- MD5 : 3a80cf0f878859b42372e4b7bef45298
- 파일 암호화 패턴 : <Random 파일명>.cryptolocker
- 악성 파일 생성 위치 :
- C:\Users\%UserName%\Local\Temp\msdos1.9.exe
- C:\Users\%UserName%\AppData\Roaming\{A7DBD80C-410D-4C87-99F9-B19C0DA21BF1}\!files-recovery.txt
- C:\Users\%UserName%\AppData\Roaming\{A7DBD80C-410D-4C87-99F9-B19C0DA21BF1}\temp01.exe
- C:\Windows\System32\Tasks\SvcSafeData
- 결제 안내 파일 : !files-recovery.txt
- 주요 특징 :
- 오프라인 암호화(Offline Encryption)
- 명령 프롬프트(cmd.exe) / 작업 관리자(Taskmgr.exe) 실행 차단
- 특정 프로세스(dbsnmp.exe, firefoxconfig.exe, msftesql.exe, mydesktopservice.exe, oracle.exe, sqlagent.exe 등) 실행 차단
- 특정 서비스(MSSQLFDLauncher, SQLBrowser, vmicguestinterface, vmickvpexchange, vmicrdv, vmicshutdown 등) 삭제
- 백업 파일(*.bac, *.bak, *.bkf, *.dsk, *.set, *.VHD, *.wbcat, *.win, Backup*.*) 삭제
- 시스템 복원 무력화(vssadmin.exe Delete Shadows /All /Quiet, bcdedit.exe /set {default} recoveryenabled No, bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures, wbadmin DELETE SYSTEMSTATEBACKUP, wmic SHADOWCOPY DELETE, vssadmin.exe resize shadowstorage /for=<드라이브 문자>: /on=<드라이브 문자>: /maxsize=401MB, vssadmin.exe resize shadowstorage /for=<드라이브 문자>: /on=<드라이브 문자>: /maxsize=unbounded)
- SvcSafeData 작업 스케줄러 등록값을 통해 1분 단위로 "%AppData%\{A7DBD80C-410D-4C87-99F9-B19C0DA21BF1}\temp01.exe" 파일 자동 실행
- 바탕 화면 배경(%AppData%\{A7DBD80C-410D-4C87-99F9-B19C0DA21BF1}\kakdela.bmp) 변경
목록