AppCheck 안티랜섬웨어 제품이 .locky 파일 확장명으로 암호화하는 PowerWare Ransomware 변종 행위를 차단/제거 및 일부 훼손된 파일을 자동 복원하는 영상입니다.

• Distribution Method : Unknown

• MD5 : 3433a4da9d8794709630eb06afd2b8c1

• Major Detection Name : Ransom:PowerShell/Powerware.A (Microsoft), Trojan.Win32.Z.Powerware.208896[h] (ViRobot)

• Encrypted File Pattern : .locky

• Malicious File Creation Location: : C:\Users\%UserName%\AppData\Local\Temp\Quest Software\PowerGUI\{GUID}\fixed.ps1 (파일 암호화 후 자동 삭제)

• Payment Instruction File : _HELP_instructions.html

• Major Characteristics : 오프라인 암호화(Offline Encryption), PowerWare Ransomware 변종, Locky Ransomware 모방, 복호화용 Python 스크립트 공개(https://github.com/pan-unit42/public_tools/blob/master/powerware/powerware_decrypt.py)

• Reference : http://researchcenter.paloaltonetworks.com/2016/07/unit42-powerware-ransomware-spoofing-locky-malware-family