동작과정 도식화 

 

-  boot.asm : 부팅 시 감염 화면 변조 파일(boot.bin)을 생성하기 위한 어셈블리 파일

-  assembly.exe : boot.asm 파일을 boot.bin 파일명으로 컴파일

-  overwrite.exe : 생성된 boot.bin 파일을 부팅의 주요 영역인 MBR(Master Boot Record)영역에 덮어씌움

     -  main.exe : 본 랜섬웨어의 자가복제 파일

-  protect.exe : Taskmgr, ProcessHacker 프로세스의 실행을 차단

 

assembler.exe 파일은 nasm.exe라는 정상프로그램에서 파일명만 바꾼 것으로, 어셈블리어 파일을 컴파일해주는 프로그램이다. 해당 파일을 이용해 boot.asm 파일을 컴파일한다.

 

 

[그림 3] assembler.exe의 본 파일명(nasm) 

 

 

[그림 4] boot.asm 파일의 내용 중 일부 

 

컴파일을 수행한 assembly.exe 파일은 삭제되고, overwrite.exe 파일을 이용해 부팅 시 필요한 MBR(Master Boot Record) 영역을boot.bin 파일로 덮어씌운다.

 

[그림 5] 컴파일되어 생성된 boot.bin 파일 


레트부트 랜섬웨어는 protect.exe 파일을 실행시킨 후, AES256 암호화 방식으로 파일암호화 작업을 진행한다.

protect.exe는 Taskmgr, ProcessHacker 프로세스의 실행을 차단한다.


 

[그림 6] 파일암호화 후 확장자명이 .locked로 변경된 모습 

 

 

[그림 7] 암호화 전, 후 데이터 

 

암호화 행위가 종료되면, 강제 재부팅을 통해 [그림 8]과 같이 감염 사실을 사용자에게 알린다.

 

 

[그림 8] 재부팅 후 감염 화면 

 

레드부트 랜섬웨어는 일반적인 랜섬웨어와 달리 파일암호화나 부팅잠금의 두 가지 행위를 동시에 하기 때문에이전보다 좀 더 진화되었다앞으로 국내에 피해 사례가 나타날 것으로 보인다.


https://www.hauri.co.kr/information/issue_view.html?intSeq=331&page=1&article_num=264

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

Bobono

2017.10.10 08:21
가입일: 2016:12.05
총 게시물수: 17
총 댓글수: 815

진화하는 랜섬, 제자리걸음 보안.

profile

덕애

2017.10.12 18:23
가입일: 2017:10.12
총 게시물수: 51
총 댓글수: 343

랜섬웨어 근절 되어야 할 적폐!!!

profile

루인루

2017.12.07 00:40
가입일:
총 게시물수: 1
총 댓글수: 104

좋은 정보 고맙습니다

profile

mantoman

2017.12.27 16:46
가입일:
총 게시물수: 0
총 댓글수: 185

좋은자료 고맙습니다...

profile

suhyou

2018.01.16 10:17
가입일:
총 게시물수: 1
총 댓글수: 784
정보 고맙습니다
List of Articles
번호 제목 글쓴이 날짜sort 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 665
271 보안 소식 백신이 못 막는 랜섬웨어, 윈도가 막나 + 32 크로커스 02-08 1060
270 보안 소식 자연스런 '한글 이메일'…신종 랜섬웨어 '비너스락커' 주의보 + 14 크로커스 02-14 426
269 보안 소식 암호화 랜섬웨어 75%, 러시아권 범죄조직서 배포 + 12 쪼쪼 02-17 274
268 보안 소식 진화하는 '한국 맞춤형' 랜섬웨어.. 교육 일정표 위장한 '비너스락커' 변종 국내서 발견 + 8 j1159 02-20 319
267 보안 소식 `AI 해커` 대비 해킹방어훈련 플랫폼 개발한다 + 7 j1159 02-21 204
266 보안 소식 10만원만 줘! 저가형 랜섬웨어 ‘에레보스’ 등장 + 9 j1159 02-21 310
265 보안 소식 ESET, Flash Player 업데이트로 가장한 안드로이드 다운로더 발견 [출처] ESET, Flash Player 업데이트로 가장한 안드로이드 다운로더 발견 + 6 j1159 02-22 278
264 보안 소식 미국 대통령 ‘트럼프’ 랜섬웨어 등장 + 9 크로커스 02-24 193
263 보안 소식 유명 단체 사칭에 한국어 상담까지’… 한국 맞춤형 랜섬웨어 피해 확산 중 + 9 크로커스 02-24 210
262 보안 소식 '안전'표시 믿었는데…HTTPS 허점 악용한 피싱 사이트 주의 + 5 j1159 02-25 217
261 보안 소식 잇따른 구글의 보안 경고, 이번엔 https 기술 내부도 문제 + 7 j1159 02-25 399
260 보안 소식 리눅스 커널 로컬 권한 상승 취약점 + 8 j1159 02-27 247
259 보안 소식 취약점을 통해 유포되는 CryLocker 랜섬웨어 + 5 j1159 02-28 292
258 보안 소식 CryptoMix 의 변형 CryptoShield 랜섬웨어 + 6 j1159 02-28 259
257 보안 소식 CryLocker 변형인 Sage 랜섬웨어 + 7 j1159 02-28 286
256 보안 소식 애플도 랜섬웨어 비상! SW 크랙 ‘패치 도구’로 위장 + 12 크로커스 03-01 321
255 보안 소식 해외 직구족 노리는 악성코드? 페이팔 계정 탈취 주의! + 12 j1159 03-03 245
254 보안 소식 맥 PUP 설치로 금전적 이득 노리는 Installmiez + 7 j1159 03-07 489
253 보안 소식 중국발 사이버공습이 시작됐다 file + 8 Op 03-08 131
252 보안 소식 해킹해드립니다…"공격 1회 50만원, 좀비PC 300원" + 5 Op 03-08 264
251 보안 소식 “미 CIA, 안드로이드와 스마트 TV 해킹 무기 개발” 위키리크스 관련 문서 공개 + 6 크로커스 03-09 209
250 보안 소식 ‘구글 드라이브 다운로드’로 위장한 PDF, 주의! + 8 j1159 03-09 414
249 보안 소식 PC악성코드 드랍(추정) 및 모바일 악성앱 배포중 (민원24) + 9 j1159 03-09 309
248 보안 소식 가짜 안드로이드 백신 판별법 + 7 j1159 03-14 147
247 보안 소식 옵스왓, HWP한글 문서 파일로 위장한 랜섬웨어, APT공격 등에 대응할 수 있는 ‘데이터 살균(CDR) 기술’ 추가 + 8 j1159 03-15 69
246 보안 소식 "원격제어툴 기반 악성코드, 국내서 조직적으로 판매돼" + 6 j1159 03-17 82
245 보안 소식 CryptoMiz의 변종인 Revenge 랜섬웨어, RIG 익스플로잇 키트를 통해 배포 돼 + 7 j1159 03-17 87
244 보안 소식 "랜섬웨어 뺏고 뺏기고"…가열되는 사이버 범죄 + 9 Op 03-18 66
243 보안 소식 네트워크 DNS 주소 설정을 변조하는 변종 파밍 확인 + 7 j1159 03-20 179
242 보안 소식 ATM서 악성코드 발견…고객정보 유출 우려 + 7 j1159 03-20 145