Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

profile 보안 소식 CryLocker 변형인 Sage 랜섬웨어

작성자: j1159 조회 수: 282 PC모드

CryLocker 변 형으로 알려진 Sage 2.0 랜섬웨어가 안랩의 악성코드 위협 분석 및 클라우드 진단 시스템인 ASD (AhnLab Smart Defense) 통해 현재 국내에 유포 - 악성 스팸 메일 또는 Adobe Flash (SWF) 와 같은 웹 어플리케이션 취약점 - 되고 있는 것이 확인 되었다. Sage 랜섬웨어는 말하는 랜섬웨어로 알려진 Cerber 와 유사한 증상을 갖는 것으로도 알려져 있다.


Sage2.0 랜 섬웨어는 CryLocker 와 동일하게 바로가기 파일(*.lnk) 생성, 암호화 제외 경로 문자열, 암호대상 등 유사한 점이 많으나 기능이 좀 더 추가되고, 암호화 방식이 달라졌다. 그리고, 2월 19일 Sage 2.2 랜섬웨어가 ASD 시스템을 통해서 국내 발견 되었는데, 코드 변화는 있으나 내부 기능은 Sage2.0 랜섬웨어와 동일한 것으로 확인되었다.


CryLocker 랜섬웨어와 동일하게 실행 시 내부에 존재하는 PE 이미지를 메모리 상에서 자기자신에 삽입하여 동작하며 감염 시 아래와 같은 화면을 띄워 사용자에게 금전적 요구를 한다.


2530954B58AF9B9F3106C8


[그림1] Sage 2.0 랜섬노트


26197F4758AF9BAF0707FB


[그림 2] 금전 요구 화면 (한국어 안내 페이지도 존재)



%appdata%경로에 자신과 동일한 파일을 생성하고, 시작프로그램에 새로 생성한 랜섬웨어에 대한 바로가기 (*.lnk)파일을 생성한다.


- C:\Documents and Settings\[사용자 계정]\Application Data\[랜덤명].exe


- C:\Documents and Settings\[사용자 계정]r\시작 메뉴\프로그램\시작프로그램\[랜덤명].lnk



추가적으로, 실행 파일을 삭제하는 배치파일을 숨김 속성으로 생성하고, Cerber 랜섬웨어처럼 감염사실을 음성을 통해 알려주는 VBS 스크립트 파일도 생성한다.


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\__config[랜덤숫자].bat (hidden)


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\f[랜덤숫자].vbs



231AC54758AF9BC007441E


[그림 3] %temp%에 생성된 스크립트 파일


:abx

ping 127.0.0.1 -n 2 > nul

del /A /F /Q "[실행파일경로]"

if exist "[실행파일경로]"" goto abx

del /A /F /Q [실행파일경로]"


[표 1] 배치파일 데이터


Set f=//일부제거// ("Scripting.FileSystemObject")

f.DeleteFile Wscript.ScriptFullName, True

Set v=CreateObject("//일부제거//")

v.Speak "Attention! Attention! This is not a test!"

WScript.Sleep(1500)

v.Speak "All you documents, data bases and other important files were encrypted and Windows can not restore them without special software.User action is required as soon as possible to recover the files."

WScript.Sleep(2000)


[표 2] Cerber 와 유사한 VBS 스크립트 파일 데이터



감염대상 드라이브는 “A:\ ,B:\ “를 제외 한 드라이브(C~Z)를 순회하며 파일을 암호화 시킨다.


이 때, 아래 표에 해당하는 문자열이 존재하는 폴더는 암호화 대상에서 제외된다.


226EE94D58AF9BD32E0196


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_14" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 150pt; width: 451.5pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 4] 대상 드라이브 찾는 코드



CryLocker보다 4개의 문자열이 추가되었다. (추가 된 문자열 빨간색으로 표시)

21248E4B58AF9CA711D05F


[표 3] 암호화 제외 경로 문자열



암호화 대상 확장자는 600개 이상이며, 아래한글 확장자인 .hwp도 포함 된 것을 알 수 있다.


