[S2W LAB] Analysis of Clop Ransomware suspiciously related to the Recent Incident

Date: 2020-11-23

Last Modified : 2020-12-02

최근 발생한 침해사고와 관련된 것으로 추정되는 Clop 랜섬웨어를 확보하여 분석 진행하였으며 그 결과

에 대한 요약은 아래와 같음

기존 Clop 랜섬웨어의 경우, 암호화된 파일의 내부 컨텐츠와 확장자를 변경하고 암호화키는 파일의 마지

막에 저장하였으나 변종 Clop의 경우 암호화된 파일별로 별도 키파일을 생성하여 암호화키를 저장해둠

키파일 확장자 : .cllp

키파일 헤더 : Cllp^_-

랜섬노트 (Ransom Note) 확인결과, 다크웹 상에서 유출 데이터를 공개하는 기존 Clop 랜섬웨어의 유출 사 이트에 있는 컨택 포인트(Email)와 동일함을 확인

동일한 서명 정보를 갖는 Clop Ransomware를 Virustotal에서 추가 발견 (Build time: 11월 21일) 정확한 유포 방식은 현재 조사 중으로 확인된 바 없으나 과거 Clop Ransomware 공격 사례…