Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트

profile 보안 소식 CryLocker 변형인 Sage 랜섬웨어

작성자: j1159 조회 수: 275 PC모드

CryLocker 변 형으로 알려진 Sage 2.0 랜섬웨어가 안랩의 악성코드 위협 분석 및 클라우드 진단 시스템인 ASD (AhnLab Smart Defense) 통해 현재 국내에 유포 - 악성 스팸 메일 또는 Adobe Flash (SWF) 와 같은 웹 어플리케이션 취약점 - 되고 있는 것이 확인 되었다. Sage 랜섬웨어는 말하는 랜섬웨어로 알려진 Cerber 와 유사한 증상을 갖는 것으로도 알려져 있다.


Sage2.0 랜 섬웨어는 CryLocker 와 동일하게 바로가기 파일(*.lnk) 생성, 암호화 제외 경로 문자열, 암호대상 등 유사한 점이 많으나 기능이 좀 더 추가되고, 암호화 방식이 달라졌다. 그리고, 2월 19일 Sage 2.2 랜섬웨어가 ASD 시스템을 통해서 국내 발견 되었는데, 코드 변화는 있으나 내부 기능은 Sage2.0 랜섬웨어와 동일한 것으로 확인되었다.


CryLocker 랜섬웨어와 동일하게 실행 시 내부에 존재하는 PE 이미지를 메모리 상에서 자기자신에 삽입하여 동작하며 감염 시 아래와 같은 화면을 띄워 사용자에게 금전적 요구를 한다.


2530954B58AF9B9F3106C8


[그림1] Sage 2.0 랜섬노트


26197F4758AF9BAF0707FB


[그림 2] 금전 요구 화면 (한국어 안내 페이지도 존재)



%appdata%경로에 자신과 동일한 파일을 생성하고, 시작프로그램에 새로 생성한 랜섬웨어에 대한 바로가기 (*.lnk)파일을 생성한다.


- C:\Documents and Settings\[사용자 계정]\Application Data\[랜덤명].exe


- C:\Documents and Settings\[사용자 계정]r\시작 메뉴\프로그램\시작프로그램\[랜덤명].lnk



추가적으로, 실행 파일을 삭제하는 배치파일을 숨김 속성으로 생성하고, Cerber 랜섬웨어처럼 감염사실을 음성을 통해 알려주는 VBS 스크립트 파일도 생성한다.


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\__config[랜덤숫자].bat (hidden)


- C:\DOCUME~1\[사용자 계정]\LOCALS~1\Temp\f[랜덤숫자].vbs



231AC54758AF9BC007441E


[그림 3] %temp%에 생성된 스크립트 파일


:abx

ping 127.0.0.1 -n 2 > nul

del /A /F /Q "[실행파일경로]"

if exist "[실행파일경로]"" goto abx

del /A /F /Q [실행파일경로]"


[표 1] 배치파일 데이터


Set f=//일부제거// ("Scripting.FileSystemObject")

f.DeleteFile Wscript.ScriptFullName, True

Set v=CreateObject("//일부제거//")

v.Speak "Attention! Attention! This is not a test!"

WScript.Sleep(1500)

v.Speak "All you documents, data bases and other important files were encrypted and Windows can not restore them without special software.User action is required as soon as possible to recover the files."

WScript.Sleep(2000)


[표 2] Cerber 와 유사한 VBS 스크립트 파일 데이터



감염대상 드라이브는 “A:\ ,B:\ “를 제외 한 드라이브(C~Z)를 순회하며 파일을 암호화 시킨다.


이 때, 아래 표에 해당하는 문자열이 존재하는 폴더는 암호화 대상에서 제외된다.


226EE94D58AF9BD32E0196


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_14" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 150pt; width: 451.5pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 4] 대상 드라이브 찾는 코드



CryLocker보다 4개의 문자열이 추가되었다. (추가 된 문자열 빨간색으로 표시)

21248E4B58AF9CA711D05F


[표 3] 암호화 제외 경로 문자열



암호화 대상 확장자는 600개 이상이며, 아래한글 확장자인 .hwp도 포함 된 것을 알 수 있다.


2517AC4758AF9CBD35FBF5


[표 4] 암호화 대상



사용자 정보 (GetVersion, GetUserName, GetComputerName, CPUID, GetAdaptersInfo,


GetKeyboardLayoutList)를 아래 주소로 전송한다.


- mbfce24rgn65bx3g.**.com // 변형마다 달라진다.



