안걸려봐서 모르겠는데 최근에 빈번하게 많아지는 모양입니다.
그래서 보안쪽으로 차단을 걸고 싶은데 확장자가 바로 변하는건가요?
.ccc 로 암호화 되고 변경이 되는거 같은데 그러면 ccc로 변경이 될때 임시파일을 생성하고 생성이 완료되면 원본을 삭제해버리는 프로세스로 움직일거 같은데 만약에 ccc 확장자를 파일서버에서 차단시켜버리면 이게 생성이 안되는건지 테스트 해보고 싶긴 하네요.
윈도우 파일서버에는 확장자 차단 옵션이 있어서 도움이 될까도 싶어요.
그냥 포맷하고 사용하셔야 합니다
괜히 테스트 하지 마세요
골치아픕니다
복구가 불가능합니다
돈이고뭐고 복구안됩니다
명 정보도 안됩니다
그러니 확장자 기준으로 파일을 차단시키는건 아무런 의미가 없습니다
랜섬웨어가 동작하면 특정 서버에 접속해서 개인키를 생성하고 암호화 시작....
그래서 그 특정 서버랑 연결이 불가능하면 동작하지 않는것으로 알고있습니다
실제로 CryptoLocker가 서버 적발되어 가동을 멈추면서 현제는 동작안하지요(변종들이 설치긴하지만...)
(동작을 안한다는 의미가 암호화가 되지 않는다는것이지 랜섬웨어에 감염이 되지 않는다는 의미는 아님)
워낙 변종이 많아지다보니... 서버 접속전에 암호화를 먼저 해버리는 랜섬웨어가 있는지는 모르겠습니다
(근데 그렇게 되면 어찌되었든 PC에 개인키가 존재했었다는것이 되기때문에... 그렇게 동작하도록 만든 랜섬웨어가 있지는 않을것 같으네요)
위의 내용으로 랜섬웨어 서버ip를 막으면 되지 않나? 라고 생각하실수있는데.... 나가는 패킷이 토르네트웍을 이용하는지라...... 추적이 힘듭니다..
그래서 저 CCC 파일 생성 단계를 멈춰버리면 암호화 단계도 실패하면서 계속 재시도 하는 루핑이 돌지 않을까 하는겁니다.
윈도우 10기가라는 고용량 파일을 다른 드라이브로 이동할때 9.9기가까지 복사가 되었는데 실패가 떨어지면 원본 위치가 안없어지는 원리랑 같다는겁니다. 최종 커밋을 찍지 못한다면 원본도 존재할 확률이 높다는 프로세스 단계를 설명하는겁니다.
에디터로 파일의 헤더만 바꾸어도 제 기능을 못하게 만들 수 있죠
이때 헤더가 바뀐 파일이 만들어지고 나서 원본을 삭제하는 방식은 아닙니다
그런 방식이면 용량 큰 파일 편집할 때 시간이 엄청 오래 걸리겠죠
그냥 원래의 코드가 다른 코드로 대체되는 것 뿐이죠
CCC 파일은 말 그대로 확장자만 바꾼 것이고
만약 랜섬으로 해커 소기의 목적대로 되지 않았더라도 - 암호화한 후 돈을 줘야만 복구할 수 있는 키를 제공 -
일부 암호화가 이루어졌다면 해커의 키가 먹히는 파일이 되던 중 멈추었기 때문에 이도 저도 아닌 어쨌든 사용할 수 없어 포맷해야만 하는 상태가 되지 않을까 싶습니다
동영상 촬영중에 오류로 중단되면 재생할 수 없는 동영상이 되는 것처럼이요...
저는 걸려보질 않았기 때문에 그냥 제 추측입니다
원본을 변조후 확장자를 ccc로 바꾸는 것이지 확장자가 ccc인 변조 파일을 완전히 생성한 후에 원본을 지우는 방식은 아닐것으로 생각됩니다
네트워크로 연결된 다른 PC의 하드도
로컬 드라이브처럼 연결해서 쓰는 웹 드라이브(ex 구글 드라이브)도
다 해당된다고 합니다
전원 안키면 상관없음
XP PC가 최조 감염으로 예측이 되고, 나머지는 공유된 폴더 찾아서 엑셀,jpg등 모두 암호화 되어 버림.
모두 알약 최신 버전 실시간 감시 되어 있으나, 역시 최신 변종이라 답이없는것 같습니다.
바이러스 감염시 최초 감염 pc와 공유된 pc의 트레픽으 올라가는 것으르봐서.
파일을 열어서 암호화 하고 다시 쓰는 방식으로 되는 것 같습니다.
하여 일단 복구 업체에 하드 보냈습니다. 20~30% 복구 할 수 있다고 하는데
안되면 헤커와 협상을 해야할 판입니다.
헤커한테 돈을줘도 해결이 안됩니다
원본 복구를 못합니다
돈주면 먹고 땡 합니다
옆에서 본 경험자.
2. 유입된 악성코드가 서버와 통신을 하게 됨 (방화벽 무용지물...ㅠㅠ)
3. 원본 파일들을 암호화함
(14년 초반 바이러스는 원본 복사후 암호화하고, 원본을 지우는 방식이라서 지워진 원본으로 복구가 가능했으나,
지난 4월이후의 것들은 원본자체에 덮어쓰기를 하는듯합니다. 삭제된 데이터가 안나옵니다. ㅠㅠ)
4. 윤술님이 말씀하신 프로세스가 윈도우즈의 일반적인 동작이라서 감지하기는 힘들듯합니다. 다만, 특정 확장자로의 이름변경을 검출할수는 있겠지만, 이는 이미 암호화된 다음이라 대책이 없을듯합니다.