[ Nuke 랜섬웨어 ]

[ 바이러스/악성코드 활동 접수: Nuke 랜섬웨어 ]

Nuke 랜섬웨어 형태로 추정되는 침해사고 발생하여
이에 해당 상황에 대한 확인 및 주의보를 다음과 같이 전달 드립니다.

Nuke 랜섬웨어

해당 랜섬웨어는 Nuke라고 하며 암호화된이름및확장자. 개별랜덤값으로 모든 파일을 변경하고 있는 모습을 보이고 있습니다.

작동 방식

파일 버전

[그림1 파일 버전]

행동 프로세스

• 쉐도우 복사본 삭제

  사용자 데이터를 암호화 후 데이터의 복구가 어렵도록 쉐도우 복사본을 삭제합니다.

  
  [그림2 cmd를 이용하여 쉐도우 복사본을 삭제 명령]

• 시작프로그램에 랜섬노트 등록

  암호화 완료 시 재부팅 후에도 사용자가 해당정보를 바로 확인 할 수 있게끔 시작프로그램의 레지스트리에 랜섬 노트를 등록합니다.

  
  [그림3 사용자의 Run(시작프로그램)에 nuke_html 등록 명령 ]

  
  [그림4 실제 레지스트리에 생성된 값 ]

• 바탕화면 변경

  랜섬웨어 내부에 저장된 이미지 바이너리를 Roaming의 Nuclear55 폴더에 저장하며 레지스트리 수정을 이용하여 바탕화면을 변경하고 이전의 바탕화면은 system폴더에 저장 후 레지스트리에 백업합니다.

  
  [그림5 바탕화면 이미지 생성 명령]

  
  
  [그림6 사용자의 Run(시작프로그램)에 nuke_html 등록 명령]

  
  
  [그림7 바탕화면 이미지 실제 수정된 값]

• 기타 추가정보

  Nuke는 .Net으로 제작 되었지만 상용 소프트웨어인 LogicNP 사의 Crypto Obfuscatin For .Net으로 암호화된 상태로였습니다.

  
  [그림8 바탕화면 이미지 생성 명령]

감염결과

안내 파일은 각각의 경로에 !!_RECOVERY_instructions_!!.txt/!!_RECOVERY_instructions_!!.html가 생성 되며, 암호화 진행 시 < 암호화된이름및확장자.nuclear55>으로 파일들을 변경 후 완료되면 바탕화면을 변경합니다.

[그림9 감염결과]

화이트디펜더 대응

화이트디펜더 랜섬웨어의 악성 행위 및 차단 이전에 암호화가 진행될 파일에 대해서도 실시간으로 자동복원을 지원합니다.

[그림10 차단 메시지]

Nuke 차단 영상 보러 가기