Sage2.0 랜섬웨어는 maps.googleapis.com에 감염 시스템의 SSID, MAC 주소를 쿼리한다. 이를 통해 해당 랜섬웨어의 감염 분포를 파악하는 것으로 보인다.


223A104058AF9D043263C3


[그림 5] maps.googleapis.com 이용한 사용자 위치 정보 쿼리



파일 암호화 후 아래 표와 같이 볼륨 쉐도우를 및 부팅 구성 데이터 편집기(bcdedit.exe)를 이용해 복구 무력화를 진행한다.


명령어

기능

vssadmin.exe  Delete Shadows /All /Quiet

볼륨 쉐도우 삭제

bcdedit /set {default} bootstatuspolicy ignoreallfailures

Windows 오류 복구 알림창 표시 끔

bcdedit  /set {default} recoveryenabled No

복구 모드 사용 안함


[표 5] 사용자의 복구를 막는 명령어와 기능



데이터 베이스 파일의 쓰기 권한이 OS에 의해 차단 될 수 있기 때문에 [표 6]에 해당하는 프로세스가 실행 중이면, 프로세스를 종료한다


종료 할 프로세스 명

msftesql.exe

sqlagent.exe

sqlbrowser.exe

sqlservr.exe

sqlwriter.exe

oracle.exe

ocssd.exe

dbsnmp.exe

synctime.exe

mydesktopqos.exe

agntsvc.exe

isqlplussvc.exe

xfssvccon.exe

mydesktopservice.exe

ocautoupds.exe

agntsvc.exe

encsvc.exe

firefoxconfig.exe

tbirdconfig.exe

ocomm.exe

mysqld.exe

mysqld-nt.exe

mysqld-opt.exe

dbeng50.exe

sqbcoreservice.exe


[표 6] 종료 할 프로세스 명



감염된 파일은 [원본파일명].sage로 변경된다.


2315824558AF9DA9142B93


<v:shapetype id="_x0000_t75" stroked="f" filled="f" path="m@4@5l@4@11@9@11@9@5xe" o:preferrelative="t" o:spt="75" coordsize="21600,21600"><v:stroke joinstyle="miter"><v:formulas><v:f eqn="if lineDrawn pixelLineWidth 0"><v:f eqn="sum @0 1 0"><v:f eqn="sum 0 0 @1"><v:f eqn="prod @2 1 2"><v:f eqn="prod @3 21600 pixelWidth"><v:f eqn="prod @3 21600 pixelHeight"><v:f eqn="sum @0 0 1"><v:f eqn="prod @6 1 2"><v:f eqn="prod @7 21600 pixelWidth"><v:f eqn="sum @8 21600 0"><v:f eqn="prod @7 21600 pixelHeight"><v:f eqn="sum @10 21600 0"></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:f></v:formulas><v:path o:connecttype="rect" gradientshapeok="t" o:extrusionok="f"><o:lock aspectratio="t" v:ext="edit"></o:lock></v:path></v:stroke></v:shapetype><v:shape id="그림_x0020_22" type="#_x0000_t75" o:spid="_x0000_i1025" style="height: 57pt; width: 150pt; visibility: visible;"><v:imagedata o:title="" src="file:///C:\Users\kimsha\AppData\Local\Temp\msohtmlclip1\01\clip_image001.png"></v:imagedata></v:shape>

[그림 6] 암호화 된 파일



랜섬웨어의 특성상 완벽한 복구 방법이나 예방법은 없지만 피해를 최소화하기 위해서 항상 윈도우 보안 패치 및 V3 백신 프로그램을 최신 업데이트 상태로 유지하는 것이 중요하다.


또한 신뢰할 수 없는 출처의 메일 등의 첨부 파일 실행 및 확인되지 않은 웹 페이지 방문 시 사용자의 각별한 주의와 플래시 취약점을 이용함으로 플래시 보안 업데이트도 최신으로 유지가 필요하다.

 

현재 V3 에서는 Sage2.0 / 2.2 랜섬웨어는 다음 진단명으로 진단하고 있다.


- Trojan/Win32.SageCrypt (2017.02.15.00)

--------

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

프리네

2017.03.01 03:47
가입일: 2016:05.06
총 게시물수: 310
총 댓글수: 13182

정보 감사합니다. 백업이 진리인듯 합니다.

profile

shaula

2017.03.01 13:23
가입일: 2018:10.08
총 게시물수: 2
총 댓글수: 567

나날이 늘어만 가는군요....

profile

Bobono

2017.03.02 12:35
가입일: 2016:12.05
총 게시물수: 17
총 댓글수: 815

좋은 정보 고맙습니다.

profile

가리안

2017.03.02 22:37
가입일: 2019:09.21
총 게시물수: 0
총 댓글수: 12

정보감사드립니다.

