Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

profile 보안 소식 CryLocker 변형인 Sage 랜섬웨어

작성자: j1159 조회 수: 275 PC모드

CryLocker 변 형으로 알려진 Sage 2.0 랜섬웨어가 안랩의 악성코드 위협 분석 및 클라우드 진단 시스템인 ASD (AhnLab Smart Defense) 통해 현재 국내에 유포 - 악성 스팸 메일 또는 Adobe Flash (SWF) 와 같은 웹 어플리케이션 취약점 - 되고 있는 것이 확인 되었다. Sage 랜섬웨어는 말하는 랜섬웨어로 알려진 Cerber 와 유사한 증상을 갖는 것으로도 알려져 있다.


Sage2.0 랜 섬웨어는 CryLocker 와 동일하게 바로가기 파일(*.lnk) 생성, 암호화 제외 경로 문자열, 암호대상 등 유사한 점이 많으나 기능이 좀 더 추가되고, 암호화 방식이 달라졌다. 그리고, 2월 19일 Sage 2.2 랜섬웨어가 ASD 시스템을 통해서 국내 발견 되었는데, 코드 변화는 있으나 내부 기능은 Sage2.0 랜섬웨어와 동일한 것으로 확인되었다.


CryLocker 랜섬웨어와 동일하게 실행 시 내부에 존재하는 PE 이미지를 메모리 상에서 자기자신에 삽입하여 동작하며 감염 시 아래와 같은 화면을 띄워 사용자에게 금전적 요구를 한다.


2530954B58AF9B9F3106C8


[그림1] Sage 2.0 랜섬노트


26197F4758AF9BAF0707FB


[그림 2] 금전 요구 화면 (한국어 안내 페이지도 존재)



%appdata%경로에 자신과 동일한 파일을 생성하고, 시작프로그램에 새로 생성한 랜섬웨어에 대한 바로가기 (*.lnk)파일을 생성한다.


- C:\Documents and Settings\[사용자 계정]\Application Data\[랜덤명].exe


- C:\Documents and Settings\[사용자 계정]r\시작 메뉴\프로그램\시작프로그램\[랜덤명].lnk



추가적으로, 실행 파일을 삭제하는 배치파일을 숨김 속성으로 생성하고, Cerber 랜섬웨어처럼 감염사실을 음성을 통해 알려주는 VBS 스크립트 파일도 생성한다.


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\__config[랜덤숫자].bat (hidden)


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\f[랜덤숫자].vbs



231AC54758AF9BC007441E


[그림 3] %temp%에 생성된 스크립트 파일


:abx

ping 127.0.0.1 -n 2 > nul

del /A /F /Q "[실행파일경로]"

if exist "[실행파일경로]"" goto abx

del /A /F /Q [실행파일경로]"


[표 1] 배치파일 데이터


Set f=//일부제거// ("Scripting.FileSystemObject")

f.DeleteFile Wscript.ScriptFullName, True

Set v=CreateObject("//일부제거//")

v.Speak "Attention! Attention! This is not a test!"

WScript.Sleep(1500)

v.Speak "All you documents, data bases and other important files were encrypted and Windows can not restore them without special software.User action is required as soon as possible to recover the files."

WScript.Sleep(2000)


[표 2] Cerber 와 유사한 VBS 스크립트 파일 데이터



감염대상 드라이브는 “A:\ ,B:\ “를 제외 한 드라이브(C~Z)를 순회하며 파일을 암호화 시킨다.


이 때, 아래 표에 해당하는 문자열이 존재하는 폴더는 암호화 대상에서 제외된다.


226EE94D58AF9BD32E0196


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_14" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 150pt; width: 451.5pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 4] 대상 드라이브 찾는 코드



CryLocker보다 4개의 문자열이 추가되었다. (추가 된 문자열 빨간색으로 표시)

21248E4B58AF9CA711D05F


[표 3] 암호화 제외 경로 문자열



암호화 대상 확장자는 600개 이상이며, 아래한글 확장자인 .hwp도 포함 된 것을 알 수 있다.


