랜섬웨어 CryptoWall3.0

랜섬웨어 Cryptowall3.0이 유포중이다.

CryptoWall3.0은 CryptoWall2.0에 이어 나온 랜섬웨어이다.

사용자의 파일들을 RSA- 2048로 암호화 하여 사용하지 못하게 하고, 파일들을 인질로 $500를 요구한다.

해당 샘플은 모든 사용자 파일을 암호화하지는 못하고 중간에 죽는다.

테스트 환경 

Windows XP x86

생성파일 정보

C:\(랜덤폴더명)\(랜덤파일명).exe

C:\out.png

암호화 된 모든 폴더 내에 다음과 같은 파일을 생성한다.

하위 파일들은 암호화한 파일을 인질로 파일 복호화를 위해 해커가 요구하는 내용이 담겨있다.

C:\Documents and Settings\Administrator\시작 메뉴\프로그램\시작프로그램\HELP_DECRYPT.LNK

C:\Documents and Settings\Administrator\시작 메뉴\프로그램\시작프로그램\HELP_DECRYPT.HTML

C:\Documents and Settings\Administrator\시작 메뉴\프로그램\시작프로그램\HELP_DECRYPT.PNG

C:\Documents and Settings\Administrator\시작 메뉴\프로그램\시작프로그램\HELP_DECRYPT.TX

위 파일들을 생성한 후 CryptoWall3.0은 파일 암호화를한다.

공격자의 서버에 피해자의 IP가 날아간다.

CryptoWall3.0 이 암호화 시킨 파일이다. RSA-2048로 암호화 되었으며, 파일의 크기가 늘어났다.

암호화된 파일은 암호키 없이 복구할 수 없다.

또한 해커가 요구한 금액을 지불하더라도 파일을 복구해준다는 보장이 없어 위험도가 높은 악성 프로그램이다.