랜섬웨어에서 메모리 덤프를 통한 파일 복호화에 관한 연구

Abstract

랜섬웨어는 2013년을 기점으로 급격하게 늘어나고 있다. 랜섬웨어는 사용자의 파일을 암호화하고 복호화하는데 돈을 요구하고 있다. 이렇게 파일이 암호화된 경우 복호화를 하기 위해서는 공격자에게 돈을 송금하거나 공격자를 체포해 키를 알아내는 방법이 주로 사용된다. 하지만 두 가지 방법 모두 성공할 확률이 낮으며 복호화를 하기 위해 키를 무작위 대입으로 찾는 방법만 남게 되며 이 경우는 키를 찾는데 아주 오랜 시간이 걸린다는 단점이 존재한다. 그렇지만 랜섬웨어에 의해 암호화가 진행되고 있는 도중에는 암호화에 사용되는 키가 메모리에 저장되어 있을 확률이 높다. 따라서 메모리 덤프를 통해 복호화 키를 추출하고 암호화된 파일을 복호화할 수 있을 것이다. 본 연구에서는 2017년 유명한 랜섬웨어인 WannaCry를 인위적으로 감염시키고 메모리를 덤프해 분석하였다. 해당 연구를 위해 WannaCry의 암호화 방식과 감염 구조에 관해 사전 연구가 필요하다. 메모리 덤프를 분석해 복호화 키를 추출하고, 이를 응용해서 다른 랜섬웨어에서도 사용할 수 있는지에 대해 연구하였다.