영상

다양한 랜섬웨어에 대응하는 앱체크의 사전 방어, 자동 복구 및 실시간 백업 기능을 영상을 통해 확인하실 수 있습니다.

  • 배포 방식 : MS-SQL 관리자 계정 해킹을 통해 원격 프로그램 설치
 
  • MD5 : d16d5a50d5c9f96778206b5f715a10ea
 
  • 주요 탐지명 : Win32:CrypterX-gen [Trj] (Avast), Trojan:MSIL/AsyncRAT.I!MTB (Microsoft)
 
  • 파일 암호화 패턴 : .xollam
 
  • 메시지 파일 : FILE RECOVERY.txt / HOW TO RECOVER !!.TXT
 
  • 주요 특징 :
     - "C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe" 정상 파일을 이용한 파일 암호화
     - 특정 파일 확장명(.bak, .dbf, .dmp, .hdd, .ibd, .lck, .mdb, .mdf, .nvram, .ora, .oraenv, .rar, .smd, .sql, .vdi, .vhd, .vhdx, .vmdk, .vmem, .vmsd, .vmsn, .vmss, .vmx, .zip)부터 파일 암호화
     - 특정 프로세스(Cobian.exe, MessageNotification.exe, ReportingServicesService.exe, SqlManagement.exe, tomcat9.exe, TongBackupSrv.exe 등) 실행 차단
     - 특정 서비스(cbVSCService11, ReportServer$SQLEXPRESS, SQLSERVERAGENT, SSSyncService, TongBackupSrv, XT800Service_Personal 등) 삭제
     - 특정 서비스(cbVSCService, NetBackup Legacy Network Service, SAPB1iEventSender, SQLBackupAndFTP Client Service, UFNet, vmvss 등) 중지
     - 특정 서비스(sc config "MSSQLFDLauncher" start= disabled, sc config MSSQLSERVER start=disabled, sc config "MSSQLServerOLAPService" start= disabled, sc config "SQL Server (MSSQLSERVER)" start=disabled, sc config "TMBMServer" start= disabled, sc config vss start=disabled 등) 설정 변경
     - 시스템 복원 무력화(bcdedit /set {current} bootstatuspolicy ignoreallfailures, vssadmin.exe delete shadows /all /quiet, bcdedit /set {current} recoveryenabled no)

목록

위로