REvil Ransomware (Redline)

1. 사전 준비

• Redline 다운로드
• https://fireeye.market/apps/211364

• 메모리 덤프 다운로드 (비밀번호 infected)
• https://api.letsdefend.io/download/downloadfile/Ransomware-Analysis.zip

2. 풀이

• System Information에서 운영체제 확인

• System Information에서 유저 정보 확인

• File Download History에서 출처가 의심스러운 파일 확인

• 해당 파일을 다운받은 폴더에서 수상한 파일 확인

• 해당 파일의 해쉬값을 VirusTotal에서 검색

• Details 창으로부터 해쉬값 확인

• 바탕화면 폴더로부터 수상한 확장자의 파일 확인

• 제공된 파일의 랜섬 노트에서 확인

• 제공된 파일의 랜섬 노트에서 확인

• JOESandbox에서 md5 해쉬값으로 검색 > View Entry > IOC Report
• https://www.joesandbox.com/search?q=94d087166651c0020a9e6cc2fdacdc0c
• https://www.joesandbox.com/analysis/443860/0/iochtml

• Processes에서 명령어 확인

• JOESandbox에서 md5 해쉬값으로 검색 > View Entry > Full Report
• https://www.joesandbox.com/search?q=94d087166651c0020a9e6cc2fdacdc0c
• https://www.joesandbox.com/analysis/443860/0/html

• Mitre Att&ck Matrix에서 Impact의 Data Encrypted for Impact 선택

• ID Ransomeware에서 랜섬노트로 검색
• https://id-ransomware.malwarehunterteam.com/identify.php?case=4db62ef4c3fd237861049daeb027d98fd5f77276

참고

Getting Started to LetsDefend

Register to soc analyst/incident response training platform

https://app.letsdefend.io/challenge/revil-ransomware

LetsDefend’s DFIR Challenge: REvil Ransomware Walk-Through - Cyber Gladius

LetsDefend’s DFIR challenge walk-through of the REvil ransomware challenge! Everything you need to know to complete the DFIR challenge.

https://cybergladius.com/letsdefends-dfir-challenge-revil-ransomware-walk-through/