2517AC4758AF9CBD35FBF5


[표 4] 암호화 대상



사용자 정보 (GetVersion, GetUserName, GetComputerName, CPUID, GetAdaptersInfo,


GetKeyboardLayoutList)를 아래 주소로 전송한다.


- mbfce24rgn65bx3g.**.com // 변형마다 달라진다.



Sage2.0 랜섬웨어는 maps.googleapis.com에 감염 시스템의 SSID, MAC 주소를 쿼리한다. 이를 통해 해당 랜섬웨어의 감염 분포를 파악하는 것으로 보인다.


223A104058AF9D043263C3


[그림 5] maps.googleapis.com 이용한 사용자 위치 정보 쿼리



파일 암호화 후 아래 표와 같이 볼륨 쉐도우를 및 부팅 구성 데이터 편집기(bcdedit.exe)를 이용해 복구 무력화를 진행한다.


명령어

기능

vssadmin.exe  Delete Shadows /All /Quiet

볼륨 쉐도우 삭제

bcdedit /set {default} bootstatuspolicy ignoreallfailures

Windows 오류 복구 알림창 표시 끔

bcdedit  /set {default} recoveryenabled No

복구 모드 사용 안함


[표 5] 사용자의 복구를 막는 명령어와 기능



데이터 베이스 파일의 쓰기 권한이 OS에 의해 차단 될 수 있기 때문에 [표 6]에 해당하는 프로세스가 실행 중이면, 프로세스를 종료한다


종료 할 프로세스 명

msftesql.exe

sqlagent.exe

sqlbrowser.exe

sqlservr.exe

sqlwriter.exe

oracle.exe

ocssd.exe

dbsnmp.exe

synctime.exe

mydesktopqos.exe

agntsvc.exe

isqlplussvc.exe

xfssvccon.exe

mydesktopservice.exe

ocautoupds.exe

agntsvc.exe

encsvc.exe

firefoxconfig.exe

tbirdconfig.exe

ocomm.exe

mysqld.exe

mysqld-nt.exe

mysqld-opt.exe

dbeng50.exe

sqbcoreservice.exe


[표 6] 종료 할 프로세스 명



감염된 파일은 [원본파일명].sage로 변경된다.


2315824558AF9DA9142B93


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_22" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 57pt; width: 150pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 6] 암호화 된 파일



랜섬웨어의 특성상 완벽한 복구 방법이나 예방법은 없지만 피해를 최소화하기 위해서 항상 윈도우 보안 패치 및 V3 백신 프로그램을 최신 업데이트 상태로 유지하는 것이 중요하다.


또한 신뢰할 수 없는 출처의 메일 등의 첨부 파일 실행 및 확인되지 않은 웹 페이지 방문 시 사용자의 각별한 주의와 플래시 취약점을 이용함으로 플래시 보안 업데이트도 최신으로 유지가 필요하다.

 

현재 V3 에서는 Sage2.0 / 2.2 랜섬웨어는 다음 진단명으로 진단하고 있다.


- Trojan/Win32.SageCrypt (2017.02.15.00)

--------

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

프리네

2017.03.01 03:47
가입일: 2016:05.06
총 게시물수: 310
총 댓글수: 13182

정보 감사합니다. 백업이 진리인듯 합니다.

profile

shaula

2017.03.01 13:23
가입일: 2018:10.08
총 게시물수: 2
총 댓글수: 567

나날이 늘어만 가는군요....

profile

Bobono

2017.03.02 12:35
가입일: 2016:12.05
총 게시물수: 17
총 댓글수: 815

좋은 정보 고맙습니다.

profile

가리안

2017.03.02 22:37
가입일: 2019:09.21
총 게시물수: 0
총 댓글수: 12

정보감사드립니다.

