AppCheck 안티랜섬웨어 제품이 파일명과 확장명 변경없이 파일 암호화를 수행하는 DetoxCrypto Ransomware 행위를 차단/제거 및 일부 암호화된 파일을 자동 복원하는 영상입니다.

• Distribution Method : 메일 첨부 파일 추정(PDF 문서 아이콘)

• MD5 : 86e982f83e04da7778f27e26d74e6c73

• Major Detection Name : Ransom.Enciphered (Norton), Ransom_POGOTEAR.F (Trend Micro)

• Encrypted File Pattern : 원본 파일 유지

• Malicious File Creation Location :

    - C:\Users\%UserName%\Document (숨김 속성 폴더)
    - C:\Users\%UserName%\Document\Document.pdf
    - C:\Users\%UserName%\TrendMicro (숨김 속성 폴더)
    - C:\Users\%UserName%\TrendMicro\bg.jpg
    - C:\Users\%UserName%\TrendMicro\key.pkm
    - C:\Users\%UserName%\TrendMicro\MicrosoftService.exe (파일 암호화 후 자동 삭제)
    - C:\Users\%UserName%\TrendMicro\sound.wav
    - C:\Users\%UserName%\TrendMicro\total.pkm
    - C:\Users\%UserName%\TrendMicro\TrendMicro.exe

• Major Characteristics: Crypt0 / Nullbyte Ransomware 계열, 최초 감염 시 Document.pdf 문서 생성 및 실행을 통한 사용자 눈속임, Ransomware 메시지 창 생성 후 음성으로 암호화 사실 안내, 크로아티아어(Hrvatski) 사용자 표적, 바탕 화면 배경(C:\Users\%UserName%\TrendMicro\bg.jpg) 변경, 복호화 도구 공개(https://download.bleepingcomputer.com/demonslay335/MotoxDecrypter.zip)