안녕하세요 워너크라이 랜섬웨어를 조사한 4조 이희은 이재경 신정민 윤소영 송지은입니다.

우선 워너크라이가 무엇인지 설명해드리겠습니다.

워너크라이란 17년 5월 12일에 발생한 랜섬웨어 일종으로 사용자의 중요 파일을 암호화한 뒤 이를 푸는 대가로 금전(비트코인)을 요구합니다,

워너크라이의 최초유포경로는 밝혀지지 않았지만 SMB취약점을 이용하여 스피어 피싱 또는 해킹된 웹 사이트 방문으로 감염되었을 것으로 추정됩니다

워너크라이가 빠르게 확산된 이유중 하나는 MS 사용자들이 17년 3월에 MS사가 프로그램 수정을 발표한 뒤에도 자기들의 소프트에어를 신속하게 업데이트 하지 않았기 때문입니다. 그 동안 악성코드들은 각국 정부의 전산망등을 통해 널리 퍼져 나갈 수 있었습니다.

우리나라에서는 5월 13일부터 15일 오후까지 총 13건의 피해사례가 접수되었고 그중 기업 9곳이 실제로 감염되었고 피해를 입은 시스템은 윈도우즈 서버 2008, 윈도우즈 7 및 윈도우즈 XP 운영체제입니다.

그에대한 대처로 과학기술정보통신부와 한국인터넷지능원kisa가 민관 협력 대응을 하여 워너크라이로 인한 대규모 피해는 없었습니다.

감염확산방식을 먼저 간단히 말씀드리자면 임의의 ip를 생산한 후 해당 ip대상으로 smb 포트에 대한 스캔을 하여 취약점이 존재할 경우 worm 형태와 유사하게 자기 자신을 복사 및 실행시키는 과정을 반복합니다.

감염된 시스템은 특정 확장자를 가지는 내부 파일들이 .WNCRY로 변경되고 파일이 암호화되어 실행이 불가능 해지며 감염시스템 화면에 워너크라이 랜섬웨어에 감염됐음을 안내해주는 텍스트 파일과 해커들에게 돈을 보내고 복호화키를 받을 수 있는 프로그램파일을 생성합니다. 백신이나 기타의 이유로 랜섬노트를 여는 프로그램이 삭제되었을 경우 해당 프로그램을 복구하라고 쓰여있습니다. 랜섬노트에는 상황설명, 복구방법, 비트코인을 보낼 주소, 해커가 요구가 금액, 해커와 연락을 하거나 결제 유효시간 등이 표시됩니다.

5월 13일에 킬 스위치 기능을 찾아 확산이 잠시 주춤하였으나 다음날 킬스위치를 뚫을 2.0버전이 등장했습니다.