WONSYS – 랜섬웨어 공격 분석

플라톤에 의해 재발행

팔로워 : 0

읽기 시간 : 4 분대부분의 사람들은 현재 코모도 블로그 섹션과 비슷한 출판물을 정기적으로 읽는 사람들이 랜섬웨어를 알고 있습니다. 그렇지 않은 경우 랜섬웨어는 공격자가 피해자의 컴퓨터 나 서버에있는 모든 파일을 암호화하여 완전히 사용할 수 없게 만드는 공격입니다. 그런 다음 공격자는 일반적으로 비트 코인의 몸값 인 파일을 해독하기 위해 요금을 요구합니다. 범죄자의 관점에서 공격의 아름다움은 일단 암호화가 이루어지면 피해자를위한 해결책이 거의 없다는 것입니다. 바이러스 백신, 기술 전문가의 도움, 경찰력, 울음 소리 등이 파일을 복구 할 수 없습니다. 파일에 암호 해독 키가 있거나 작별 인사를해야합니다.

이 총의 용서할 수없는 배럴을 응시할 때, 많은 유명한 희생자들은 그들이 요금을 지불하는 것 외에는 선택의 여지가 없다는 것을 알게됩니다. 비즈니스를 계속하거나 사회에 서비스를 제공하려면 이러한 파일이 필요하며 다운 타임이 전혀 없습니다. 병원, 정부 부서, 자선 단체, 대학, 치안 판사 및 신문사 등은 몸값을 포기하고 지불 한 주요 기관의 몇 가지 예일뿐입니다.

랜섬웨어는 일반적으로 다음과 같이 확산됩니다. 형태 트로이 목마 프로그램 중 하나입니다. 이러한 프로그램은 설치 시 일반 프로그램인 것처럼 속이지만 실제로는 드라이브를 암호화하는 악성 실행 파일입니다. 각 랜섬웨어에는 대상 컴퓨터를 감염시키는 고유한 방법이 있으며 각 랜섬웨어는 탐지를 피하기 위해 여러 수준의 난독화를 사용합니다. 이 블로그는 Comodo의 주요 엔지니어 중 한 사람이 그러한 제품 중 하나의 내부 작동 방식에 대해 자세히 설명합니다. 랜섬 – 원시스.

WONSYS 랜섬웨어란 무엇인가요?

Wonsys는 암호화 소프트웨어로 난독화되거나 UPX, ASPROTECT 또는 VMPROTECT와 같은 파일로 압축된 악성 코드 변종입니다. 실제 실행 파일인 Wonsys.exe는 분명히 무해한 다른 프로그램 내부 깊숙이 묻혀 있으므로 앞서 언급한 트로이 목마 중 하나입니다. 이는 범죄자가 탐지를 피하기 위해 사용하는 일반적인 방법입니다. 안티 바이러스 제품보기.

원 시스

악성 코드는 대상 컴퓨터에 침투하여 SHELL32 API 인 ShellExecuteW를 사용하여 실행됩니다.

원 시스 1

랜섬웨어가 사용자에 의해 실행되면 레지스트리에 "RunOnce"키가 생성됩니다.

원 시스 1

또한 대상 시스템의 모든 드라이브를 계산하여 모두 암호화 할 수 있습니다.

원 시스 1

그런 다음 Wonsys는 종료해야하는 프로세스의 'kill-list'를 만듭니다. 실행중인 상태에서 Wonsys가 전체 시스템을 감염시키지 못하게하는 프로그램입니다. 특히 Word, PowerPoint, Notepad, Thunderbird와 같은 프로그램으로 파일을 '잠그고'암호화를 방지 할 수 있습니다. 이러한 프로그램을 닫은 후 Wonsys는 파일의 섀도 복사본을 삭제하여 사용자가 파일을 복원 할 수 없도록합니다.

원 시스 1