.crypt 파일 확장명으로 파일 암호화를 수행하였던 CryptXXX 랜섬웨어(Ransomware)는 Kaspersky, 안랩(AhnLab) 보안 업체에서 제공하는 복구툴을 이용하여 CryptXXX 1.x / 2.x 버전에 대해서는 어느 정도 복구가 이루어지고 있는 상태입니다.
하지만 2016년 5월 중하순경에 유포된 CryptXXX 3.x 버전의 경우에는 이전처럼 간편하게 복구할 수 있는 복구툴이 공개되지 않은 상태이며, Trend Micro 보안 업체에서 제공하는 "Trend Micro Ransomware File Decryptor" 복구툴을 통해 매우 제한적인 복구툴을 제공하고 있습니다.
이 글에서는 Trend Micro Ransomware File Decryptor 복구툴을 이용한 1차 복구와 개별 파일에 대한 2차 복구를 통해 JPG 사진 파일을 복구할 수 있는 방법에 대해 검토해 보도록 하겠습니다.
Trend Micro Ransomware File Decryptor 복구툴을 다운로드하여 실행할 경우 파일 검사 전에 최신 버전을 이용하도록 안내하고 있으므로 이전에 다운로드한 경우에는 반드시 Trend Micro 웹사이트를 방문하여 재다운로드하시기 바랍니다.
우선 ① Select the ransomware name 메뉴에서 "CryptXXX (V1, V2, V3)" 항목을 선택하시기 바라며, Trend Micro 보안 업체에서는 해당 복구툴을 통해서는 CryptXXX 3.x 버전의 경우 전체 파일을 복구해주는 방식이 아닌 부분적인 데이터를 복호화해준다고 언급하고 있습니다.
이런 문제로 인하여 1차적으로 Trend Micro Ransomware File Decryptor 복구툴을 통해 .crypt 파일 확장명으로 암호화된 파일의 코드를 수정한 후 전문적인 파일 복구 솔루션을 이용하여 추가적인 파일 복구를 하도록 안내하고 있습니다.
랜섬웨어(Ransomware) 종류를 선택한 후에는 ② Select the encrypted file or folder to start decrypting it 메뉴를 실행하여 복구를 원하는 .crypt 파일이 위치한 드라이브(폴더)를 지정하시기 바랍니다.
단, 복구의 편의와 시간 절약을 위해서는 .crypt 파일을 특정 폴더 하나에 넣은 후 해당 폴더를 지정하시는 것이 효율적이라고 생각됩니다.
실제 11개의 암호화된 .crypt 파일에 대한 복구를 진행할 경우 27분이 소요되었으며, 11개 중 7개의 파일에 대한 코드 수정이 이루어졌습니다.(※ 소요 시간은 PC 환경에 따라 매우 달라질 수 있을 것으로 생각됩니다.)
CryptXXX 3.x 버전에 감염되어 .crypt 파일 확장명으로 암호화된 파일 중 복구된 파일은 doc, hwp, ppt, rtf, bmp, jpg, mp3와 같은 확장명이었습니다.
1차적으로 복구된 JPG 그림 파일을 실행할 경우 그림과 같이 정상적인 JPG 그림 파일이 아님을 알 수 있습니다.
1차적으로 복구된 JPG 그림 파일을 열어보면 헤더(Header)부터 정상이 아니며, 2차 복구를 통해 정상적인 JPG 그림 파일로 복구를 해야 하는 상황입니다.
Due to the advanced encryption of this particular Crypto-Ransomware, only partial data decryption is currently possible on files affected by CryptXXX V3. After the partial data decryption, users may have to utilize a 3rd party corrupted file recovery tool (such as the open source program JPEGSnoop*) to try and recover the full file.
An example of this would be a photo or image file that is partially recovered to show parts of the image, but not the entire image. A user would then determine if the file is critical enough to utilize a 3rd party tool or seek assistance from an 3rd party professional file recovery service.
Unfortunately, Trend Micro Technical Support will be extremely limited in any sort assistance that can be provided regarding 3rd party file recovery.
Trend Micro 보안 업체에서 밝힌 CryptXXX 3.x 버전의 경우에는 고급 암호화 기술로 인하여 완벽한 복구툴 제작이 어렵다는 점을 언급하고 있으며, 제공되는 복구툴을 이용하여 부분적인 데이터 복호화 후 전문 파일 복구 도구를 이용하라고 안내하고 있습니다.
여기에서는 언급하는 전문 파일 복구툴은 삭제된 파일을 복구해주는 그런 프로그램이 아닌 훼손된 파일을 수정하여 정상적으로 열 수 있도록 하는 프로그램을 의미합니다.
개인적으로 JPG 그림 파일에 대한 복구를 진행해 보았으며, 다양한 JPG 그림 파일 복구툴 중에서 Art Plus Digital Photo Recovery 프로그램이 가장 확실한 그림 파일 복구가 가능할 것으로 판단됩니다.
단, 해당 프로그램은 유료 제품으로 평가판에서는 복구된 파일에 대한 미리보기만 제공할 뿐 파일 복구까지는 제공하지 않습니다.
실제 복구된 JPG와 원본을 Hash값으로 비교해보면 100% 정확하게 복구가 가능할 수 있음을 확인할 수 있었습니다.
이처럼 JPG 그림 파일 뿐 아니라 암호화된 각 파일 확장명을 복구할 수 있는 전문 파일 복구 제품을 이용하여 긴급하게 복구할 필요가 있는 파일을 복구해 보시기 바랍니다.