Avaddon 랜섬웨어, 활동 중단 후 복호화 키 공개해

 

 

Avaddon ransomware shuts down and releases decryption keys

 

Avaddon 랜섬웨어 그룹이 운영을 중단하고 Bleeping Computer 측에 피해자의 복호화 키를 공개했습니다.

 

11일 아침, Bleeping Computer에서는 FBI로 위장한 한 익명 제보를 받았습니다. 해당 제보에는 비밀번호로 보호된 ZIP 파일로 연결되는 링크와 비밀번호가 포함되어 있었습니다.

 

해당 파일은 "Avaddon 랜섬웨어의 복호화 키"라 되어있었으며 아래 파일 3개를 포함하고 있었습니다.

 

 

<이미지 출처 : https://www.bleepingcomputer.com/news/security/avaddon-ransomware-shuts-down-and-releases-decryption-keys/>

<BleepingComputer에 공유된 Avaddon 복호화 키>

 

 

여러 연구원들이 해당 파일을 확인한 결과 이 복호화 키는 진짜인 것으로 나타났습니다.

 

BleepingComputer는 Emsisoft에서 공유한 테스트 복호화 툴을 통해 최근 Avaddon 샘플로 암호화된 가상 머신을 복호화하는 데 성공했습니다.

 

범죄자들은 복호화 키 총 2,934개를 공유했으며, 각 키는 특정 피해자에 할당됩니다.

 

Emsisoft는 모든 피해자가 무료로 파일을 복구할 수 있는 무료 복호화 툴을 공개했습니다.

 

자주는 아니지만, 랜섬웨어 그룹은 운영을 종료하거나 새로운 버전을 출시할 때 여러 연구원에게 복호화 키를 공유하는 경우가 있었습니다.

 

과거에도 TeslaCrypt, Crysis, AES-NI, Shade, FilesLocker, Ziggy, FonixLocker용 복호화 키가 공개되었습니다.

 

Avaddon 랜섬웨어 운영 중단

 

Avaddon 랜섬웨어는 2020년 6월 활동을 시작해 아래의 윙크 이모티콘이 포함된 피싱 캠페인을 통해 확산되었습니다.

 

 

<이미지 출처 : https://www.bleepingcomputer.com/news/security/avaddon-ransomware-shuts-down-and-releases-decryption-keys/>

<Avaddon 피싱 이메일>

 

 

시간이 지남에 따라, Avaddon의 규모는 더욱 커져 FBI와 호주 법 집행부에서 최근 해당 그룹과 관련된 보안 권고를 발표하기에 이르렀습니다.

 

현재 Avaddon의 모든 tor 사이트는 접근할 수 없는 상황이기 때문에, 랜섬웨어 운영이 종료되었을 가능성이 있습니다.

 

또한 랜섬웨어 협상 회사 및 사건 대응자들은 Avaddon 랜섬웨어가 최근 며칠 동안 랜섬머니를 지불하지 않은 피해자가 지불을 완료하도록 협박하는 것을 목격했다고 밝혔습니다.

 

Coveware의 CEO 인 Bill Siegel은 Avaddon의 평균 랜섬머니가 약 60만 달러 수준이라고 밝혔습니다.

 

Avaddon의 서비스가 중단된 이유는 분명하지 않지만, 최근 주요 인프라에 대한 공격 이후 전 세계 법 집행기관과 정부가 압력을 가했기 때문인 것으로 추정됩니다.

 

최근 Colonial Pipeline 및 JBS에 실행된 공격으로 인해 랜섬웨어는 미국 정부의 우선순위 목록에 올랐습니다.

 

대규모 랜섬웨어 작업 대부분이 러시아나 다른 CIS 국가에서 운영되는 것으로 추정되기 때문에, 바이든 대통령은 6월 16일 제네바 정상회담에서 푸틴 러시아 대통령과 최근 발생한 랜섬웨어 공격에 대해 논의할 예정인 것으로 알려졌습니다.

 

 

 

 

 

출처:

https://www.bleepingcomputer.com/news/security/avaddon-ransomware-shuts-down-and-releases-decryption-keys/

https://www.emsisoft.com/ransomware-decryption-tools/avaddon