컴지원 랜섬웨어(Ransomware) 바이러스 - encrypted 확장자로 변경 암호화 읽지 못하게 만듬

[월공스님(天人)]

추신-

정정합니다..

스님이 자료 복구 할 수 있다고 했는데요..

실행해보니 그게 아니었습니다..

현재로선 자료 복구가 불가능합니다..

..

----------------

아래는 현재 문제가 되고 있는

랜섬웨어(Ransomware) encrypted 바이러스에 대한 전문가의 설명입니다..

스님이 걸린 후 여러 자료를 찾아 봤는데..

가장 좋은 자료라 이곳에 올립니다..

..

설명 잘 읽어 보시구 조심하시구요...

혹 바이러스에 걸렸는데..컴에 중요 자료가 있는 분들은

스님한테 연락 주세요..

어렵지만 복구 방법이 있습니다..

해법은 바이러스 변종을 막기 위해 공개 안 합니다..

...

아래 자료의 순서는 그림으로 캡쳐한 것이 먼저 있고..

그 아래 실제 자료가 있습니다..

때론 포털에서 다른포톨 블로그 자료를 못보게도 해서 그렇게 한겁니다..

..

------------------

원본:http://noonbibi.blog.me/220515295253

--------------------------------------------------------------------------------

<포스팅 취지> 오늘 랜섬웨어 바이러스에 감염되어,

모든 파일이 암호화되어버린 고객의 컴퓨터를 접하면서,,

세삼,  랜섬웨어(Ransomware) 바이러스의 위험성을 느껴서,

정보 공유를 위해, 포스팅이 자세히 되어있는 분의 정보를 퍼왔습니다.

간략 요약하자면, 바이러스 유포자에의해 감염

컴퓨터의 각종 파일들이 전부 암호화 되어버려서, 읽지 못하게 되는 상태로 만들어 버리고,

 이내용을 설명하며, 임금을 요구하는 내용을 띄워주지만,,,

결론은..... 입금을 해도 복호화(암호 해독)불가 상태로,

램섬웨어 바이러스의 해결책을 찾을수 없으므로,

걸리지 않게, 백신설치및 익스플로어 최신 버전 설치를 권장합니다.

(구버전의 익스플로어를 쓰는 분들은 해당 바이러스의 감염 경로에 취약합니다.)

본 포스팅은 퍼온글입니다..

<출처>http://hummingbird.tistory.com/m/post/5880

한국형 랜섬웨어(Ransomware) Crypt0L0cker 악성코드 감염 주의 (2015.4.21)

2015년 4월 21일 새벽경부터 국내 인터넷 커뮤니티 클리앙(Clien)에 접속할 경우 취약점(Exploit)을 통한 CryptoLocker 계열로 추정되는 Cryp...

hummingbird.tistory.com

<이하 -  퍼온글>

2015년 4월 21일 새벽경부터 국내 인터넷 커뮤니티 클리앙(Clien)에 접속할 경우 취약점(Exploit)을 통한

CryptoLocker 계열로 추정되는 Crypt0L0cker 랜섬웨어(Ransomware)에 자동 감염되는 유포 행위가 있었습니다.

참고로 "Windows XP + Internet Explorer 8" 버전 사용자 및 최신 보안 패치가 적용되지 않은

Internet Explorer 8, 9, 10, 11 버전 사용자는 감염되었을 확률이 매우 높습니다.

• <클리앙 공지 사항> 운영자입니다. 악성코드 유포에 사과드립니다. (2015.4.21)

이로 인하여 감염된 PC 및 연결된 저장 매체에 보관 중인 사진, 동영상, 문서 등의 중요 파일이

RSA-2048 암호화 알고리즘을 통해

"(파일명).(암호화 대상 파일 확장자).encrypted" 파일 패턴으로 저장됩니다.

(※ 정상적으로 해당 암호화 알고리즘으로 파일을 처리했다면

현실적으로 복호화 키가 없는 경우에는 복구가 불가능할 수 있습니다.)

