<div style="text-align:center;"><font size="4"><br></font></div> <div style="text-align:center;"><font size="4">본글은 <b>2016년 12월 23일</b>에 작성했던 글로</font></div> <div style="text-align:center;"><font size="4"><br></font></div> <div style="text-align:center;"><font size="4"><b>nomoreransom</b>이 한국어서비스를 지원하지 않을때</font></div> <div style="text-align:center;"><font size="4">랜섬웨어를 해독했던 내용을 다루고 있습니다.</font></div> <div style="text-align:center;"><font size="4"><br></font></div> <div style="text-align:center;"><font size="4">홈페이지에서 서툰 번역체 한국어를 지원하기 때문에</font></div> <div style="text-align:center;"><font size="4">걱정하시는 분들이 많이 계시는 것 같아서</font></div> <div style="text-align:center;"><font size="4">실제로 복호화 했던 내용을 다시 <b>재업로드</b> 해드립니다.</font></div> <div style="text-align:center;"><font size="4"><br></font></div> <div style="text-align:center;"><font size="4">해당 사이트는 <b>매우 안전! </b>한 사이트이며</font></div> <div style="text-align:center;"><font size="4"><b>현재 복호화가 가능한 종류가 많이 늘어났으니</b></font></div> <div style="text-align:center;"><font size="4">기존에 감염되어 묵혀둔 자료가 있으시다면</font></div> <div style="text-align:center;"><font size="4">확인해보시기 바랍니다<br><br></font><a target="_blank" href="https://www.nomoreransom.org/" style="color:#0000ff;font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;font-size:large;text-align:left;">https://www.nomoreransom.org</a></div> <div style="text-align:left;"><br><br></div> <div style="text-align:left;">-----------------------------------------------------------------------------------------</div> <div style="text-align:left;"><br></div> <div style="text-align:left;"><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822587afb25fdf4f754d359903f72015ce15f3__mn228297__w262__h320__f24582__Ym201705.jpg" width="262" height="320" alt="1.png" style="border:none;" filesize="24582"><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">먼저 랜섬웨어 복호화에 대해서 의뢰를 받았던건<span style="font-weight:700;"> 2016년 5월중순 경</span>이었습니다.</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">최초 암호화 되었던 랜섬웨어는 <span style="font-weight:700;">CRYPT XXX 3.0 RSA-4096</span>으로 구형 랜섬웨어 였습니다.</font></div> <div><font size="4"><br></font></div><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822587c18c22cbba664100bfaf852097ab40b2__mn228297__w634__h242__f31118__Ym201705.jpg" width="634" height="242" alt="2.jpg" style="border:none;" filesize="31118"><br><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">하지만 회사의 결산내역 및 회계자료를 담은 중요파일인지라 바로 파일을 전송받지 못하였고</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">시간이 흘러 <span style="font-weight:700;">5월 말 즈음 파일을 전송</span> 받았습니다.<br><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;text-align:center;"></div><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/149482258922a2b4b1c53b46b3929990517331400d__mn228297__w769__h579__f114722__Ym201705.jpg" width="769" height="579" alt="3.jpg" style="border:none;" filesize="114722"><br><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">전송받고 파일을 열어보니 CRYPT XXX 3.0이었으나 며칠 사이에 <span style="font-weight:700;">RZA-4096으로</span></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><span style="font-weight:700;">변종이 진행</span>되어 있었고 더이상 복호화가 불가능했습니다.</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">기존 RSA-4096과 달리 RZA-4096은 암호화 과정에서 <span style="font-weight:700;">200kb를 추가</span>시키는 방식의 변종으로</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">카스퍼스키에서 제작된 Decryptor를 무력화시켰습니다.<br><br></font></div><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/14948225906c56bb3b3f3a4aa68d0f5b23212ada66__mn228297__w634__h389__f39608__Ym201705.jpg" width="634" height="389" alt="4.png" style="border:none;" filesize="39608"></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822591f1b9614167e84765847111be5244a291__mn228297__w600__h603__f57250__Ym201705.jpg" width="600" height="603" alt="5.png" style="border:none;" filesize="57250"><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">안랩에서 제작된 Decryptor의 경우는<br><span style="font-weight:700;">공개키(0x80) + 시그니처(0x118) + 최소문자크기(0x40) = 0x1D8(=472)</span> 의 조건 때문에 복호화를 진행하려는 <span style="font-weight:700;">파일의 최소 크기가 472바이트 이상</span> 되어야만 했습니다.