Cerber

1. 개요 및 특징

Attention! Attention! Attention! Your documents, photos, databases and other important files have been encrypted!(×5)
주의! 주의! 주의! 당신의 문서, 사진, 데이터베이스와 다른 중요한 파일들이 암호화되었습니다!(×5)[1]

---

해당 랜섬웨어 감염시 나오는 목소리

1.1. 버전 분류: 확장자

1.2. 버전 분류: 바탕 화면[7]

2. 감염경로

3. 방어 및 복호화

4. 랜섬웨어 유포 조직 검거

[ 펼치기 · 접기 ]

>[ 루마니아 경찰, CTB Locker와 Cerber 랜섬웨어 유포 혐의로 5명 체포 ]

---

루마니아 경찰은 최근 몇 년 동안 두 개의 악명 높은 랜섬웨어 제품군인 Cerber와 CTB Locker를 확산[9]시켜 수만 대의 컴퓨터를 감염시킨 혐의를 받고 있는 다섯 명의 개인을 체포했다.
유로폴[10]이 실시한 주요 글로벌 경찰 작전인 바코비아 작전(Operation Bakovia)에 따라 FBI와 루마니아, 네덜란드, 영국의 법 집행기관이 동(東)루마니아에 있는 주택 6채를 압류하고 5명을 체포했다고 유로폴이 19일(현지시간) 밝혔다.
당국은 이번 압수수색에서 상당량의 하드 드라이브, 외장 스토리지, 노트북, 암호채굴 장치, 수많은 문서, 수백 개의 SIM 카드를 압수했다.
한 가지 주목할 점은 다섯 명의 용의자들 모두가 악명 높은 랜섬웨어 변종을 개발하거나 유지한 것이 아니라, CTB Locker와 Cerber를 퍼뜨린 혐의를 받고 있다는 점이다.[11]

CryptoLocker를 기반으로 한 CTB Locker는 2016년 가장 널리 보급된 랜섬웨어 제품군로, Tor 익명화 네트워크[12]를 이용해 명령과 제어 서버를 숨긴 최초의 랜섬웨어였다.
2016년 3월 등장한 Cerber 랜섬웨어는 랜섬웨어 서비스화(RaaS)[13] 모델로 활동하며, 이를 통해 해커가 될 사람이면 몸값의 40%를 받는 대가로 악성코드를 퍼뜨릴 수 있다.

CTB Locker는 범죄자들이 몸값으로 2,700만 달러를 벌 수 있도록 도운 반면, Cerber는 구글에 의해 2017년 7월에 690만 달러를 벌어들인 가장 범죄 수익성이 높은 랜섬웨어로 선정되었다.
대부분의 랜섬웨어와 마찬가지로, CTB Locker와 Cerber 유통업체들은 피싱 이메일이나 키트 같은 가장 일반적인 공격 벡터를 사용하고 있었다.

유로폴은 보도자료를 통해 "2017년 초 루마니아 당국이 네덜란드 고등기술범죄수사단[14] 등으로부터 루마니아 국적자들이 스팸메일을 보내는 데 개입했다는 상세한 정보를 입수했다"고 밝혔다.
"이 스팸 메시지는 컴퓨터 시스템을 감염시키고 크라이트로니(Critroni)로도 알려진 CTB-Locker 랜섬웨어를 통해 데이터를 암호화하려는 의도였다. 각 이메일에는 첨부 파일이 있었는데, 종종 보관된 송장의 형태로 악의적인 파일이 들어 있었다. 이 첨부 파일이 윈도우즈 시스템에서 열리면 멀웨어는 감염된 장치에서 파일을 암호화한다."
당국은 아직 체포된 사람들의 실제 신원을 공개하지 않았지만, 유로폴은 체포된 사람들의 모습을 담은 극적인 영상을 공개했는데, 그곳에서 무장한 경찰관들이 용의자들의 거주지를 습격하는 장면을 볼 수 있다.

[ 원문 내용 펼치기 · 접기 ]

>[ Romanian Police Arrest 5 People for Spreading CTB Locker and Cerber Ransomware ]

---

Romanian police have arrested five individuals suspected of infecting tens of thousands of computers across Europe and the United States in recent years by spreading two infamous ransomware families—Cerber and CTB Locker.
Under Operation Bakovia—a major global police operation conducted by Europol, the FBI and law enforcement agencies from Romanian, Dutch, and the UK—raided six houses in East Romania and made five arrests, Europol said on Wednesday.
Authorities have seized a significant amount of hard drives, external storage, laptops, cryptocurrency mining devices, numerous documents and hundreds of SIM cards during the raid.
One thing to note is that all of the five suspects were not arrested for developing or maintaining the infamous ransomware strains, but for allegedly spreading CTB Locker and Cerber.

Based on CryptoLocker, CTB Locker, aka Critroni, was the most widely spread ransomware families in 2016 and was the first ransomware to use the Tor anonymizing network to hide its command and control servers.
Emerged in March 2016, Cerber ransomware works on ransomware-as-a-service (RaaS) model that helped it to gain widespread distribution, allowing any would-be hacker to spread the malware in exchange for 40% of each ransom amount paid.

While CTB Locker helped criminals made $27 million in ransom, Cerber was ranked by Google as the most criminally profitable ransomware that helped them earned $6.9 million up in July 2017.
As with most ransomware, CTB Locker and Cerber distributors were using the most common attack vectors, such as phishing emails and exploit kits.

"In early 2017, the Romanian authorities received detailed information from the Dutch High Tech Crime Unit and other authorities that a group of Romanian nationals was involved in sending spam messages," Europol said in its press release.
"The spam messages intended to infect computer systems and encrypt their data with the CTB-Locker ransomware aka Critroni. Each email had an attachment, often in the form of an archived invoice, which contained a malicious file. Once this attachment was opened on a Windows system, the malware encrypted files on the infected device."
Although the authorities did not release the actual identities of the arrested individuals yet, Europol released a dramatic video of the arrests, where you can see how armed officers stormed the suspects' residence.

4.1. 복호화 툴이 나올 가능성

5. 후속 랜섬웨어 Magniber