5ss5c와 Immuni 랜섬웨어의 암호화 프로세스 분석 및 복구 방안 연구

5ss5c 랜섬웨어의 전체 동작 과정은 그림 1과 같다.

Fig 1.

Operation process of 5ss5c ransomware

(1) 레지스트리 등록

5ss5c 랜섬웨어의 실행 경로를 레지스트리 “HKEY\Software\MicroSoft\Windows\CurrentVersion\Run” 에 등록함으로써 PC 부팅 시마다 랜섬웨어를 자동으로 실행한다.

(2) 뮤텍스 생성

감염대상 PC에 대해 랜섬웨어 실행 시 파일의 중복 감염을 위해 “5ss5c_CRYPT”라는 이름의 뮤텍스를 생성한다.

(3) 토큰 생성

“C:\ProgramData\5ss5c_token” 경로에 감염된 PC를 식별하기 위한 토큰이 그림 2와 같이 생성된다. 5ss5c_token 파일이 이미 존재하면 해당 파일을 읽어 토큰으로 사용하며, 없을 경우에만 새로 생성한다. 토큰은 40 bytes 크기이며, 0-9와 A-Z 중에서 랜덤하게 선택한다.

Fig. 2.

5ss5c ransomware token

(4) 암호키 생성

암호키 생성과정은 그림 3과 같다. random_device 함수를 통해 2 bits의 seed를 생성하여 메르센 트위스터(Mersenne Twister) 알고리즘을 통해 난수를 생성한다. 난수를 modular 80 연산을 거쳐 0부터 79까지의 정수로 계산한 후에 정수를 ASCII 값으로 대응하여 총 200 bytes의 문자열을 생성한다. 마지막으로 실행 파일 내에 고정된 문자열인 16 bytes의 “qobt<r#XC6Rm4H&A”와 생성한 200 bytes 중 상위 16 bytes를 연접하여 암호화 키로 사용한다.

Fig. 3.

Generation process of encryption key for 5ss5c ransomware

o 암호키 = qobt<r#XC6Rm4H&A || 난수 상위 16 bytes

(5) 특정 프로세스 및 서비스 종료

5ss5c 랜섬웨어는 파일 암호화를 위해 데이터베이스 관련 프로세스와 서비스들을 종료한다. 종료하는 프로세스와 서비스 목록은 표 2와 같다.

Table 2.

Process and service shutdown list

(6) 랜섬노트 생성

랜섬노트는 _如何解密我的文件_.txt로 C:\ 하위에만 생성되고 다른 경로에는 생성되지 않는다. 내용은 그림 4와 같이 중국어로 작성되어 있으며 일부 파일이 암호화되었다는 문구와 함께 1비트코인을 요구하는 내용이 포함되어있다. 마지막에는 감염 PC마다 생성하는 랜덤 값들을 암호화하여 덧붙인다.

Fig. 4.

5ss5c ransomnote

랜섬노트에 저장하는 감염 PC 관련 정보는 그림 5와 같다. 암호키 생성 시 사용되는 고정된 16 bytes의 문자열, (4)에서 메르센 트위스터 알고리즘으로 생성한 랜덤한 200 bytes의 문자열과 토큰을 순서대로 연접한다. 연접한 문자열을 실행 파일 내에 하드코딩된 공개키를 사용하여 RSA-4096으로 암호화한다. 암호화된 바이너리 값을 헥사 스트링으로 변환 후 바이트 연산을 거쳐서 나온 결괏값을 base64로 인코딩해 랜섬노트에 저장한다. 바이트 연산은 다음 수식과 같다.

Fig. 5.

Creation process of 5ss5c ransom note

o A = RSA-4096(hardcoreded string||random 200 bytes ||token)
Result = (A[i] XOR 0x19) - 0x7A ( i = 0 ~ 1024)

A[i]는 A의 i번째 1 byte 값을 의미한다. 최종적으로 base64로 인코딩된 값을 랜섬노트에 저장한다.

(7) 파일 암호화

5ss5c 랜섬웨어는 암호화 전에 감염대상 컴퓨터의 디스크에서 암호화 대상 디렉터리를 선정하여 “C:\ProgramFiles\CommonFiles\System\tmp” 경로에 그림 6과 같이 저장한다.

Fig. 6.

Selecting a directory to be encrypted

암호화 제외 대상 디렉터리와 확장자 목록은 표 3과 같다. 윈도우 및 시스템 관련 디렉터리와 중국의 인터넷 보안 회사인 Qihoo360과 관련된 디렉터리는 암호화에서 제외한다.

Table 3.

List of directory and extension to encryption exclusion

파일 암호화에 대한 자세한 과정은 그림 7과 같다. AES-256-ECB를 이용해 파일 암호화를 수행하며, 패딩을 사용하지 않아 마지막 블록이 16 bytes보다 작은 경우 원본 데이터를 보존한다. 암호화를 마치면 암호화된 데이터 뒤에 (4)에서 생성한 200 bytes를 하드코딩된 공개키를 사용하여 RSA-4096으로 암호화한 값을 덧붙여 감염된 파일을 완성한다. 감염된 파일명은 ‘[5ss5c@mail.ru]원본 파일명.원본 파일 확장자.토큰.5ss5c’이다.

Fig. 7.

Encryption process of 5ss5c ransomware

Immuni 랜섬웨어의 전체 동작 과정은 그림 8과 같다.

Fig. 8.

Operation process of Immuni ransomware

(1) 실행 파일 위치 변경

Immuni 랜섬웨어는 “C:\<username>\Rand123” 경로로 실행 파일의 위치를 변경하고 이름을 local.exe로 변경한다. 감염 종료 후에도 실행 파일은 삭제되지 않는다.