<br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">하지만 대부분 문서파일 인지라 472바이트에 해당되지 않아서 <span style="font-weight:700;">복호화가 불가능했습니다.</span></font></div> <div style="text-align:left;"><br></div> <div style="text-align:left;"> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">더불어 안랩 Decryptor로 복호화를 진행할 경우 위와같이 부분만 파일이 복구되는 모습을 보였으며<br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">위 사진의 경우는 정말 성공적으로 복호화 된 경우지 사실은 복호화를 진행하여도</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><span style="font-weight:700;">대부분 문서가 열리지 않거나 텍스트가 모두 깨지는 등의 증세</span>를 보였습니다</font></div></div><br><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822592f2087ee8bd2c49c6a9022f43bcdf176f__mn228297__w499__h440__f29919__Ym201705.jpg" width="499" height="440" alt="6.png" style="border:none;" filesize="29919"><br><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div><br><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/149482259299c1c0a5464f41db85096e2a7e5b7b3a__mn228297__w769__h1169__f34100__Ym201705.jpg" width="769" height="1169" alt="7.png" style="border:none;" filesize="34100"><br><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">이후 해외사이트에서 T<span style="font-weight:700;">REND MICRO D</span><span style="font-weight:700;">ecryptor</span>로 복호화를 진행해보았습니다.<br>하지만 위와 같이 PDF의 일부만 해독에 성공했을뿐 <span style="font-weight:700;">정상적인 파일이 아니었습니다.</span></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><span style="font-weight:700;">JPEGSnoop</span>를 통해 파일의 복구를 진행해보았지만 <span style="font-weight:700;">그 역시 불가능</span>했습니다.<br></font></div><br><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822593d1cfa16beb9b4e699c2d572af053d2bd__mn228297__w1238__h303__f58692__Ym201705.jpg" width="800" height="196" alt="8.png" class="chimg_photo" style="border:none;" filesize="58692"><br><br><br><div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">마지막으로 이틀전 업뎃이 진행된 <span style="font-weight:700;">no more ransom</span>의 rannohdecryptor로 복호화를 진행해보았습니다.<br>no more ransom은 랜섬웨어에 대응하고자 각국의 보안전문가들과 네티즌들이 모여 결성된</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">랜섬웨어대응센터로 궁극적으로 랜섬웨어를 종식시키는데 그 의의를 두고 있습니다.</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">제가 받은 복호화 툴은 카스퍼스키에서 개발이 진행된 툴이었고</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">그 결과..</font></div><br><br></div> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201705/1494822594a7e631f3fa2c45f2917d24dd4e77af65__mn228297__w730__h365__f57204__Ym201705.jpg" width="730" height="365" alt="9.jpg" style="border:none;" filesize="57204"></div><br><div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">짠!</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">복호화 성공!</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><span style="font-weight:700;">사진파일, PDF, HWP 등등 모두 정상적으로 파일이 복호화</span>가 되었습니다.</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><span style="font-weight:700;">깨짐이나 오작동 없이 정상작동</span> 하였습니다.<br><br><br>CRYPT XXX 3.0 RSA-4096 이외에 다양한 복호화 툴을 아래 사이트에서 다운로드 가능하오니</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">묵혀두었던 소중한 자료들을 어서 복구하시고 <span style="font-weight:700;">좋은거는 *-_-* 공유</span>바랍니다<br><br></font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4">그럼 20000~~~</font></div> <div style="font-family:gulim, Dotum, Helvetica, AppleGothic, sans-serif;color:#333333;"><font size="4"><br><a target="_blank" href="https://www.nomoreransom.org/" style="background-color:transparent;color:#0000ff;">https://www.nomoreransom.org</a></font></div></div> <div><br></div>