본문 바로가기

악성코드 정보

Magniber 랜섬웨어 복구툴 (랜덤벡터 복구기능 포함)

기존의 메그니베르(Magniber) 랜섬웨어 복구툴을 GUI형태로 개선하였으며, 4 8일부터 확인된 가변적 벡터로 인해 복구가 불가능한 부분을 지원한다. (, 확장자, 키 정보와 함께 암호화/복호화 파일 쌍이 존재하는 경우로 제한)


새로운 복구툴은 아래와 같은 화면이며, 암호화 확장자 정보만 입력하면 해당하는 키(Key), 벡터(IV)정보가 보여지는 구조를 갖는다. 확장자에 대한 키, 벡터정보는 복구툴 내부에 "magniber.db" 이름의 데이터베이스 파일로 관리되며 지속적으로 업데이트하여 제공할 예정이다. 만약, 확장자 입력 후 키, 벡터정보가 보여지지 않으면 복구가 불가능한 것으로 "magniber.db" 파일이 업데이트가 되어야 한다.



[복구툴 사용방법]


1) 감염된 PC“MagniberDecrypt.exe” 파일을 다운로드 및 실행합니다.

- 복구 시 드라이브를 자동으로 탐색하기 때문에 설치 경로는 중요하지 않습니다.



2) 복구툴 실행 시, 같은 경로에 설치파일이 포함된 폴더가 생성되고, 자동으로 프로그램이 실행됩니다. 프로그램 창이 뜨면 암호화 확장자를 입력하는 부분에 암호화된 파일의 확장자를 입력하고 확인버튼을 누릅니다.



사례(1) : 확장자 입력 시 KeyIV 값 모두 표시


확장자를 입력하고 확인버튼을 눌렀을 때 KeyIV 값이 존재하는 경우, “Start” 버튼을 누르면 자동으로 파일을 복구합니다. 암호화된 파일은 삭제되지 않습니다. 이에 복호화를 위한 별도의 용량을 확보해 두어야 합니다.




사례(2) : 확장자 입력 시 Key 값만 존재 (IV 값 없음)


아래의 그림에서 처럼 확장자를 입력했을 때 Key 값만 존재하는 경우, 원본 파일과 암호화된 파일이 필요합니다. 원본 파일은 랜섬웨어 감염 시 접속되는 페이지에서 제공하는 복구 작업을 통해 얻어야 합니다 일정시간이 지나면 해당 서비스 페이지에 접속이 불가능하니 감염 시점에 복구 파일을 백업해 둘 필요가 있습니다.


ASEC블로그: http://asec.ahnlab.com/1127 (참고)



원본 파일과 감염된 파일 한 쌍이 확보된 경우, 복구툴 원본 파일”, “암호화 파일에 각각의 파일 경로를 입력합니다. “…” 버튼 클릭 시 파일을 선택할 수 있습니다. 입력 후 “Start” 버튼을 누르면 자동으로 파일을 복구합니다. 감염 파일은 삭제되지 않습니다.




사례(3) : 확장자 입력 시 지원하지 않는다는 경고 창 생성 (magniber.db 파일 업데이트 필요)

 

1) 확장자 입력 시 아래 그림과 같은 경고창이 발생하는 경우게시글에 첨부된 "magniber.db" 파일 업데이트가 필요합니다. "magniber.db" 파일은 확장자, Key, IV 값이 저장되어 있으며 지속적으로 업데이트 될 예정입니다.




2) ASEC블로그를 통해 데이터베이스 파일이 업데이트된 경우MagniberDecrypt.exe 파일을 실행한 경로와 같은 경로에 생성된 폴더("AhnlabMagniberDecrypt") 들어가서 magniber.db 파일을 덮어씁니다.

 

[주의] 

magniber.db 파일을 업데이트 한 경우원본 MagniberDecrypt.exe”를 재 실행시키면 magniber.db 파일이 초기화됩니다따라서 복구툴을 종료하고 다시 실행시킬 경우에는 AhnlabMagniberDecrypt 폴더에 존재하는 MagniberDecrypt.exe”를 사용하세요.



사례(4) : magniber.db 가 아닌 수동으로 값을 입력해야 하는 경우

 

복구툴 우측 상단에 존재하는 “전문가용”을 체크하고 키와 벡터 정보를 직접 복구툴에 입력해줍니다입력 후 Start 버튼을 누르면 자동으로 파일을 복구합니다암호화된 파일은 삭제되지 않습니다이에 복호화를 위한 별도의 용량을 확보해 두어야 합니다.

 

*복구툴 다운로드: https://www.ahnlab.com/kr/site/download/product/productVaccineList.do

(위 페이지 접속하여 "MagniberDecrypt.exe" 파일 다운로드)


"안랩이 제공하는 전용 백신 및 랜섬웨어 복구툴은 사용자가 비영리 목적으로 다운로드하여 설치 및 이용할 수 있으나 영리적인 목적으로의 사용은 금지되어 있습니다.

만약 영리적인 목적의 이용 · 판매  · 재판매 행위가 확인될 시에는 법적 조치를 취할 수 있음을 밝혀둡니다."


[4월 19일자] - Update!!


[4월 12일자]

복구가능목록.xlsx

magniber.db



* 기존에 아래의 페이지에 [] 형태로 제공한 확장자//벡터 정보는 수량이 많아, 앞으로는 DB파일과 엑셀파일 형태로 첨부하여 제공합니다.

