<div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/1482459507e1ae42bd2d3941719b19e172ca32197f__mn228297__w262__h320__f24631__Ym201612.png" width="262" height="320" alt="제목 없음.png" style="border:none;" filesize="24631"></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"> <div style="text-align:left;"><font size="4">먼저 랜섬웨어 복호화에 대해서 의뢰를 받았던건<b> 5월중순 경</b>이었습니다.</font></div> <div style="text-align:left;"><font size="4">최초 암호화 되었던 랜섬웨어는 <b>CRYPT XXX 3.0 RSA-4096</b>으로 구형 랜섬웨어 였습니다.</font></div> <div style="text-align:left;"><font size="4"><br></font></div></div> <div style="text-align:left;"> <div style="text-align:left;"><br></div> <div style="text-align:left;"><font size="4"> </font><div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201612/14824637251458eff3012042a0801b478367383691__mn228297__w634__h242__f31104__Ym201612.jpg" width="634" height="242" alt="2.png" style="border:none;"></div><br></div> <div style="text-align:left;"><font size="4"><br></font></div></div> <div style="text-align:left;"> <div style="text-align:left;"><font size="4">하지만 회사의 결산내역 및 회계자료를 담은 중요파일인지라 바로 파일을 전송받지 못하였고</font></div> <div style="text-align:left;"><font size="4">시간이 흘러 <b>5월 말 즈음 파일을 전송</b> 받았습니다.</font></div> <div style="text-align:center;"> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"> <div style="text-align:left;"> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201612/14824637334d319a59fcd543cda2c6726d9de28f41__mn228297__w769__h579__f114740__Ym201612.jpg" width="769" height="579" alt="3.png" style="border:none;"></div><br></div><font size="4"><br></font></div></div></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">전송받고 파일을 열어보니 CRYPT XXX 3.0이었으나 며칠 사이에 <b>RZA-4096으로</b></font></div> <div style="text-align:left;"><font size="4"><b>변종이 진행</b>되어 있었고 더이상 복호화가 불가능했습니다.</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">기존 RSA-4096과 달리 RZA-4096은 암호화 과정에서 <b>200kb를 추가</b>시키는 방식의 변종으로</font></div> <div style="text-align:left;"><font size="4">카스퍼스키에서 제작된 Decryptor를 무력화시켰습니다.</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"> <div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/1482460215562a1032769a4015a2104c681a829cc9__mn228297__w634__h389__f39528__Ym201612.png" width="634" height="389" alt="제목 없음.png" style="border:none;" filesize="39528"></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">안랩에서 제작된 Decryptor의 경우는<br><b>공개키(0x80) + 시그니처(0x118) + 최소문자크기(0x40) = 0x1D8(=472)</b> 의 조건 때문에 복호화를 진행하려는 <b>파일의 최소 크기가 472바이트 이상</b> 되어야만 했습니다.<br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">하지만 대부분 문서파일 인지라 472바이트에 해당되지 않아서 <b>복호화가 불가능했습니다.</b><br><br></font> <div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/148246050163d0d39071864d468d50ddd0a19f751d__mn228297__w600__h603__f57178__Ym201612.png" width="600" height="603" alt="그림(4)_원본과비교.png" style="border:none;" filesize="57178"></font></div><font size="4"><br><br>더불어 안랩 Decryptor로 복호화를 진행할 경우 위와같이 부분만 파일이 복구되는 모습을 보였으며<br></font></div> <div style="text-align:left;"><font size="4">위 사진의 경우는 정말 성공적으로 복호화 된 경우지 사실은 복호화를 진행하여도</font></div> <div style="text-align:left;"><font size="4"><b>대부분 문서가 열리지 않거나 텍스트가 모두 깨지는 등의 증세</b>를 보였습니다.<br><br><br></font></div></div> <div style="text-align:left;"> <div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/1482460641fa94387497624814a954762e872dd98d__mn228297__w499__h440__f29861__Ym201612.png" width="499" height="440" alt="제목 없음.png" style="border:none;" filesize="29861"></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"> <div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/148246070495d7d5318c43455f84b0ff6576d95a2d__mn228297__w769__h1169__f33988__Ym201612.png" alt="부분복구.png" style="border:none;width:480px;height:730px;" filesize="33988"><br><br>이후 해외사이트에서 T<b>REND MICRO D</b><b>ecryptor</b>로 복호화를 진행해보았습니다.<br>하지만 위와 같이 PDF의 일부만 해독에 성공했을뿐 <b>정상적인 파일이 아니었습니다.</b></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><b>JPEGSnoop</b>를 통해 파일의 복구를 진행해보았지만 <b>그 역시 불가능</b>했습니다.<br><br><br></font> <div style="text-align:left;"><font size="4"><img src="http://thimg.todayhumor.co.kr/upfile/201612/1482460856a0081f807b80447caefee4a6641fb212__mn228297__w1238__h303__f58684__Ym201612.png" width="800" height="196" alt="제목 없음.png" class="chimg_photo" style="border:none;" filesize="58684"></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">마지막으로 이틀전 업뎃이 진행된 <b>no more ransom</b>의 rannohdecryptor로 복호화를 진행해보았습니다.<br>no more ransom은 랜섬웨어에 대응하고자 각국의 보안전문가들과 네티즌들이 모여 결성된</font></div> <div style="text-align:left;"><font size="4">랜섬웨어대응센터로 궁극적으로 랜섬웨어를 종식시키는데 그 의의를 두고 있습니다.</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">제가 받은 복호화 툴은 카스퍼스키에서 개발이 진행된 툴이었고</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">그 결과..</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"> <div style="text-align:left;"> <div style="text-align:left;"><img src="http://thimg.todayhumor.co.kr/upfile/201612/1482463742755032501dd344d4bfa15df4f3a9de7a__mn228297__w730__h365__f57205__Ym201612.jpg" width="730" height="365" alt="9.png" style="border:none;"></div><br></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">짠!</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4">복호화 성공!</font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><b>사진파일, PDF, HWP 등등 모두 정상적으로 파일이 복호화</b>가 되었습니다.</font></div> <div style="text-align:left;"><font size="4"><b>깨짐이나 오작동 없이 정상작동</b> 하였습니다.<br><br><br>CRYPT XXX 3.0 RSA-4096 이외에 다양한 복호화 툴을 아래 사이트에서 다운로드 가능하오니</font></div> <div style="text-align:left;"><font size="4">묵혀두었던 소중한 자료들을 어서 복구하시고 <b>좋은거는 *-_-* 공유</b>바랍니다<br><br></font></div> <div style="text-align:left;"><font size="4">그럼 20000~~~</font></div> <div style="text-align:left;"><font size="4"><br><a target="_blank" href="https://www.nomoreransom.org" target="_blank">https://www.nomoreransom.org</a></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><font size="4"><br></font></div> <div style="text-align:left;"><br></div></div></div></div></div>