(2) 패스워드 생성

패스워드는 암호키와 IV 생성 시 사용되며, 생성과정은 그림 9과 같다. Random 함수를 통해 생성한 4 bytes의 tickcount를 seed로 사용한다. 이를 통해 알파벳 소문자, 대문자, 숫자와 일부 특수문자를 포함한 62개의 문자열에서 15개가 랜덤하게 선택된다. 이때 초기 seed가 동일하면 항상 같은 15자리의 문자열이 생성된다.

Fig. 9.

Password generation process of Immuni ransomware

(3) 암호키 및 IV 생성

암호키와 IV를 생성하는 과정은 그림 10과 같다. (2)에서 생성한 패스워드를 SHA-256을 통해 해시값을 계산한다. 계산한 해시값은 키 유도 함수인 PBKDF2 함수의 입력값으로 사용한다. salt는 0x0102030405060708가 고정으로 사용되며, iteration은 1,000회이다. 최종 결괏값의 상위 32 bytes는 암호키로 사용하며, 다음 16 bytes는 IV로 사용한다.

Fig. 10.

Encryption and IV generation process of Immuni tansomware

(4) 파일 암호화

C 드라이브를 대상으로 암호화가 진행되며, 자세한 암호화 대상 경로 및 확장자는 표 5와 같다.

Table 5.

List of path and extension to encryption

최종적으로 그림 11과 같이 AES-256-CBC 암호 알고리즘과 PKCS7 패딩을 사용하여 파일 암호화를 진행한다. 암호화 후 파일명은 ‘원본 파일명.원본 파일 확장자.fuckunicornhtrhrtjrjy’이다.

Fig. 11.

Encryption process of Immuni ransomware

(5) 랜섬노트 생성

파일 암호화를 완료한 후 바탕화면에 READ_IT.txt 파일명으로 그림 12와 같이 랜섬노트가 생성된다. 파일 복호화를 위해 300유로를 요구하며 비트코인 주소와 공격자의 메일 정보가 포함되어 있다.

Fig. 12.

Immuni ransom note

(6) 바탕화면 변경 및 패스워드 전송

Immuni 랜섬웨어는 감염 후 그림 13과 같이 코로나 감염 현황 차트를 띄워주고 바탕화면을 변경한다. 바탕화면 이미지는 “https://i.imgur.com/6bDNKfs.jpg”에서 다운로드하여 “C:\<username>\ransom.jpg”에 저장한다.

Fig. 13.

Wallpaper after infected Immuni ransomware

이후에 암호키 생성 시 사용한 패스워드, computername과 username을 “http://116.203.210.127/write.php”로 전송한다. 감염대상 PC가 네트워크에 연결되어 있지 않은 경우에는 바탕화면이 변경되지 않으며, 패스워드도 전송되지 않는다.

5ss5c 랜섬웨어는 감염 후에 볼륨 섀도 복사본을 삭제하지 않는다. 볼륨 섀도 복사본이 활성화되어 있으며, 랜섬웨어 감염 이전 시점에 대한 파일이 저장된 경우 원본 파일을 복구할 수 있다. 볼륨 섀도 복사본 파일은 Shadow Explorer 프로그램을 통해 분석할 수 있다. Shadow Explorer 프로그램은 Windows Vista/7/8/10에서 생성한 볼륨 섀도 복사본에 접근 가능하게 해주는 프로그램이다[10]. 이를 통해 원본 파일을 획득할 수 있다. 감염 후 볼륨 섀도 복사본을 통해 원본 파일을 획득한 모습은 그림 14와 같다.

Fig. 14.

Recovering 5ss5c ransomware through Shadow Explorer

Immuni 랜섬웨어는 감염 후에 볼륨 섀도 복사본을 삭제하지 않는다. 따라서 볼륨 섀도 복사본을 통해 그림 15와 같이 원본 파일을 획득할 수 있다.

Fig. 15.

Recovering Immuni ransomware through Shadow Explorer

파일 암호화 후에 암호키 영역에 대해 메모리 제로화를 수행하지 않는다. 또한, 감염 종료 후에 실행 파일을 삭제하지 않으므로 해당 프로세스에 대한 메모리 덤프를 획득할 수 있다. 메모리 덤프 내에 암호화 키와 IV가 남아있으며, 구조는 그림 16과 같다. 고정값인 0x004A6804 뒤에 암호키 또는 IV의 길이가 저장되며, 이후에 실제 암호키 또는 IV 값이 존재한다. 메모리 덤프에서 암호키와 IV를 획득하여 AES-256-CBC 암호 알고리즘으로 파일을 복호화할 수 있다.

Fig. 16.

Structure of Immuni ransomware’s memory dump

패스워드 생성 시 사용하는 seed는 tickcount 값을 사용하는데, 0부터 2,147,483,647 사이의 값을 사용하기 때문에 2³¹ 계산량으로 전수조사할 수 있다. seed를 전수조사한 후 알려진 확장자를 가진 암호화된 파일을 이용해 키를 찾는다. 본 논문에서는 JPG 파일을 이용하였다. 자세한 과정은 그림 17과 같다. seed 전수조사를 통해 암호키와 IV를 계산하고 하나의 암호화된 JPG 파일을 AES-256-CBC 암호 알고리즘으로 복호화한다. 복호화한 파일의 상위 4 bytes가 JPG 시그니처인 0xFFD8FFE0과 동일하면, 암호키와 IV를 올바르게 획득하였다고 간주하고 전체 파일에 대해 복호화를 수행한다.

Fig. 17.

Recovery method through brute forcing of seed

본 논문에서는 위의 과정을 PoC 구현을 통해 복호화 가능함을 확인하였다.

Fig. 18.

Decryption process verification completed through PoC