CryptoWall4.0 정보

테스트 환경

---

Windows XP x86

분석정보

---

C:\Documents and Settings\Administrator\Application Data\(랜덤폴더명)

C:\Documents and Settings\Administrator\Application Data\(랜덤폴더명)\랜덤파일명

CryptoWall4.0은 이전과는 다른 방법으로 암호화 하는데 그 방법은 다음과 같다.

1. 암호화 시 원본 파일을 복사하여 다른 이름으로 저장을 한다. 저장시 파일명과 확장자를 랜덤하게 생성한다. 

2. 복사한 파일을 암호화 한다.

3. 원본 파일을 삭제한다.

CryptoWall4.0이 이렇게 암화 시키는데에는 두가지 이유가 있는 것 으로 보인다.

1. 원본 파일의 이름을 알 수 없게 바꿔 사용자가 어떤 파일이 암호화되어 자신이 어떤 파일이 암호화 되어 손실이 더 크게 보이도록 하는 것.

2. 안티랜섬웨어 솔루션이 랜섬웨어를 탐지하는 것에 대한 우회방안으로 만든 것 으로 생각된다.