영훈
(정영훈)
|
|
랜섬웨어가 확장자로 판단하지 않고 시그니처로 판단해서 감염시키면요?
이미 파일 시그니처 데이터베이스가 있습니다.
https://www.filesignatures.net
확장자를 바꾸는 것만으로는 그다지 도움될 것 같지는 않습니다.
2017-05-26 오후 4:43:05
|
|
| |
김말동
(김성원)
|
|
랜섬의 종류가 엄청나게 많습니다.
어떤 넘은 EXE, COM, DLL 빼고는 다 바꿔 버리는 넘이 있습니다.
그리고 대부분 랜섬웨어는 시그니처 검사 안합니다.
폴더내에 수정날짜를 보고 폴더 전체를 작업하는 넘이 대부분입니다.
결국 파일 바꾼다고 될일이 아닙니다.
참고만 하세요.
2017-05-26 오후 5:03:42
|
|
| |
안떠니
(이능훈)
|
|
영훈님,
시그니처도 생각해 봤는데요, 인포섹 보고서 외에 다른 보고서도 확장자로 판단한다고 쓰여져 있어서, 확장자만 생각했습니다. 랜섬 입장에서는 시그니처까지 확인할 필요성이 없었을 것 같은 생각이구요.
말동님,
폴더 내에 수정날짜를 보고, -> 이게 무슨 뜻인지요.
판단 기준이 있는건가요? 가령, 수정날짜가 오늘이거나,
최근 1년 이내의 폴더이거나...등등..
제가 작년에 당한 랜섬은 그나마 양호한거였네요..
pdf, jpg, xls, doc 만 암호화 시켰거든요.
이 유틸은 3선 방어선이라고 생각을 했습니다.
1선 - 보안업데이트 최신 유지
2선 - 백업 생활화
3선 - 이 유틸로 xls,doc,pdf,ppt 같은 파일은 보호
폴더 안 파일 전체를 바꾼다...고민이 필요한 부분이네요..ㅠㅠ
2017-05-26 오후 11:26:39
|
|
| |
영훈
(정영훈)
|
|
랜섬웨어 제작자 입장에서 확장자를 변경하는 식으로 방어를 한다면 시그니처 형태로 공격을 할거라는 의미입니다.
즉 확장자만 가지고 방어선을 구축한다라는 것이 그렇게 큰 실효성이 없을거라는 개인적인 판단이에요.
2017-05-27 오전 1:06:05
|
|
| |
coding
(권순호)
|
|
ntfs 파일시스템엔 스트림이라는 독특한 구조가 있어요.
가령 xxx.mp3 라는 파일이 있다고 할 때
앨범 자켓 이미지를 xxx.mp3 파일과는 별개로
스트림 데이타 형태로 저장할 수 있는데
탐색기에는 xxx.mp3 정규 파일만 보이고, 스트림 데이타는
노출되지 않죠.
확장자만 유효한 조건이라면
ntfs 파일시스템 스트림 구조를 이해하는 프로그램을 만들어서
이 프로그램을 통해서 액셀이나 페인트 프로그램을 실행하게 하고
액셀 페이트 같은 프로그램이 사용하는 파일 오픈 api 들을 후킹해서
ntfs 내부 구조인 스트림을 정규파일로 매핑해주는 코드를 작성해주면
되겠네요. 런섬웨어가 특별한 확장자만 유효하게 판단한다면 말이죠.
ntfs 파일시스템 내부구조를 공부해 보세요.
2017-05-27 오후 11:30:04
|
|
| |
coding
(권순호)
|
|
ntfs 파일시스템에서 디렉토리를 포함한 모든 파일들은
$MFT 엔트리를 하나씩 갖게 되는데
탐색기 같은 유저 프로그램들은 $MFT엔트리에서
처음 엔트리의 클러스터 런 리스트만 레포팅을 하고
별도의 스트림 데이타를 위한 클러스터 런 리스트는 레포팅을
하지 않아서 보이지 않게 되죠.
2017-05-27 오후 11:33:37
|
|
| |
안떠니
(이능훈)
|
|
|
|
| |
양병규
(양병규)
|
|
해독 코드가 파일에 써 있는 거 아닐까요? 저는 그렇게 생각했는데요.
아니면 컴퓨터 어딘가에 따로 저장했거나.
저도 둘째 노트북에 한 번 걸렸었는데,
다행히도 파일 내용은 안 건드리고 파일명만 수정해놨드라구요. ㅋㅋ
그냥 잡아서 확!!! ㅋㅋ
2017-05-29 오후 3:29:30
|
|
| |
델피노
(이성근)
|
|
|
|
| |