2517AC4758AF9CBD35FBF5


[표 4] 암호화 대상



사용자 정보 (GetVersion, GetUserName, GetComputerName, CPUID, GetAdaptersInfo,


GetKeyboardLayoutList)를 아래 주소로 전송한다.


- mbfce24rgn65bx3g.**.com // 변형마다 달라진다.



Sage2.0 랜섬웨어는 maps.googleapis.com에 감염 시스템의 SSID, MAC 주소를 쿼리한다. 이를 통해 해당 랜섬웨어의 감염 분포를 파악하는 것으로 보인다.


223A104058AF9D043263C3


[그림 5] maps.googleapis.com 이용한 사용자 위치 정보 쿼리



파일 암호화 후 아래 표와 같이 볼륨 쉐도우를 및 부팅 구성 데이터 편집기(bcdedit.exe)를 이용해 복구 무력화를 진행한다.


명령어

기능

vssadmin.exe  Delete Shadows /All /Quiet

볼륨 쉐도우 삭제

bcdedit /set {default} bootstatuspolicy ignoreallfailures

Windows 오류 복구 알림창 표시 끔

bcdedit  /set {default} recoveryenabled No

복구 모드 사용 안함


[표 5] 사용자의 복구를 막는 명령어와 기능



데이터 베이스 파일의 쓰기 권한이 OS에 의해 차단 될 수 있기 때문에 [표 6]에 해당하는 프로세스가 실행 중이면, 프로세스를 종료한다


종료 할 프로세스 명

msftesql.exe

sqlagent.exe

sqlbrowser.exe

sqlservr.exe

sqlwriter.exe

oracle.exe

ocssd.exe

dbsnmp.exe

synctime.exe

mydesktopqos.exe

agntsvc.exe

isqlplussvc.exe

xfssvccon.exe

mydesktopservice.exe

ocautoupds.exe

agntsvc.exe

encsvc.exe

firefoxconfig.exe

tbirdconfig.exe

ocomm.exe

mysqld.exe

mysqld-nt.exe

mysqld-opt.exe

dbeng50.exe

sqbcoreservice.exe


[표 6] 종료 할 프로세스 명



감염된 파일은 [원본파일명].sage로 변경된다.


2315824558AF9DA9142B93


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_22" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 57pt; width: 150pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 6] 암호화 된 파일



랜섬웨어의 특성상 완벽한 복구 방법이나 예방법은 없지만 피해를 최소화하기 위해서 항상 윈도우 보안 패치 및 V3 백신 프로그램을 최신 업데이트 상태로 유지하는 것이 중요하다.


또한 신뢰할 수 없는 출처의 메일 등의 첨부 파일 실행 및 확인되지 않은 웹 페이지 방문 시 사용자의 각별한 주의와 플래시 취약점을 이용함으로 플래시 보안 업데이트도 최신으로 유지가 필요하다.

 

현재 V3 에서는 Sage2.0 / 2.2 랜섬웨어는 다음 진단명으로 진단하고 있다.


- Trojan/Win32.SageCrypt (2017.02.15.00)

--------

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

프리네

2017.03.01 03:47
가입일: 2016:05.06
총 게시물수: 310
총 댓글수: 13182

정보 감사합니다. 백업이 진리인듯 합니다.

profile

shaula

2017.03.01 13:23
가입일: 2018:10.08
총 게시물수: 2
총 댓글수: 567

나날이 늘어만 가는군요....

profile

Bobono

2017.03.02 12:35
가입일: 2016:12.05
총 게시물수: 17
총 댓글수: 815

좋은 정보 고맙습니다.

profile

가리안

2017.03.02 22:37
가입일: 2019:09.21
총 게시물수: 0
총 댓글수: 12

정보감사드립니다.

