랜섬웨어 방식이 모든 드라이버의 xls, ppt, jpg, 등등 문서 파일만 찾아서 암호화 입니다.
랜섬이 저런파일을 구분해서 암호화 제외하는게 아니기 떄문에.. 항상 이름순 정렬로 최상위 폴더의 파일부터 암호화시킵니다. 저 폴더보다 더 상위의 이름으로 지정된 폴더가 있다면 그것부더 암호화 시키는데 대부분 폴더명을 숫자 영문 한글 등으로 시작하기 떄문에, 저것보다 상위에 있는것은 거의 없습니다.
그리고 저 파일을 변조시키는 프로세서가 있다면 그 앱을 정지 시켜서 랜섬을 방어하는 방식으로 구현합니다. 일반적인 랜섬웨어 프로그램을 저 단계에서 멈춰집니다.
그렇게 믿을만 한게 못되는 것이..
만약 제가 랜섬웨어 제작자라면 저렇게 일반적인 트랩 알고 있을 경우
첫 바이트가 기호 이고 내부의 파일명도 첫 바이트가 기호라면 건너 뛰도록 코드를 짜놓겠습니다.. 라는 뜻입니다.
그리고 항상 이름순으로 정렬한다는 보장도 없겠지요. (단순한 백신의 바램이겠지요)
http://it.chosun.com/site/data/html_dir/2016/07/01/2016070185030.html
랜섬을 핑계로 뭔가 열일 하는 느낌을 주기 위한 백신들의 똥싸놓기 아닐까 싶습니다.
랜섬이 저런파일을 구분해서 암호화 제외하는게 아니기 떄문에.. 항상 이름순 정렬로 최상위 폴더의 파일부터 암호화시킵니다. 저 폴더보다 더 상위의 이름으로 지정된 폴더가 있다면 그것부더 암호화 시키는데 대부분 폴더명을 숫자 영문 한글 등으로 시작하기 떄문에, 저것보다 상위에 있는것은 거의 없습니다.
그리고 저 파일을 변조시키는 프로세서가 있다면 그 앱을 정지 시켜서 랜섬을 방어하는 방식으로 구현합니다. 일반적인 랜섬웨어 프로그램을 저 단계에서 멈춰집니다.
만약 제가 랜섬웨어 제작자라면 저렇게 일반적인 트랩 알고 있을 경우
첫 바이트가 기호 이고 내부의 파일명도 첫 바이트가 기호라면 건너 뛰도록 코드를 짜놓겠습니다.. 라는 뜻입니다.
그리고 항상 이름순으로 정렬한다는 보장도 없겠지요. (단순한 백신의 바램이겠지요)
그렇게 짜놓는 랜섬이 있다면 문서 폴더를 "_폴더명"으로 짓는순간 방어가 되죠.
그럼 안에 파일만 변조시킨다라고 하실 수 있는 폴더를 이미 건너뛰었는데 안에 파일은 안건너뛰는건 또 이상하고요.
아마 다른 프로그램에서 파일의 목록을 불러온다고 해도 대부분의 경우 이름순으로 불러오니,, 미끼파일은 어느정도 의미가 있어 보입니다.