너무 두려워지내요.. 랜섬 

profile

열심히배우자

2017.03.04 17:41
가입일:
총 게시물수: 0
총 댓글수: 26

감사합니다.

profile

hallasan

2017.04.09 19:30
가입일:
총 게시물수: 0
총 댓글수: 375

감사합니다.

profile

세계일주

2017.09.28 22:20
가입일: 2018:10.09
총 게시물수: 86
총 댓글수: 737

좋은 정보 고맙습니다.

List of Articles
번호 제목 글쓴이 날짜sort 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 593
145 보안 소식 진화하는 '한국 맞춤형' 랜섬웨어.. 교육 일정표 위장한 '비너스락커' 변종 국내서 발견 + 8 j1159 02-20 312
144 보안 소식 암호화 랜섬웨어 75%, 러시아권 범죄조직서 배포 + 12 쪼쪼 02-17 269
143 보안 소식 자연스런 '한글 이메일'…신종 랜섬웨어 '비너스락커' 주의보 + 14 크로커스 02-14 421
142 보안 소식 백신이 못 막는 랜섬웨어, 윈도가 막나 + 32 크로커스 02-08 1055
141 보안 소식 원조 해커는 전기기차 속도를 높이려는 모범생이었다 + 13 구름 02-03 535
140 보안 소식 일반 사용자들이 꼭 실천해야 할 보안 관련 팁 9가지 + 18 구름 02-01 526
139 보안 자료 20개 넘는 랜섬웨어 변종 잡아내는 무료 툴 6개 + 27 크로커스 01-31 817
138 일반 “사람 속이는 방법도 가지 가지”… 설연휴, 보안사고 대응 어떻게? file + 15 Op 01-27 531
137 바이러스 슈퍼마리오 런, 악성코드 런? + 11 Op 01-27 381
136 보안 소식 '북한민주화' 한글문서, 열람 시 악성코드 감염 + 10 크로커스 01-26 395
135 보안 소식 미국 동부 인터넷 마비 시킨 ‘미라이’ 악성 파일, 국내서도 발견 + 12 크로커스 01-25 366
134 보안 소식 확장자 숨겨 악성 파일 클릭 유도 메일 유포중…랜섬웨어 피해 주의 + 17 크로커스 01-20 490
133 보안 소식 로그인 하기 전에 주소 확인 하셨나요? + 17 크로커스 01-19 394
132 보안 소식 [긴급] 블로거 노린 대규모 피싱 공격 발생...초상권 침해 항의 메일 조심! + 15 크로커스 01-18 311
131 보안 소식 차기 인증 방식으로 떠오르는 이중 인증이란 + 8 크로커스 01-18 451
130 보안 소식 성공가도 달리는 랜섬웨어의 본질은 “속도전” + 7 크로커스 01-18 238
129 보안 소식 안드로이드 버전 ‘슈퍼 마리오 런’?! 실체는 악성 APK 파일 + 13 크로커스 01-10 1748
128 보안 소식 지갑 열기 위한 랜섬웨어의 또 다른 진화, 독스웨어 file + 11 따봉 01-05 424
127 보안 소식 비트코인 대신 다른 인질을 달라는 랜섬웨어 + 7 크로커스 01-05 519
126 보안 소식 1월 ‘위조 WhatsApp 알림메시지·발렌타인데이 선물’ 위장 스팸 많아 file + 7 따봉 01-04 213
125 보안 소식 구글 서비스 위장한 스파이앱, 기업 임직원 노린다 file + 6 따봉 01-04 191
124 보안 소식 왓츠앱 통한 멀웨어 공격, 인도가 첫 스타트 끊어 file + 6 따봉 01-04 170
123 보안 소식 2017년 해킹을 일반인에게 이해시켜야 할지도 모르는 해 file + 7 따봉 01-04 124
122 보안 소식 새해맞이 보안 강화 결심이 작심삼일로 그치지 않으려면 file + 5 따봉 01-04 81
121 보안 소식 씁쓸하고 치밀하新 해커들: 2017년 보안 위협 전망 file + 5 따봉 01-04 56