너무 두려워지내요.. 랜섬 

profile

열심히배우자

2017.03.04 17:41
가입일:
총 게시물수: 0
총 댓글수: 26

감사합니다.

profile

hallasan

2017.04.09 19:30
가입일:
총 게시물수: 0
총 댓글수: 375

감사합니다.

profile

세계일주

2017.09.28 22:20
가입일: 2018:10.09
총 게시물수: 86
총 댓글수: 737

좋은 정보 고맙습니다.

List of Articles
번호 제목 글쓴이 날짜 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 565
245 보안 소식 [미리보는 NES 2017] 인공지능 시대 돌입, '차세대 보안전략' 어떻게? + 5 오에스유 04-09 144
244 바이러스 ASEC이 분석한 바이러스, 스파이웨어, 유해가능 프로그램, 모바일 악성코드 정보 바이러스 Trojan/Win32.Gamarue.C1893551 + 5 ordo 04-09 250
243 보안 소식 VMware 보안 업데이트 권고 + 6 ordo 04-09 82
242 보안 소식 시스코社 제어시스템 전용라우터 중대 취약점 발견 + 6 ordo 04-09 78
241 바이러스 ASEC이 분석한 바이러스, 스파이웨어, 유해가능 프로그램, 모바일 악성코드 정보 PUP/Win32.GoodsFind.C1905968 + 5 ordo 04-09 189
240 보안 소식 [아주포스트] 여기어때, 이런건 소 잃고 외양간 고치지 맙시다 + 8 오에스유 04-09 86
239 보안 소식 2019년 POS 전용 운용체계(OS) 서비스 종료...결제단말기 해커 놀이터 '표적' + 6 ordo 04-09 77
238 보안 소식 개인정보 유출 주의보…10명중 6명 “유출경험” + 6 오에스유 04-09 75
237 보안 소식 국방부의 해킹 대응, 아쉬운 컨트롤타워 역할 + 5 ordo 04-09 49
236 보안 소식 글로벌 보안 솔루션 웹사이트 통한 악성코드 유포 정황 포착 + 3 ordo 04-09 46
235 일반 작년은 랜섬웨어의 시대, 올해는 랜섬웨어 상품화의 시대 + 12 ordo 04-08 150
234 보안 소식 [4.7 버그리포트] CVE-2015,2016,2017 + 8 ordo 04-08 82
233 보안 소식 [긴급] 공유기 DNS 변조 악성앱 다시 기승...계정 탈취 시도 + 6 ordo 04-08 211
232 일반 국제해킹방어대회·글로벌 보안 컨퍼런스 ‘코드게이트 2017’ 개최 + 7 ordo 04-07 172
231 보안 소식 중국 해커의 쉬운 먹잇감 되고 있는 한국의 대학들 + 6 ordo 04-07 105
230 보안 소식 [4.6 버그리포트] CVE-2017 + 5 ordo 04-07 49
229 보안 소식 “해외 카드결제 승인됐습니다” 직구족 겨냥 스미싱공격 발견 + 5 크로커스 04-07 139
228 보안 소식 시만텍과 구글, 한국전자인증의 인증서 소동...팩트는 이것 + 5 ordo 04-06 215
227 보안 소식 中 3월 주요 바이러스와 피싱 사이트 + 5 ordo 04-06 99
226 보안 소식 [4.5 버그리포트] CVE-2016,2017 + 6 ordo 04-06 48
225 보안 소식 이번엔 인도네시아 해커의 공습? 21개 웹사이트 디페이스 공격 + 5 ordo 04-06 97
224 보안 소식 이스라엘 보안전문가가 삼성 타이젠 OS에서 심각한 보안 취약점을 발견했다 + 5 프리네 04-05 104
223 보안 소식 [긴급] 이력서로 위장한 악성코드 유포...개인정보 탈취 + 5 ordo 04-05 74
222 보안 소식 [4.4 버그리포트] CVE-2017 + 3 ordo 04-05 54
221 보안 소식 방글라데시 은행 해킹 용의자 ‘Lazarus’가 북한? + 4 ordo 04-05 39