[ Phobos 랜섬웨어 ]
[ 바이러스/악성코드 활동 접수: Phobos 랜섬웨어 ]
Phobos 랜섬웨어 형태로 추정되는 침해사고 발생하여
이에 해당 상황에 대한 확인 및 주의보를 다음과 같이 전달 드립니다.
작동 방식
파일 버전
해당 랜섬웨어는 2017년 처음 모습을 드러낸 후 여러가지 변종이 출시 되었습니다. 이번 분석시 .eking이라는 확장자로 모든 파일을 변경하고 있는 모습을 보이고 있습니다.
[그림 0] 포보스 랜섬웨어 감염 후 실제 변경된 확장자
해당 파일 정보 입니다.
- 랜섬 텍스트 이름 info.txt
- 랜섬 노트 프로그램 mshta.exe / info.hta
- 암호화된 파일 정보 <암호화파일명.확장자.id[랜덤값-].[chinadecrypt@msgsafe.io].랜덤값>
[그림 1] 파일 정보
행동 프로세스
외부 통신 확인
외부와 통신이 가능한지 무작위 사이트를 이용하여 확인합니다
[그림 2] 행동 프로세스 중 외부 통신 확인
시작 프로그램 레지스트 등록
시작 프로그램의 레지스트리에 자신을 등록하여 부팅 시 재 시작되도록 합니다.
[그림 3] 시작 프로그램 레지스트리 등록
네트워크 공유 활성화 및 방화벽 해제
PC의 보안을 추가적인 감염 작업을 위해 방화벽을 해제합니다.
[그림 4] 복구가 어렵도록 쉐도우 복사본을 삭제하는 명령
감염결과
안내 파일은 각각의 폴더에Read_Me!_.txt라는 이름으로 생성이되며, 암호화 진행시 <암호화파일명.확장자[ID=랜덤값-Mail=FreedomTeam@mail.ee].랜덤값>으로 파일들이 변경됩니다.
[그림 5] .txt파일 랜섬노트 화면
[그림 6] 랜섬노트 이미지
[그림 7] 감염 후 확장자가 변경됨
화이트디펜더 대응
화이트디펜더 랜섬웨어의 악성 행위 및 차단 이전에 암호화가 진행될 파일에 대해서도 실시간으로 자동복원을 지원합니다.
