[악성코드 분석] 'SyncCrypt ransomware' 분석

SyncCrypt ransomware 분석

1. 개요 

사용자 PC의 중요 파일들을 암호화하고, 암호화된 파일을 풀어주는 조건으로 금전을 요구하는 랜섬웨어는 계속해서 새롭게 발견되고 있다.

랜섬웨어에 감염이 되면, 특정 파일에 대해서는 사용할 수 없기 때문에 공공기관이나 기업에서는 자칫 업무까지 마비가 

되어 엄청난 손해로 연결될 수 있다. 그렇기 때문에 중요한 파일이 있는 PC에서는 항상 주의를 할 필요가 있다.

이번 보고서에서 다루는 ‘SyncCrypt Ransomware’ 는 앞서 말했던 랜섬웨어 중 하나로 최근에 발견되어 여러 확장자를 암호화하는 랜섬웨어이다.

2. 분석 정보

2-1. 파일 정보

구분	내용
파일명	CourtOrder_845493808.wsf
파일크기	3,710 byte
진단명	Script-JS/W32.SyncCrypt-Downloader
악성동작	다운로더

구분	내용
파일명	sync.exe
파일크기	2,203,648 byte
진단명	Ransom/W32.SyncCrypt.2203648
악성동작	파일 암호화, 금전 요구

2-2. 유포 경로

정확한 유포 경로는 밝혀지지 않았지만 해당 랜섬웨어는 이메일에 파일을 첨부하여 유포되고 있는 것으로 확인 된다.

2-3. 실행 과정

첨부된 ‘.wsf’ 파일을 실행하면 암호화 동작을 수행하는 랜섬웨어 파일이 다운로드 되어 실행된다. 다른 랜섬웨어와 동일하게 사용자 파일을 찾아 암호화 동작을 수행하며, 파일 암호화가 완료되면 .kk 확장자를 덧붙이고 바탕화면에 README라는 폴더를 만들어 랜섬노트를 생성한다.

[그림 1] 악성파일 다운로드 스크립트

3. 악성 동작

3-1. 파일 암호화

해당 랜섬웨어는 암호화 대상이 되는 파일을 찾아 암호화 한 후 원본 파일명과 확장자에 ‘.kk’라는 확장자를 덧붙인다.

[그림 2] 파일 암호화

구분

내용

암호화 대상 파일 확장자

accdb, accde, accdr, adp, ach, arw, asp, aspx, backup, backupdb, bak, bat, bay, bdb, bgt, blend, bmp, bpw, cdf, cdr, cdr3, cdr4, cdr5, cdr6, cdrw, cdx, cer, cfg, class, cls, config, contact, cpp, craw, crt, crw, css, csv, d3dbsp, dbx, dcr, dcs, dds, der, dif, dit, doc, docm, docx, dot, dotm, dotx, drf, drw, dwg, dxb, dxf, edb, eml, eps, fdb, flf, fpx, frm, gif, gpg, gry, hbk, hpp, html, hwp, jpe, jpeg, jpg, kdbx, kdc, key, jar, java, laccdb, latex, ldf, lit, lua, mapimail, max, mbx, mdb, mfw, mlb, mml, mmw, midi, moneywell, mocha, mpp, nef, nml, nrw, oab, odb, odc, odf, odg, odi, odm, odp, ods, odt, otg, oth, otp, ots, p12, pas, pab, pbm, pcd, pct, pcx, pdf, pef, pem, pfx, pgm, php, pict, pntg, potm, potx, ppam, ppm, pps, ppsm, ppsx, ppt, pptm, pptx, ppz, prf, psd, ptx, pub, qbw, qbx, qpw, raf, rtf, safe, sav, save, sda, sdc, sdd, sdf, sdp, skp, sql, sqlite, sqlite3, sqlitedb, stc, std, sti, stm, stw, sxc, sxg, sxi, sxm, sxw, tex, txt, tif, tiff, vcf, wallet, wb1, wb2, wb3, wcm, wdb, wpd, wps, xlr, xls, xlsb, xlsm, xlsx, xlam, xlc, xlk, xlm, xlt, reg, rspt, profile, djv, djvu, ms11, ott, pls, png, pst, xltm, xltx, xlw, xml, r00, 7zip, vhd, aes, ait, apk, arc, asc, asm, asset, awg, back, bkp, brd, bsa, bz2, csh, das, dat, dbf, db_journal, ddd, ddoc, des, design, erbsql, erf, ffd, fff, fhd, fla, flac, iif, iiq, indd, iwi, jnt, kwm, lbf, litesql, lzh, lzma, lzo, lzx, m2ts, m4a, mdf, mid, mny, mpa, mpe, mpeg, mpg, mpga, mrw, msg, mvb, myd, myi, ndf, nsh, nvram, nxl, nyf, obj, ogg, ogv, p7b, p7m, p7r, p7s, package, pages, pat, pdb, pdd, pfr, pnm, pot, psafe3, pspimage, pwm, qba, qbb, qbm, qbr, qby, qcow, qcow2, ram, rar, ras, rat, raw, rdb, rgb, rjs, rtx, rvt, rwl, rwz, scd, sch, scm, sd2, ser, shar, shw, sid, sit, sitx, skm, smf, snd, spl, srw, ssm, sst, stx, svg, svi, swf, tar, tbz, tbz2, tgz, tlz, txz, uop, uot, upk, ustar, vbox, vbs, vcd, vdi, vhdx, vmdk, vmsd, vmx, vmxf, vob, vor, wab, wad, wav, wax, wbmp, webm, webp, wks, wma, wp5, wri, wsc, wvx, xpm, xps, xsd, zip, zoo

[표 1] 암호화 대상 파일 확장자

그리고 해당 랜섬웨어는 사용자 PC를 탐색하며 아래에 해당하는 폴더명에 대해서는 암호화 동작을 수행하지 않는다.

구분	내용
암호화 제외 대상 폴더	windows\\ program files (x86)\\ program files\\ programdata\\ winnit\\ \\system volume information\\ \\desktop\r\readme\\ \\$recycle.bin\\

[표 2] 암호화 제외 대상 폴더

3-2. 금전 요구

파일 암호화가 완료되면 해당 랜섬웨어는 암호화된 파일에 대하여 비트 코인을 요구한다. 암호화 된 파일에 대해서 복호화 하기 위한 방법으로 랜섬노트에 기록되어있는 특정 주소와 금액을 지불하였다는 이메일을 작성하면 복호화 해준다는 내용을 포함하고 있다.

[그림 3] 암호화 완료 후 나타나는 .html 형식의 랜섬노트

4. 결론

이번 보고서에서 알아 본 ‘SyncCrypt Ransomware’ 는 아직 다른 랜섬웨어들에 비하여 많은 피해 사례가 발생하지 않았지만, 계속해서 새로운 랜섬웨어가 발견되기 때문에 항상 주의를 기울여야 한다.

랜섬웨어의 피해를 최소한으로 예방하기 위해서는 불분명한 링크나 첨부 파일을 함부로 열어보아서는 안되며, 또한 중요한 자료는 별도로 백업해 보관하여야 한다.

상기 악성코드는 잉카인터넷 안티바이러스 제품 nProtect Anti-Virus Spyware V3.0과 nProtect Anti-Virus/Spyware V4.0에서 진단 및 치료가 가능하다. 

[그림 4] nProtect Anti-Virus/Spyware V4.0 진단 및 치료 화면

[그림 5] nProtect Anti-Virus/Spyware V3.0 진단 및 치료 화면