Magniber 1 Decrypt.ipynb

{
 "cells": [
  {
   "cell_type": "markdown",
   "id": "1ed7ac2c",
   "metadata": {},
   "source": [
    "# Magniber 버전 1 복호화 절차\n",
    "\n",
    "Magniber 랜섬웨어 암호기능 분석 보고서 (https://seed.kisa.or.kr/kisa/Board/56/detailView.do) 문서 기준으로 복호화 절차를 수행,\n",
    "\n",
    "Written by DarkLion (어둠사자)"
   ]
  },
  {
   "cell_type": "code",
   "execution_count": 55,
   "id": "3b4238f0",
   "metadata": {},
   "outputs": [],
   "source": [
    "# 필요 라이브러리 불러오기\n",
    "import os\n",
    "from Crypto.Cipher import AES"
   ]
  },
  {
   "cell_type": "code",
   "execution_count": 56,
   "id": "5176eec5",
   "metadata": {},
   "outputs": [],
   "source": [
    "# 작업 디렉토리(폴더) 지정\n",
    "root_directory = '.'\n",
    "\n",
    "# 키쌍 (IV, KEY) 지정\n",
    "# 참고: 암호화 당시 사용된 key가 hardcoded key(샘플 내장 키)가 아니라\n",
    "#        network key(Tor 네트워크에서 받은 키)인 경우 유효한 복호화를 진행할 수 없음\n",
    "keypairs = {\n",
    "    'kgpvwnr': { 'iv': 'N3ii3Ne9O10VC5LU', 'key': 'tcHa16q59aBeqt65' },   # kgpvwnr\n",
    "    'ymdmf':   { 'iv': 'CYr41IC975wBjaP0', 'key': 'L24h7p25Tu627X77' }    # ymdmf\n",
    "}"
   ]
  },
  {
   "cell_type": "code",
   "execution_count": 57,
   "id": "bf5687bd",
   "metadata": {},
   "outputs": [],
   "source": [
    "# 복호화 진행 (AES-128, CBC 모드)\n",
    "def Decrypt_Magniber(iv, key, suffix, filepath, filesize):\n",
    "    readfile = open(filepath, 'rb')\n",
    "    writefile = open(filepath.split('.' + suffix)[0], 'wb')\n",
    "\n",
    "    readfile.seek(16)\n",
    "    cipher = readfile.read(filesize - 16)\n",
    "    \n",
    "    b_iv = iv.encode(\"utf8\")\n",
    "    b_key = key.encode(\"utf8\")\n",
    "    \n",
    "    print(\"IV:\", '0x' + b_iv.hex())\n",
    "    print(\"Key:\", '0x' + b_key.hex())\n",
    "\n",
    "    encryptor = AES.new(b_key, AES.MODE_CBC, b_iv)\n",
    "    padding_plain = encryptor.decrypt(cipher) # 복호화 된 평문 (패딩 포함)\n",
    "    size = filesize - 16 - padding_plain[-1] # 패딩 전 원본 파일 크기\n",
    "    plain = padding_plain[0:size] # 복호화 된 평문 (패딩 제외)\n",
    "    #plain = padding_plain\n",
    "    \n",
    "    writefile.write(plain)\n",
    "\n",
    "    readfile.close()\n",
    "    writefile.close()"
   ]
  },
  {
   "cell_type": "code",
   "execution_count": 58,
   "id": "785f92b8",
   "metadata": {},
   "outputs": [
    {
     "name": "stdout",
     "output_type": "stream",
     "text": [
      "Try decrypting file...  .\\IMG309.jpg.kgpvwnr\n",
      "IV: 0x4e336969334e65394f31305643354c55\n",
      "Key: 0x74634861313671353961426571743635\n",
      "Done.\n",
      "\n",
      "Try decrypting file...  .\\IMG310.jpg.kgpvwnr\n",
      "IV: 0x4e336969334e65394f31305643354c55\n",
      "Key: 0x74634861313671353961426571743635\n",
      "Done.\n",
      "\n"
     ]
    }
   ],
   "source": [
    "# 디렉토리 내 파일 탐색\n",
    "for root, dirs, files in os.walk(root_directory):\n",
    "    for file in files:\n",
    "        suffix = file.split(\".\")[-1]    # 확장자 확인\n",
    "        if suffix in keypairs:          # 확장자와 일치하는 키쌍(keypair)이 있는지 확인\n",
    "            filepath = os.path.join(root_directory, file)\n",
    "            print('Try decrypting file... ', filepath)\n",
    "            Decrypt_Magniber(keypairs[suffix]['iv'], keypairs[suffix]['key'], suffix, filepath, os.path.getsize(filepath))\n",
    "            print('Done.')\n",
    "            print()"
   ]
  }
 ],
 "metadata": {
  "kernelspec": {
   "display_name": "Python 3 (ipykernel)",
   "language": "python",
   "name": "python3"
  },
  "language_info": {
   "codemirror_mode": {
    "name": "ipython",
    "version": 3
   },
   "file_extension": ".py",
   "mimetype": "text/x-python",
   "name": "python",
   "nbconvert_exporter": "python",
   "pygments_lexer": "ipython3",
   "version": "3.7.4"
  }
 },
 "nbformat": 4,
 "nbformat_minor": 5
}