ㅁ 개요

프랑스 소재 회사 Quarkslab 소속 연구원 아드리앵 기네(Adrien Guinet)가 공개한 wannakey 도구를 활용하여 윈도우 XP 환경에서 워너크라이(WannaCry) 랜섬웨어를 복구하는 방법을 제시한다.

ㅁ 복구절차

[그림 1] wannakey 다운로드 페이지

https://github.com/aguinet/wannakey 사이트에 접속해서 wannakey 도구를 다운로드 한다.

해당 도구는 윈도우 XP에서 CryptDestroyKey, CryptReleaseContext 함수를 사용할 때 메모리를 정리하지 않는 특징을 이용하여 메모리에 남아있는 Private Key를 찾아내는 방식이다.

[그림 2] Visual Studio 2013용 Visual C++ 재배포 가능 패키지

wannakey 도구를 사용하기 위해서는 사전에 Visual Studio 2013용 Visual C++ 재배포 가능 패키지가 설치되어 있어야한다. 또한 랜섬웨어 악성코드에 감염된 이후 PC를 재부팅 하지않은 상태에서 진행해야 한다.

다운로드 링크: https://www.microsoft.com/ko-KR/download/details.aspx?id=40784

[그림 3] wannakey 도구 실행

wannakey 도구를 사용하기 위한 파라미터로 wcry.exe 프로세스의 PID와 WannaCry 악성코드가 생성하는 00000000.pky 파일 위치가 필요하다. wcry.exe 프로세스 PID는 작업관리자에서 확인할 수 있고 00000000.pky 파일은 검색 또는 악성코드가 실행된 경로에서 확인할 수 있다.