Reyptson Ransomware

md5: 4a56896b83369002371e16f1b9df9f8c

 

Reyptson Ransomware

랜섬웨어 기능 외에 ThunderBird 메일 내 연락처 목록을 탈취하여 스팸메일을 발송하는 기능을 수행한다.

 

Reyptson Ransomware 감염 시 아래 팝업 윈도우 출력

 

 

열어 보면 아래와 같은 함수 종류들을 쓰고있다 

 

User ID PW 정보들을 찾는다

 

 

 

Mozilla Thunderbird 설치 여부를 확인한다.

 

 

아래와 같이 Thunderbird 메일 계정을 찾는 것을 알 수 있다.

 

 

 

Decrypt 함수

 

 

아래는 감염 제외 경로 이다.

 

private string[] excluidas = new string[]
{
    "c:\\windows",
    "c:\\program files (x86)",
    "c:\\programdata",
    "c:\\system volume information",
    "c:\\windows.old",
    "c:\\users\\default",
    "c:\\users\\all users",
    "c:\\users\\public",
    "c:\\program files",
    "c:\\$recycle.bin",
    "c:\\users\\" + Environment.UserName.ToLower() + "\\appdata"
};
 

 

 

Win7 x86 실행 시 exception

 

 

레퍼런스

https://www.bleepingcomputer.com/news/security/reyptson-ransomware-spams-your-friends-by-stealing-thunderbird-contacts/