박문형 2015-11

현진님과 현진님 아시는 분들이 그거 때문에 데이터 날리고 고생하고 있으니 가능하시면 쪽지 드려서 알아보세요..

현진 2015-11

확장자가 .ccc로 변합니다
그냥 포맷하고 사용하셔야 합니다
괜히 테스트 하지 마세요
골치아픕니다
복구가 불가능합니다

김윤술 2015-11

테스트는 격리된 가상화에서 하는거죠

현진 2015-11

그러시면 해보셔도 됩니다만 네트웍에 같이물려있는 프로그램은 순식간에 다 변합니다
돈이고뭐고 복구안됩니다
명 정보도 안됩니다

AKA지니 2015-11

CCC 확장자로 대체된 파일 자체는.. 걍 암호화된 데이터 파일일뿐입니다...

그러니 확장자 기준으로 파일을 차단시키는건 아무런 의미가 없습니다

랜섬웨어가 동작하면 특정 서버에 접속해서 개인키를 생성하고 암호화 시작....

그래서 그 특정 서버랑 연결이 불가능하면 동작하지 않는것으로 알고있습니다

실제로 CryptoLocker가 서버 적발되어 가동을 멈추면서 현제는 동작안하지요(변종들이 설치긴하지만...)
(동작을 안한다는 의미가 암호화가 되지 않는다는것이지 랜섬웨어에 감염이 되지 않는다는 의미는 아님)

워낙 변종이 많아지다보니... 서버 접속전에 암호화를 먼저 해버리는 랜섬웨어가 있는지는 모르겠습니다
(근데 그렇게 되면 어찌되었든 PC에 개인키가 존재했었다는것이 되기때문에... 그렇게 동작하도록 만든 랜섬웨어가 있지는 않을것 같으네요)

위의 내용으로 랜섬웨어 서버ip를 막으면 되지 않나? 라고 생각하실수있는데.... 나가는 패킷이 토르네트웍을 이용하는지라...... 추적이 힘듭니다..

김윤술 2015-11

그말이 아닙니다. 프로세스 수행단계에서 ccc로 전환되는 시점에서 그 단계를 실패로 돌아가게끔 하면 기존 문서들을 삭제하는 단계가 진행이 안된다는겁니다. 실제 암호화로 바로 전환되는것이 아니고 기존 문서 원본은 갖고 있어야 되기 때문에 암호화가 완료 되기까지는 존재를 할것이다라는 겁니다. 이런 프로세스가 아니면 협박할수 있는것도 없으며 암호화 단계가 되지도 않았는데 원본이 없어지는 그런건 아니라는겁니다. 마지막 커밋을 찍어야만 완전하게 감염이 된다는겁니다.
그래서 저 CCC 파일 생성 단계를 멈춰버리면 암호화 단계도 실패하면서  계속 재시도 하는 루핑이 돌지 않을까 하는겁니다.
윈도우 10기가라는 고용량 파일을 다른 드라이브로 이동할때 9.9기가까지 복사가 되었는데 실패가 떨어지면 원본 위치가 안없어지는 원리랑 같다는겁니다. 최종 커밋을 찍지 못한다면 원본도 존재할 확률이 높다는 프로세스 단계를 설명하는겁니다.

catstyle 2015-11

예가 적절한지는 모르겠지만
에디터로 파일의 헤더만 바꾸어도 제 기능을 못하게 만들 수 있죠
이때 헤더가 바뀐 파일이 만들어지고 나서 원본을 삭제하는 방식은 아닙니다
그런 방식이면 용량 큰 파일 편집할 때 시간이 엄청 오래 걸리겠죠
그냥 원래의 코드가 다른 코드로 대체되는 것 뿐이죠
CCC 파일은 말 그대로 확장자만 바꾼 것이고
만약 랜섬으로 해커 소기의 목적대로 되지 않았더라도 - 암호화한 후 돈을 줘야만 복구할 수 있는 키를 제공 -
일부 암호화가 이루어졌다면 해커의 키가 먹히는 파일이 되던 중 멈추었기 때문에 이도 저도 아닌 어쨌든 사용할 수 없어 포맷해야만 하는 상태가 되지 않을까 싶습니다
동영상 촬영중에 오류로 중단되면 재생할 수 없는 동영상이 되는 것처럼이요...
저는 걸려보질 않았기 때문에 그냥 제 추측입니다
원본을 변조후 확장자를 ccc로 바꾸는 것이지 확장자가 ccc인 변조 파일을 완전히 생성한 후에 원본을 지우는 방식은 아닐것으로 생각됩니다

alias신현준 2015-11

*비밀글입니다

catstyle 2015-11

물리적으로 다른 하드도
네트워크로 연결된 다른 PC의 하드도
로컬 드라이브처럼 연결해서 쓰는 웹 드라이브(ex 구글 드라이브)도
다 해당된다고 합니다

현진 2015-11

네트웍에 연결만 되어있으면 모두다 걸림
전원 안키면 상관없음

태무진 2015-11

어제 새벽 5시경에 회사 PC 7대 CryptoLocker 감염되었습니다.
XP PC가 최조 감염으로 예측이 되고, 나머지는 공유된 폴더 찾아서 엑셀,jpg등 모두 암호화 되어 버림.
모두 알약 최신 버전 실시간 감시 되어 있으나, 역시 최신 변종이라 답이없는것 같습니다. 

바이러스 감염시 최초 감염 pc와 공유된 pc의 트레픽으 올라가는 것으르봐서.
파일을 열어서 암호화 하고 다시 쓰는 방식으로 되는 것 같습니다.
하여 일단 복구 업체에 하드 보냈습니다. 20~30% 복구 할 수 있다고 하는데

안되면 헤커와 협상을 해야할 판입니다.

현진 2015-11

원본이 바뀝니다
헤커한테 돈을줘도 해결이 안됩니다
원본 복구를 못합니다
돈주면 먹고 땡 합니다
옆에서 본 경험자.

김영기대전 2015-11

1. 웹 또는 이메일 등 전염경로로 서버접속프로그램이 PC로 유입
2. 유입된 악성코드가 서버와 통신을 하게 됨 (방화벽 무용지물...ㅠㅠ)
3. 원본 파일들을 암호화함
    (14년 초반 바이러스는 원본 복사후 암호화하고, 원본을 지우는 방식이라서 지워진 원본으로 복구가 가능했으나,
    지난 4월이후의 것들은 원본자체에 덮어쓰기를 하는듯합니다. 삭제된 데이터가 안나옵니다. ㅠㅠ)
4. 윤술님이 말씀하신 프로세스가 윈도우즈의 일반적인 동작이라서 감지하기는 힘들듯합니다. 다만, 특정 확장자로의 이름변경을 검출할수는 있겠지만, 이는 이미 암호화된 다음이라 대책이 없을듯합니다.