역공학을 통한 Bianlian 랜섬웨어 복호화 방안 연구 (A Study on the Decryption of Bianlian Ransomware through Reverse Engineering)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 17권 / 3호 / 135 ~ 145페이지
· 저자명 : 차해성, 서승희, 이창훈

초록

랜섬웨어 피해는 국내외에서 지속적으로 증가하며, 피해 금액도 상승하는 추세이다. 본 연구는 최신 랜섬웨어 Bianlian의 특성을 분석해 효과적으로 대응하는 복호화도구 개발을 목표로 한다. Bianlian 랜섬웨어는 하드웨어 구현된 AES 256-CBC(Cipher Block Chaining) 알고리즘을 암호화에 악용하며, Go 언어의 goroutine을 이용하여 기존 랜섬웨어보다 더 신속하게 시스템을 장악한다. 또한, 파일 암호화 과정이 끝나면 랜섬웨어의 실행파일 삭제 및 메모리 제로화를 통해 Key(암호화 키) 및 IV(Initialization Vector, 초기화 벡터)의 획득 및 파일복구를 방해한다. 이러한 특성은 피해자의 데이터 손실 가능성을 크게 높이고 있다. 본 연구에서는 역공학을 통해 Bianlian 랜섬웨어의 동작 원리 및 암호화 과정을 상세히 분석하였으며, 이를 바탕으로 Bianlian 랜섬웨어의 동작을 탐지하고 메모리에서 암호화에 사용된 Key 및 IV를 추출하여 감염된 파일을 복구하는 방안을 제안한다. 실험 결과, 본 논문에서 개발한 복호화 도구는 확보된 Key와 IV로만 감염된 파일의 복호화를 수행하는 기존 도구의 제한점을 극복하였다. 이 연구의 결과는 Bianlian 랜섬웨어의 특성을 활용하여 기존 도구 대비 3배 더 빠른 복구 속도를 보임으로써 랜섬웨어 공격에 대한 효과적인 대응책을 제시하였다.

영어초록

Ransomware damage is steadily increasing both domestically and internationally, and the amount of damage is also on the rise. This study aims to develop a decryption tool to effectively counter the latest ransomware, the Bianlian ransomware, by analyzing its characteristics. Bianlian exploits the hardware-implemented AES 256-CBC(Cipher Block Chaining) algorithm for encryption and uses Go language's goroutines to seize the system faster than previous ransomware. After the file encryption process, it deletes execution file of the ransomware and performs memory zeroing, obstructing the acquisition of the encryption Key and IV (Initialization Vector). These characteristics significantly increase the possibility of data loss for victims. In this research, we have thoroughly analyzed the operating principle and encryption process of Bianlian through reverse engineering. Based on this, we propose a method to detect Bianlian's operation and extract the Key and IV used for encryption from memory to recover the infected files. Experimental results show that the decryption tool developed in this study overcame the limitations of existing tools that only performed decryption with the secured Key and IV. The outcomes of this research demonstrated a recovery speed three times faster than existing tools by leveraging the characteristics of Bianlian ransomware, thereby providing an effective countermeasure against ransomware attacks.

참고자료

· 없음