AppCheck 안티랜섬웨어 제품이 .crinf 파일 확장명으로 암호화하는 CryptInfinite Ransomware 또는 DecryptorMax Ransomware 행위를 차단/제거 및 일부 훼손된 파일을 자동 복원하는 영상입니다.

• Distribution Method : 메일 첨부 파일(MS Word 문서)

• MD5 : 43206d7a4d73b32de5409a3bae853516

• Major Detection Name : Trojan.Ransom.DecryptorMax (ALYac), Trojan.Ransomlock (Norton)

• Encrypted File Pattern : .crinf

• Malicious File Creation Location :

    - C:\Users\%UserName%\(사용자 ID).exe (※ 예시 : [컴퓨터 이름]2AE5-9268.exe)
    - C:\Users\%UserName%\AppData\Local\Temp\CerebralPolypropylene
    - C:\Users\%UserName%\AppData\Local\Temp\line_count_options.js
    - C:\Users\%UserName%\AppData\Local\Temp\starling.dll

• Payment Instruction File : ReadDecryptFilesHere.txt

• Major Characteristics : 오프라인 암호화(Offline Encryption), BCDEdit 명령어로 시스템 복구 기능 무력화, 레지스트리 키(HKEY_CURRENT_USER\Software\CryptInfinite\Files)에 암호화된 파일 목록 작성, 복호화 도구 공개(http://emsi.at/DecryptCryptInfinite)

• Reference : http://www.bleepingcomputer.com/news/security/cryptinfinite-or-decryptormax-ransomware-decrypted