AppCheck 안티랜섬웨어 제품이 .crypz 파일 확장명으로 파일을 암호화하는 CryptXXX Ransomware 행위를 차단 및 일부 훼손된 파일을 자동 복원하는 영상입니다.

참고로 AppCheck 안티랜섬웨어 무료 버전은 explorer.exe 프로세스(= rundll32.exe)를 차단만하며, AppCheck Pro 유료 버전은 explorer.exe 프로세스의 확장명을 변경하여 더욱 빠르게 차단합니다.

• Distribution Method : 웹사이트 접속 시 취약점(Exploit)을 이용한 자동 감염

• MD5 : 7a6211b79a64106dedbd30957d8359f3

• Major Detection Name : Trojan/Win32.CryptXXX.R182894 (AhnLab V3), Win32/Filecoder.CryptProjectXXX.F (ESET)

• Encrypted File Pattern : .crypz

• Malicious File Creation Location: : 임시 폴더(%Temp%) 내의 임의의 위치에 랜덤(Random)한 파일명을 가진 DLL 파일 (암호화 후 재부팅 시 자동 삭제)

• Payment Instruction File : !90A75BBB7462.bmp / !90A75BBB7462.html / !90A75BBB7462.txt

• Major Characteristics : 오프라인 암호화(Offline Encryption), DLL 파일 + 시스템 프로세스(rundll32.exe) 방식, 파일 암호화 후 Lock Screen 기능을 통한 윈도우 실행 차단, 작업 관리자(Taskmgr.exe) / 명령 프롬프트(cmd.exe) 실행 차단, 바탕 화면 배경(C:\ProgramData\!90A75BBB7462.bmp) 변경