locky ransomware javascript 분석

악성코드 정보

---

로키랜섬웨어가 최근들어 이메일의 첨부파일 형태로 유포되고있다.

첨부파일의 압축파일은 java script 파일이며, 파일 실행시 해커의 서버에서 로키랜섬웨어를 다운받아 감염시키게 된다.

테스트 환경

---

Windows XP x86

분석정보

---

이메일에 첨부된 압축파일은 악성 java script 파일이 있으며, java script를 열어보면 난독화가 되어있다.

자바 스크립트 파일은 비교적 단순하게 난독화 되어있다.

변수를 만들어 변수에 문자열값을 가지고 있으며, 해당 변수명을 가져와 문자열을 만들어 특정 서버에서 악성 파일을 다운받아 실행시킨다.

난독화를 해제해 주요 정보를 획득하면 악성 Java Script는 아래 행위를 수행한다.

1. 해커의 서버에서 파일 다운로드

2. %temp% 폴더에 저장및 실행

로키랜섬웨어는 현재 이메일을 통해 국내에 활발히 유포되고 있다.

출처가 불분명한 첨부파일은 열어보지 않는것이 중요하다.