[Nuke 랜섬웨어] 해당 랜섬웨어는 Nuke라고 하며 암호화된이름및확장자. 개별랜덤값으로 모든 파일을 변경하고 있는 모습을 보이고 있습니다.
파일버전
1. 쉐도우 복사본 삭제 : 사용자 데이터를 암호화 후 데이터의 복구가 어렵도록 쉐도우 복사본을 삭제합니다.
2. 시작프로그램에 랜섬노트 등록 : 암호화 완료 시 재부팅 후에도 사용자가 해당정보를 바로 확인 할 수 있게끔 시작프로그램의 레지스트리에 랜섬 노트를 등록합니다.
[사용자의 시작프로그램에 nuke_html등록명령]
[실제 레지스트리에 생성된 값]
3. 바탕화면 변경 : 랜섬웨어 내부에 저장된 이미지 바이너리를 Roaming의 Nuclear55 폴더에 저장하며 레지스트리 수정을 이용하여 바탕화면을 변경하고 이전의 바탕화면은 system폴더에 저장 후 레지스트리에 백업합니다.
4. 기타 추가정보 : Nuke는 .Net으로 제작 되었지만 상용 소프트웨어인 LogicNP 사의 Crypto Obfuscatin For .Net으로 암호화된 상태로였습니다.
안내 파일은 각각의 경로에 !!_RECOVERY_instructions_!!.txt/!!_RECOVERY_instructions_!!.html가 생성 되며, 암호화
진행 시 < 암호화된이름및확장자.nuclear55>으로 파일들을 변경 후 완료되면 바탕화면을 변경합니다.
화이트디펜더 랜섬웨어의 악성 행위 및 차단 이전에 암호화가 진행될 파일에 대해서도 실시간으로 자동복원을 지원합니다.
EVERYZONE PARTNET ITRUN