[ Yashma 랜섬웨어 ]
[ 바이러스/악성코드 활동 접수: Yashma 랜섬웨어 ]
Yashma 랜섬웨어 형태로 추정되는 침해사고 발생하여
이에 해당 상황에 대한 확인 및 주의보를 다음과 같이 전달 드립니다.
Yashma 랜섬웨어
해당 랜섬웨어는 Yashma라고 하며 기존이름.기존확장자.개별랜덤값으로 모든 파일을 변경하고 있는 모습을 보이고 있습니다.
작동 방식
파일 버전
[그림1 파일 버전]
[그림2 파일 속성]
행동 프로세스
실행 위치 변경 후 재실행 및 시작프로그램 등록
최초 실행 위치에서 Roaming 폴더로 위치로 복사 및 이름 변경(svchost.exe) 후 재실행하며 시작프로그램에 실행파일의 링크 파일을 생성합니다.
[그림3 Roaming 폴더에 복사된 실행파일 및 내부 변수의 svchost.exe 저장된 내용]
[그림4 시작프로그램 폴더 위치에 생성된 링크 및 내부 처리 코드]윈도우의 복구 및 백업과 보안 기능 무력화
랜섬웨어의 감염 완료 시 자료를 복구하기 어렵게 하기 위해 cmd명령어를 사용하여 쉐도우 복사본 삭제 및 윈도우 복구 관련 기능을 비활성화합니다. 서버버전의 경우 보안 카탈로그도 삭제합니다. 추가적으로 백업관련 서비스에 중지 명령 내리고 작업관리자를 비활성화 합니다.
[그림5 내부에 저장되어 있는 cmd 명령어 ]
[그림6 서비스를 중지시키는 대상 목록 ]
[그림7 작업관리자 비활성화 적용 값과 작업관리자 실행 시 나타나는 오류창 ]공격 대상 선정 및 예외 처리
모든 드라이브를 대상으로 진행하지만 SystemDirectory(C드라이브)내에 특정 폴더는 예외 처리되어있습니다.
[그림8 예외 처리된 대상들]
[그림9 대상이 되는 확장자들]
감염결과
안내 파일은 각각의 경로에 read_it.txt가 생성 되며, 암호화 진행 시 <기존이름.기존확장자.개별랜덤값>으로 파일들을 변경 후 완료되면 바탕화면을 변경합니다.
[그림10 감염결과]
화이트디펜더 대응
화이트디펜더 랜섬웨어의 악성 행위 및 차단 이전에 암호화가 진행될 파일에 대해서도 실시간으로 자동복원을 지원합니다.
[그림11 차단 메시지]