- http://asec.ahnlab.com/1125


* 기존 Github에 공개된 Magniber 랜섬웨어 복구관련 소스코드에서는 CHUNK_SIZE 128 바이트로 되어있으나, 현재 국내 유포되는 형태는 0x100000 바이트이다. 해당 값이 수정되지 않으면, 일부 복구된 파일 끝에 패딩 데이터가 존재하여 실행 시, 손상파일로 인식될 수 있다.

https://gist.github.com/evilsocket/b89df665e6d52446e3e353fc1cc44711


  • 이전 댓글 더보기
  • 안녕하세요. 도움 부탁드립니다ㅠㅠ
    확장자명은 raanyuhn
    raanyuhn 입니다ㅜㅜ 작년, 2018년 6월 말 경 감염되었습니다ㅠ 업 데이트 부탁드립니다. 감사합니다ㅜㅜ

  • 업데이트 부탁드립니다...ㅠㅜ
    확장자 rvlssly 입니다.
    2018년 11월 쯤 감염되었습니다....ㅠㅜ
    도와주세요.....

  • 비밀댓글입니다

  • 안녕하세요. 하 어떻게 걸렸는지도 모르게 감염 되었습니다. ㅠㅠ
    확장자가 wrmstna 입니다. 우선 방법대로
    1개 복구로 감염 파일 백업 해두고 복구 파일 받고 있는 중입니다. 8시간 이상 걸린다는데 얼마나 걸릴지느...
    우선 만들어 두면 방법이 생기는거겠죠.....
    업데이트 부탁드리겠습니다 ㅠㅠ

  • 확장자 hdawdoda 입니다. 십수년간 일해온 파일, 지금 일하는 파일 다 나릴 위기입니다. 하필 백업해둔 외장하드까지 연결되어 있었기에 다 감염된 것으로 보입니다.

    도와주세요. ㅜㅜ

  • 갑자기 HUNQPSQR 이렇게 바껴서 아무것도 안되네요ㅠ 그리고 저 위에 엑셀파일도 안열려요ㅠ

  • 안녕하세요 계속 복구툴만을 기다리고 있습니다.

    예전에 감염되었었기 때문에 벡터값이 그대로 나오고 있고요, 툴사용해서 복구해봤는데 파일크기도 같고 확장자도 그대로 인데

    파일이 열리지가 않습니다.

    파일의 확장자는 .jdakuzbrk 이고요, 텍스트 파일에

    http://3l9qh14k4yq4q71er7l.f3wjj5fonfsyqmer.onion/F0nc06C943VLX009 라는 링크가 있어서

    키를 f3wjj5fonfsyqmer , 벡터를 F0nc06C943VLX009 로 입력해서 복호화를 진행했지만 복호화가 잘 되지 않았습니다.

    꼭 도움 부탁드립니다. 파일이 필요하시면 urmall1108@naver.com 으로 메일 주시면 바로 답변드리겠습니다.

    꼭좀 부탁드립니다.

  • 56hwgdb의 확장자로 모든 파일들이 잠겼습니다.

    현지 상기 확장자의 키와 벡터가 알려지지 않아 복구가 불가능한 상태 입니다.

    도움 부탁 드립니다.

  • 확장자 WJIZFYPZ 4월26일경 감염됐습니다 부탁드립니다

  • gvuikyc 확장자로 5/18에 감염되었습니다. 꼭 업데이트 부탁드립니다.

  • 5월15일 vegnwpm확장자로 감염되어서 사진과 문서가 열리지 안네요.도움 부탁 드립니다..

  • 노트북은 jspendx, 데스크탑은 congpcej에 감염되었습니다.
    10년동안 여행다니면서 찍었던 사진이 모두 잠겨버렸습니다.ㅠㅠㅠ 제발 도와주세요.

  • gzfcqzftk 에 감염되엇습니다 ㅠㅠㅠㅠㅠ 도와주세요 ㅠㅠ

  • fomzecx 에 감염되었습니다. 도와주십시요 정말 중요한 애기들사진이 다 묶여있습니다. 비용이 너무 비쌉니다. 복원업체
    부탁드립니다.

  • 비밀댓글입니다

  • wpgatrju. 에 감염되었습니다. 당장 사용할 세무자료부터 영업자료, 가족사진까지 모든 파일을 사용할 수가 없네요. 복호화툴 부탁드립니다 ㅠㅠ

  • mdctogpwm 6월인가 7월인지 감염되었습니다. ㅜㅜ 사진 동영상 중요한 자료들 많아요. 제발 부탁드려요

  • 안녕하세요. 업데이트 부탁드립니다ㅜㅜ
    확장자명은 raanyuhn 입니다. 2018년 6월 말 경 감염되었습니다ㅠ
    업데이트 부탁드립니다. 감사합니다.

  • riobdfc 확장자로 08-14 감염되었습니다. 복구 툴 부탁드릴게요ㅠㅠㅠ
    중요한 자료가 모두다 쓸 수가 없게되어서요ㅠㅠㅠㅠ

  • 제발 도와주세요 부탁합니다. 확장자명 fhsrmt6 입니다.
    소중한 추억들이 다 날라가게 생겼네요 ㅜㅜㅜ
    제발 한번만 도와주시면 은혜 잊지않겠습니다. 감염날짜는 2019-09-03 입니다
    흑흑 ㅜㅜㅜ