랜섬웨어 복호화 툴

※ CryptXXX2.0 랜섬웨어가 CryptXXX3.0으로 업데이트되면서 해당 복호화방법으로는 프로그램 실행시 오류로 인해 복원이 되지 않고 있습니다. 이 점 참고하시기 바라며, 2.0버전에 감염되셨다면 정상적으로 복원이 되시는 분들도 있기 때문에 해당 방법으로 진행 해보시기 바랍니다.

글로벌 보안 업체인 카스퍼스키 랩(Kaspersky Lab)에서 CryptXXX2.0 랜섬웨어를 복호화 하는 프로그램를 공개하였습니다. 

기존 복호화프로그램 공개 이후 CryptXXX 랜섬웨어가 CryptXXX2.0으로 업데이트되면서 정상적인 복호화가 불가능하였지만 

5월 20일 복호화프로그램의 업데이트로 인해 복호화가 가능합니다.

이에 랜섬웨어침해대응센터에서는 해당 랜섬웨어로 암호화된 파일을 가지고 계신 분들에게 도움을 드리고자 공지합니다.

본 과정은 CryptXXX2.0(.crypt)만 적용되며, 이외에 다른 랜섬웨어는 적용되지 않습니다.
암호화된 파일과 원본파일을 통해 키를 추출하여 복호화하는 과정이며 OS:Windows7 64bit CPU:intel-i5 RAM:8GB 환경에서 테스트하였습니다. 
본 과정은 카스퍼스키 랩에서 제공한 프로그램으로 진행하며, 방법만 제시할 뿐 복호화 되지 않거나 파일이 훼손되는 것에 대해 책임지지 않습니다.

반드시 복사본으로 시도하시기 바랍니다.  

(출처: http://support.kaspersky.com/viruses/utility)

​ 복호화 진행절차

1. 바탕화면에 decrypt 폴더 생성

2. RannohDecryptor 다운로드

→ http://support.kaspersky.com/viruses/utility​ 접속 후 RannohDecryptor Version 1.9.1.0 EXE 파일 다운로드

→ 사용자 라이센스 동의창이 뜨며, 프로그램은 영구적으로 제공하지만 해당 프로그램에 대한 기술지원과 책임은 

지지 않겠다라는 내용과 프로그램 수정 및 분석 등으로 권리를 침해하면 안된다라는 내용이 명시되어 있습니다.

→ 사용자 라이센스 동의 내용에 동의할 경우 I accept the terms in End User Agreements(사용자 라이센스 동의) 

항목에 체크 후 활성화된 Download 클릭

→ 다운 받은 rannohdecryptor.exe 파일을 저장하여 바탕화면 decrypt 폴더로 이동

3. 복호화 시 필요한 감염파일 가져오기

→ crypt로 확장자가 변조된 파일을 decrypt 폴더로 이동

※ 테스트 결과, 복구 시 사용된 감염파일 용량 이상의 파일은 해독이 불가하므로 감염된 파일(.crypt) 중 

   가장 큰 용량의 파일을 사용하시기 바랍니다. 또한 한글파일(.hwp), 텍스트파일(.txt)에 대해서는 정상

   적인 복원이 어려우실 수 있으니 이 점 참고하시기 바랍니다.

4. 복호화 프로그램(rannohdecryptor.exe) 실행 

→ Start scan 버튼을 클릭하여 감염파일 복원을 진행합니다.

※ 해당 프로그램으로 정상적인 복원이 되지 않을 수도 있으며, 정상적인 작동 여부를 확인하기 위해 일부 파일

로 먼저 진행해보는게 좋다고 메시지창 하단에 명시되어 있습니다. 꼭 일부 파일의 복사본으로 진행하시거나 백

업본을 만드신 후 진행하시기 바랍니다.

  - change parameters : 복원진행 시 옵션을 선택합니다.

→ change parameters 클릭 시 Settings 창이 뜨며, 옵션을 선택할 수 있습니다.

  - Objects to scan : 복원할 파일 스캔 시 하드디스크, 이동식디스크, 네트워크 드라이브 중 체크된

    항목에 대해서만 진행합니다.

  - Additional options : 항목에 체크 시 복원 후 감염된 crypt 파일을 삭제합니다.

→ Start scan​ 버튼 클릭 시 파일 선택창이 나옵니다. 감염된 crypt 파일을 선택합니다.

→ 복호화에 소요되는 시간은 오래 걸릴 수 있으며, 완료되기 전까지 PC와 프로그램 종료를 하지말라는 내용의

경고창이 나옵니다. OK 버튼을 클릭하여 복호화를 진행합니다.

→ 복원이 진행되며 Object 에서 현재 Decrypted되는 파일 경로를 보여줍니다.

​→ 복원이 완료되면 Scan completed로 메시지가 바뀌며, 암호화된 파일개수와 복원된 파일개수가

명시됩니다.(해당 프로그램은 지정한 감염파일 용량 이상의 파일은 복구되지 않습니다.)

 - Report : 복원 로그를 보여줍니다.

 - details : 복원이 진행된 파일들의 경로와 결과를 보여줍니다.

→ Report 클릭 시 화면​

→ details 클릭 시 화면​

​