[ Nuke 랜섬웨어 ]
[ 바이러스/악성코드 활동 접수: Nuke 랜섬웨어 ]
Nuke 랜섬웨어 형태로 추정되는 침해사고 발생하여
이에 해당 상황에 대한 확인 및 주의보를 다음과 같이 전달 드립니다.
Nuke 랜섬웨어
해당 랜섬웨어는 Nuke라고 하며 암호화된이름및확장자. 개별랜덤값으로 모든 파일을 변경하고 있는 모습을 보이고 있습니다.
작동 방식
파일 버전
[그림1 파일 버전]
행동 프로세스
쉐도우 복사본 삭제
사용자 데이터를 암호화 후 데이터의 복구가 어렵도록 쉐도우 복사본을 삭제합니다.
[그림2 cmd를 이용하여 쉐도우 복사본을 삭제 명령]시작프로그램에 랜섬노트 등록
암호화 완료 시 재부팅 후에도 사용자가 해당정보를 바로 확인 할 수 있게끔 시작프로그램의 레지스트리에 랜섬 노트를 등록합니다.
[그림3 사용자의 Run(시작프로그램)에 nuke_html 등록 명령 ]
[그림4 실제 레지스트리에 생성된 값 ]바탕화면 변경
랜섬웨어 내부에 저장된 이미지 바이너리를 Roaming의 Nuclear55 폴더에 저장하며 레지스트리 수정을 이용하여 바탕화면을 변경하고 이전의 바탕화면은 system폴더에 저장 후 레지스트리에 백업합니다.
[그림5 바탕화면 이미지 생성 명령]
[그림6 사용자의 Run(시작프로그램)에 nuke_html 등록 명령]
[그림7 바탕화면 이미지 실제 수정된 값]기타 추가정보
Nuke는 .Net으로 제작 되었지만 상용 소프트웨어인 LogicNP 사의 Crypto Obfuscatin For .Net으로 암호화된 상태로였습니다.
[그림8 바탕화면 이미지 생성 명령]
감염결과
안내 파일은 각각의 경로에 !!_RECOVERY_instructions_!!.txt/!!_RECOVERY_instructions_!!.html가 생성 되며, 암호화 진행 시 < 암호화된이름및확장자.nuclear55>으로 파일들을 변경 후 완료되면 바탕화면을 변경합니다.
[그림9 감염결과]
화이트디펜더 대응
화이트디펜더 랜섬웨어의 악성 행위 및 차단 이전에 암호화가 진행될 파일에 대해서도 실시간으로 자동복원을 지원합니다.
[그림10 차단 메시지]
