habibkaratas/sorry-ransomware-analysis죄송 랜섬웨어(.sorry) IOCs, YARA 규칙 및 포렌식 분석 - CVE-2026-41940 cPanel 캠페인
공개 IOC 팩, YARA 규칙, 포렌식 스크립트 및 2026년 4월 말에 등장하여
cPanel/WHM 인증 우회 CVE-2026-41940을 통해 유포된
"Sorry" 랜섬웨어 (.sorry 확장자) 계열에 대한 분석 방법론입니다.
⚠️ 이 랜섬웨어가 암호화한 파일은 공격자의 RSA-2048 개인 키 없이는 복호화할 수 없습니다. 몸값을 지불하지 마십시오. cPanel을 패치하고 모든 자격 증명을 교체하며, 추후 무료 복호화 도구가 공개될 경우를 대비해 암호화된 파일을 보존하십시오.
📝 전체 기술 문서 (터키어): 게시 후 링크 추가 예정
| 경로 | 용도 |
|---|---|
docs/IOC.md | 모든 침해 지표 (암호화 파일, 네트워크, 호스트) |
docs/analysis_methodology.md | 분석 수행 방법 — 완전히 재현 가능 |
yara/sorry_ransomware.yar | 암호화 파일 및 랜섬 노트용 YARA 규칙 |
iocs/hashes.txt | 캠페인 전체 및 구조적 접두사 해시 |
iocs/network.txt | Tox ID, CVE 정보, 네트워크 IOC |
iocs/file_signatures.txt | 암호화 파일 구조적 시그니처 |
scripts/analyze.py | 샘플별 엔트로피 / 구조 분석 |
scripts/header_parse.py | 2057바이트 고정 헤더 파싱 |
scripts/keystream_test.py | ChaCha20 키스트림 재사용 / 기지 평문 테스트 |
scripts/server_collection.sh | 손상된 cPanel 호스트용 읽기 전용 포렌식 아티팩트 수집기 |
.sorry 추가README.md┌─────────────────────────────────────────────────────────┐
│ 오프셋 0x000 - 0x808 (2057바이트) 고정 접두사 │
│ • 매직: 99 00 00 08 00 21 CA 68 0C BD 7F 19 ... │
│ • RSA-2048로 래핑된 피해자별 마스터 키 + 메타데이터 │
│ • 0x800의 테일 마커: F4 0B 00 B4 27 00 00 01 00 │
├─────────────────────────────────────────────────────────┤
│ 오프셋 0x809 - (EOF-4) 암호문 │
│ • ChaCha20 스트림 암호화된 원본 데이터 │
│ • 길이는 16바이트 정렬 아님 (mod16 ∈ {2,4,8,13}) │
│ • 섀넌 엔트로피 ~7.95비트/바이트 │
├─────────────────────────────────────────────────────────┤
│ 마지막 4바이트: 00 00 00 00 정적 푸터 │
└─────────────────────────────────────────────────────────┘
# YARA 규칙으로 디렉터리 스캔
yara -r yara/sorry_ransomware.yar /path/to/scan
# 로컬 샘플 분석 실행
python3 scripts/analyze.py /path/to/sample.sorry
# 손상된 cPanel 호스트에서 포렌식 아티팩트 수집 (읽기 전용)
bash scripts/server_collection.sh
불가능합니다. 모든 일반적인 구현 결함을 테스트했습니다:
| 테스트 | 결과 |
|---|---|
| 쌍별 암호문 XOR (키스트림/nonce 재사용) | ❌ 재사용 없음 |
| 기지 평문 키스트림 복구 → 교차 파일 복호화 | ❌ 실패 |
| 헤더에 포함된 평문 키 / 약한 RNG 마커 | ❌ 발견되지 않음 |
| 패딩 오라클 | ❌ 해당 없음 (스트림 암호) |
암호는 올바르게 구현되었습니다. 운영자의 RSA-2048 개인 키만이 이 파일들을 복호화할 수 있습니다. 법 집행 기관이 운영자의 키를 압수할 경우를 대비해 NoMoreRansom 및 ID-Ransomware를 모니터링하십시오.
이 저장소에는 다음이 포함됩니다:
다음은 포함되지 않습니다:
PR 환영합니다 — CONTRIBUTING.md를 참조하십시오.