너무 두려워지내요.. 랜섬 

profile

열심히배우자

2017.03.04 17:41
가입일:
총 게시물수: 0
총 댓글수: 26

감사합니다.

profile

hallasan

2017.04.09 19:30
가입일:
총 게시물수: 0
총 댓글수: 375

감사합니다.

profile

세계일주

2017.09.28 22:20
가입일: 2018:10.09
총 게시물수: 86
총 댓글수: 737

좋은 정보 고맙습니다.

List of Articles
번호 제목 글쓴이 날짜 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 565
345 보안 소식 한글문서 ‘자료연결’ 기능 악용한 국내 표적 악성코드 주의 file + 3 파란하늘 11-07 424
344 보안 소식 네트워크를 통해 퍼지는 Bad Rabbit 랜섬웨어, 우크라이나와 러시아 공격 중 + 7 티오피 10-27 214
343 보안 소식 로키봇- 삭제 시도 하면 랜섬웨어로 변신하는 뱅킹 트로이목마 + 5 티오피 10-25 234
342 보안 소식 카스퍼스키, 신뢰를 얻기 위해 백신 소스 코드 공개해 + 6 티오피 10-25 237
341 보안 소식 구멍 뻥 뚫린 무선랜…사용자 대처법은 + 10 티오피 10-24 302
340 보안 소식 패치 되지 않은 마이크로소프트 DDE 익스플로잇, 광범위한 악성코드 공격에 사용 돼 + 4 티오피 10-24 178
339 보안 소식 [긴급] 신종 랜섬웨어 ‘마이랜섬’ 출현 + 4 덕애 10-21 237
338 보안 소식 풀린 자물쇠 데누보, 게임 출시 ‘하루 만에’ 줄줄이 불법복제 + 5 인어공주 10-20 240
337 보안 소식 트럼프의 DMZ 방문 두고 시끌시끌 file + 4 따봉 10-19 155
336 보안 소식 에퀴팩스 피해자 수, 1억 4,450만 명으로 늘어 file + 5 따봉 10-19 187
335 보안 소식 “ATM에 든 현금 다 뽑아내는” 멀웨어, 다크 웹에서 판매 중 file + 5 따봉 10-19 209
334 보안 소식 마인크래프트 스킨 앱에서 신종 멀웨어 ‘삭봇’ 발견 file + 5 따봉 10-19 177
333 보안 소식 보안 담당자들이여, 잠들어 있는 우뇌를 깨워라 file + 5 따봉 10-19 158
332 보안 소식 기업의 최대 위협 스피어피싱 위협 인텔리전스’로 대응하라 file + 5 따봉 10-18 153
331 보안 소식 야옹이로 옆집 와이파이 해킹할 수 있다옹 file + 5 따봉 10-18 1103
330 보안 소식 KISA 직원, 경품 당첨 위해 악성코드 빼돌렸다 적발 file + 5 따봉 10-18 157
329 보안 소식 신종 랜섬웨어 ‘마이랜섬’ 출현...제2의 케르베르 공포 시작되나 file + 5 따봉 10-18 152
328 보안 소식 하나투어’ 100만건 이어 화장품 쇼핑몰 ‘뷰티퀸’까지 고객정보 털렸 file + 5 따봉 10-18 133
327 보안 소식 가상화폐 거래소 코인이즈, 해킹 보상대책도 주소도 오리무중? + 6 빽이 10-15 238
326 보안 소식 인공지능의 위협보다 '오류 가능성' 더 걱정해야 + 5 덕애 10-14 256
325 보안 자료 고급 정보보안 강좌 + 5 덕애 10-12 295
324 보안 소식 해킹 여부는 보안사항 + 5 덕애 10-12 231
323 보안 소식 공공 와이파이 해킹 위협 높다 + 6 덕애 10-12 288
322 보안 소식 해커, 악성 코드로 ATM 기기에서 현금 인출 + 6 우오아아아웅 10-03 323
321 보안 소식 지난 4년간 개인‧정부기관에 확인된 악성코드만 19,000여 건, 매년 급증 + 4 우오아아아웅 10-03 298