AppCheck Anti-Ransomware 제품이 .(Random Extension) 파일 형태로 암호화를 수행하는 CTB-Locker Ransomware 행위를 차단 및 일부 훼손된 파일을 자동 복원하는 영상입니다.

참고로 암호화된 파일을 자동으로 제거하지 못하므로 Ransomware 행위 차단 후 직접 삭제하시기 바랍니다.

• Distribution Method : 메일에 포함된 URL 링크를 통한 추가적인 PDF 문서 아이콘 모양의 악성 파일 다운로드 및 실행 유도

• MD5 : f67a2c2ec4427fba6cccf14c691b5d29

• Major Detection Name : Trojan-Ransom.Win32.Onion.vyg (Kaspersky), Ransom:Win32/Critroni (Microsoft)

• Encrypted File Pattern : .(Random Extension) <※ 예시 : .iyyvvzh / .lxkyvzh / .gwpwvzh>

• Malicious File Creation Location: : C:\Users\%UserName%\AppData\Local\Temp\(Random).exe

• Major Characteristics : 오프라인 암호화(Offline Encryption), explorer.exe(한글판 운영 체제) / svchost.exe(영문판 운영 체제) 시스템 파일 인젝션을 통한 암호화, 바탕 화면 배경(C:\Users\%UserName%\Documents\!Decrypt-All-Files-[Random].bmp) 변경

• Reference : https://blog.malwarebytes.com/cybercrime/2016/05/kpn-spam-results-in-ctb-locker-infection