감염된 환경에서는 Windows 운영 체제 자체는 문제없이 사용할 수 있지만,

특정 폴더(%Windir%, %Temp% 추정)를 제외한 위치에 암호화 대상 파일을 저장할 경우

암호화 처리되어 열어볼 수 없게 됩니다.

이후 DECRYPT_INSTRUCTIONS.html, DECRYPT_INSTRUCTIONS.txt 파일을 생성하여

웹 브라우저 또는 메모장을 통해 "본인의 모든 파일을 Crypt0L0cker 바이러스으로 코딩했습니다."라는

경고 메시지를 생성하여 안내에 따라 비트코인(BitCoin) 가상 화폐를 통한 결제를 유도합니다.

웹 브라우저를 통해 안내하는 웹 사이트 접속을 통해 암호 해독 프로그램 구매를 위해

3.68676 비트코인(877,800원)을 결제하도록 하고 있으며,

비트코인 구매를 위해서는 국내외 유명 비트코인 거래소를 이용하도록 안내하고 있습니다.

또한 만약 결제를 위한 웹 사이트가 차단(폐쇄)된 경우에는

Tor Browser Bundle 웹 브라우저를 통해 토르(Tor) 기반

.onion 주소로 접속하여 결제를 하도록 하고 있습니다.

이번에 확인된 Crypt0L0cker 랜섬웨어(Ransomware) 악성코드는

한국(Korea) 인터넷 사용자를 표적으로 한글화가 완벽하게 이루어졌다는 점에서

기존의 미국(USA), 일본(Japan) 등에서 발견되고 있던 랜섬웨어(Ransomware) 유포 조직이

더욱 공격 범위를 넓히고 있음을 알 수 있습니다. 

이번 클리앙 커뮤니티를 통해 유포되는 감염 방식은

취약점(Exploit)을 이용한 방식으로 사용자가 윈도우, 웹 브라우저, 각종 응용 프로그램에 대한

보안 업데이트를 하지 않은 상태로 웹 사이트 접속시 자동으로 감염될 수 있습니다.

파일 경로	C:\Windows\uhiteruh.exe
MD5	B44AEF3870C3A92D01C42E957F0410A2
진단명	Trojan.Ransom.cryptolocker (알약)  Win-Trojan/Cryptolocker.229892 (AhnLab V3)  Trojan.Win32.R.CryptoLocker.229892[h] (Hauri ViRobot)  TR/Teerac.A.38 (Avira)  TROJ_FORUCON.BMC (Trend Micro)
제품 이름	HD Tune Procs
파일 설명	HD Tune Procs
레지스트리 등록값	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run   - iledjwus = "C:\Windows\uhiteruh.exe"
비고	시작 프로그램 등록 파일, 생성 파일 및 레지스트리 값은 랜덤(Random)합니다.

현재 하우리(Hauri) 보안 업체에서 제공하는 정보에 따르면

ViRobot APT Shield 2.0 취약점 차단 도구를 통해 완벽하게 방어를 하고 있었다고 합니다.

• ViRobot APT Shield 2.0
• 알약 익스플로잇 쉴드(ALYac Exploit Shield) 1.0

그러므로 백신 프로그램과 함께 취약점 차단 도구를 함께 사용하여

백신에서 진단하지 못하는 변종 악성코드에 자동으로 감염되지 않도록 시스템을 보호하시기 바랍니다.

또한 랜섬웨어(Ransomware) 악성코드에 감염된 경우

공격자의 요구에 따라 돈을 지불할 경우 복호화 키를 제공하는 경우도 있지만

100% 제공된다는 보장이 없으므로 함부로 결제하여 그들에게 먹이를 주지 마시기 바랍니다.

마지막으로 개인의 소중한 파일은 주기적으로 PC와 연결되지 않은

외부 저장 매체에 백업(Backup)을 하는 습관을 통해

랜섬웨어(Ransomware) 악성코드와 같은 피해를 최소화하시기 바랍니다. 

[