키 재사용 공격을 통한 Ragnar Locker 랜섬웨어 감염 파일 복호화 및 활용 방안 연구
A Study on Decryption of Files Infected by Ragnar Locker Ransomware through Key Reuse Attack and Its Applications
1
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
랜섬웨어는 악성 소프트웨어로 컴퓨터에 저장된 데이터를 암호화하여 접근을 제한하고, 사용자에게 접근 권한을 대가로 금전을 요구한다. 최근 랜섬웨어는 대칭키 또는 스트림 암호 알고리즘을 사용하여 피해자의 파일을 암호화하고, 해당 암호키를 공격자의 공개키로 암호화하는 하이브리드 암호 시스템을 사용한다. 대부분 랜섬웨어는 파일 암호화 시 안전하다고 알려진 AES 알고리즘을 사용하며, 일부 랜섬웨어에서 Salsa20과 같은 스트림 암호를 사용한 경우도 발견된다. 모두 안전성이 확인된 알고리즘이지만, 공격자가 잘못 설계하는 경우 암호학적 취약점이 발생한다. 2019년 하반기에 등장한 Ragnar Locker 랜섬웨어는 하이브리드 암호 시스템을 사용하지만, 파일 암호화 시 스트림 암호에 동일한 키를 반복 사용함으로 취약점이 발생했다. 본 논문에서는 키 재사용 공격을 활용하여 공격자의 개인키 없이 감염된 데이터의 복호화 방안과 해당 취약점을 활용할 수 있는 방안을 제시한다.
Abstract
Ransomware is malicious software that restricts access by encrypting data stored in a computer, and demands money in return for access rights. Ransomware has recently been using a hybrid encryption scheme that combines both symmetric and asymmetric algorithms. The symmetric system is for the encryption of files of a target system and the asymmetric system is used to encrypt the symmetric key. Most ransomware uses the AES algorithm but some use a stream cipher such as the Salsa20. These algorithms are secure however the vulnerability is caused by cryptographic design flaws. Ragnar Locker Ransomware, which appeared in the second half of 2019, uses a hybrid cryptographic system, however, it is vulnerable by reusing the same key when encrypting the files. In this paper, we propose a method of decrypting infected data without a private key of the attacker by utilizing a key reuse attack and a way to apply for other applications.
참고문헌 (27)
- Bajpai, Pranshu, "A key-management-based taxonomy for ransomware", 2018 APWG Symposium on Electronic Crime Researc h (eCrime), pp.1~12 (2018), IEEE
- "2019 ransomware trends" (2019)[URL]
- "Special Security Advisor y: 'Ryuk Ransomware Targeting Organi zations Globally'" (2019)[URL]
- "Netherlands University P ays $240,000 After Targeted Ransomware Attack" (2020)[URL]
- "Ransomware gang publishes tens of GBs of internal data from LG and Xer ox" (2020)[URL]
- Rupprecht, David, "Call Me Maybe:Eavesdropping Encrypted {LTE} Calls Wi th ReVoLTE", 29th {USENIX} Security Symposium ({USENIX} Security 20) (2020)
- Continella, Andrea, "ShieldFS: a self-healing, ransomware-aware filesyst em", Proceedings of the 32nd Annual C onference on Computer Security Applica tions, pp.336~347 (2016)
- Gonzalez, Daniel, "Detection and prevention of cryptoransomware", 2017 IEEE 8th Annual Ubiquitous Computing, Electronics and Mobile Communication Conference (UE MCON), pp.472~478 (2017)
- Jung, S., "Ransomware detecti on method based on context-aware entr opy analysis", Soft Computing, 22(20), pp.6731~6740 (2018)
- Scaife, Nolen, "Cryptolock (and dro p it): stopping ransomware attacks on u ser data", 2016 IEEE 36th International Conference on Distributed Computing Sy stems (ICDCS), pp.303~312 (2016)
- Suhyeon Lee, "Ransomware protect ion using the moving target defense pers pective", Computers & Electrical Enginee ring, 78, pp.288~299 (2019)
- K. Cabaj, "Using Sof tware-Defined Networking for Ransomw are Mitigation: The Case of CryptoWall", IEEE Network, 30(6), pp.14~20 (2016)
- 김동현, "N-gram을 활용한 DGA-DNS 유사도 분석 및 APT 공격 탐지", 정보보호학회논문지, 28(5), pp.1141~1151 (2018), 한국정보보호학회[DOI]
- 이세훈, "메모리 분석을 통한 Donut 랜섬웨어 복호화 방안 연구", 디지털포렌식연구, 13(1), pp.13~22 (2019), 한국디지털포렌식학회[DOI]
- K. Lee, "Machine L earning Based File Entropy Analysis fo r Ransomware Detection in Backup Sys tems", IEEE Access, 7, pp.110205~110215 (2019)
- 이세훈, "2019년 랜섬웨어 암호화 프로세스 분석 및 복호화 방안 연구", 정보보호학회논문지, 29(6), pp.1339~1350 (2019), 한국정보보호학회[DOI]
- "Ragnar Locker ransomware attack hides inside virtual machine" (2020)[URL]
- "Energy company EDP confirms c yberattack, Ragnar Locker ransomware blamed" (2020)[URL]
- "Travel Company CWT Pays $4.5 Million USD Ransom to Ragn ar Locker Operators" (2020)[URL]
- "CMA CGM up and running again following ransomware attack" (2020)[URL]
- "Campari hit by Ra gnar Locker Ransomware, $15 million d emanded" (2020)[URL]
- "Capcom hit by Ragnar Locker ransomware, 1TB allegedly stolen" (2020)[URL]
- "Salsa20 specificati on" (2005)[URL]
- "ExitProcess function (p rocessthreadsapi.h)" (2020)[URL]
- "CryptGenRandom functi on (wincrypt.h)" (2020)[URL]
- 박진성, "포렌식 분석을 위한 LockMyPix의 미디어 파일 복호화 방안 연구", 디지털포렌식연구, 14(3), pp.269~278 (2020), 한국디지털포렌식학회[DOI]
- Jinseong Park, "A Research on App Data Decryption Using Encryption Key Reuse Vulnerability in Digital Fore nsic Perspective", CISC-W'20, pp.185~188 (2020)