랜섬웨어 대응

랜섬웨어는 다양한 경로를 통해 시스템에 침투합니다. 가장 흔한 감염 경로는 피싱 이메일입니다. 공격자는 신뢰할 수 있는 기관이나 개인을 사칭한 이메일에 악성 첨부 파일을 포함시키거나, 유해한 URL 링크를 배치하여 사용자가 실행하도록 유도합니다. 첨부 파일은 매크로가 포함된 오피스 문서나 실행 파일(.exe, .scr 등) 형태를 띱니다. 링크를 클릭하면 사용자를 악성 웹사이트로 유도하여 드라이브 바이 다운로드 공격을 수행하거나, 직접 악성 코드를 다운로드하게 합니다.

또 다른 주요 경로는 원격 데스크톱 프로토콜(RDP)과 같은 원격 접속 서비스의 취약점을 악용하는 것입니다. 공격자는 약한 암호나 기본 자격 증명을 무차별 대입 공격(브루트 포스 어택)으로 탈취하거나, 해당 서비스의 알려진 보안 취약점을 이용해 인증 없이 시스템에 침입합니다. 이 방법은 특히 적절히 패치되지 않은 서버를 노립니다.

웹 기반 공격도 중요한 감염 경로입니다. 멀웨어 애드는 합법적인 웹사이트에 게재된 광고 네트워크를 통해 악성 코드를 유포합니다. 사용자가 광고를 클릭하지 않아도 감염될 수 있습니다. 또한, 공격자는 인기 있는 소프트웨어의 제로데이 취약점이나 패치되지 않은 구형 취약점을 악용합니다. 이를 통해 사용자의 특별한 조치 없이도 시스템에 침투할 수 있습니다.

최근에는 공급망 공격(서플라이 체인 어택)이 증가하는 추세입니다. 공격자는 정당한 소프트웨어 업데이트 서버나 타사 공급업체의 네트워크를 먼저 해킹한 후, 해당 경로를 통해 최종 표적에게 악성 코드를 배포합니다. 이 방법은 신뢰받는 출처를 통해 전달되기 때문에 탐지하기 어렵고 대규모 감염을 일으킬 수 있습니다.

랜섬웨어는 시스템에 침투한 후, 사용자의 중요한 파일을 암호화하여 접근을 불가능하게 만드는 과정을 수행한다. 일반적으로 대칭키 암호화 방식이 사용되어 빠른 속도로 파일을 암호화하며, 암호화에 사용된 키는 공격자가 소유한 비대칭키 암호화 방식의 공개키로 다시 암호화된다. 이로 인해 피해자는 암호화된 파일을 직접 복호화할 수 없게 된다.

암호화가 완료되면, 공격자는 피해 시스템에 협박 메시지를 남긴다. 이 메시지는 일반적으로 바탕화면 배경을 변경하거나, 각 폴더에 텍스트 파일을 생성하는 방식으로 표시된다. 메시지에는 파일이 암호화되었으며, 복구를 위해서는 지정된 금액의 암호화폐를 지불해야 한다는 내용이 담겨 있다. 지불 방법과 연락처, 그리고 지불 기한이 명시되는 경우가 일반적이다.

몸값 지불 과정은 주로 토르 네트워크를 통해 접속하는 암호화된 웹사이트나 채팅 시스템을 통해 진행된다. 일부 공격자는 협상이 가능하다는 점을 강조하거나, 지불 기한을 넘기면 몸값이 인상되거나 파일이 영구 삭제될 것이라고 위협하기도 한다. 일부 랜섬웨어는 데이터 유출을 추가적으로 위협하며, 이중 협박을 통해 지불 압력을 높인다.

시스템 및 소프트웨어 관리는 랜섬웨어 예방의 핵심적인 기술적 기반을 구성한다. 이는 취약점을 최소화하여 공격자가 시스템에 침투할 수 있는 경로를 원천적으로 차단하는 것을 목표로 한다.

가장 기본적이면서도 효과적인 조치는 운영체제와 모든 응용 소프트웨어를 최신 상태로 유지하는 것이다. 공급업체는 보안 취약점이 발견될 경우 패치나 업데이트를 배포하며, 이를 신속하게 적용하지 않으면 알려진 취약점을 이용한 공격에 노출될 수 있다. 자동 업데이트 기능을 활성화하고, 정기적인 패치 관리 사이클을 수립하여 실행하는 것이 필수적이다. 특히 원격 데스크톱 프로토콜과 같은 외부에 노출된 서비스는 공격의 주요 표적이므로, 사용하지 않을 때는 비활성화하거나 강력한 접근 통제 뒤에 배치해야 한다.

악성코드 방지 소프트웨어와 방화벽의 적절한 구성 및 운영도 중요하다. 최신 시그니처를 갖춘 안티바이러스 솔루션은 일반적인 랜섬웨어 변종을 탐지할 수 있다. 또한 애플리케이션 화이트리스트 정책을 도입하여 승인된 프로그램만 실행되도록 제한하면, 알려지지 않은 악성 코드의 실행을 차단하는 데 효과적이다. 불필요한 서비스와 포트는 닫고, 네트워크를 세그먼트화하여 침해 사고 발생 시 확산을 억제할 수 있도록 인프라를 설계해야 한다.

랜섬웨어 공격의 상당수는 피싱 이메일, 악성 웹사이트 접근, 소셜 엔지니어링 등 사용자의 실수나 보안 인식 부재를 통해 발생합니다. 따라서 조직 구성원을 대상으로 한 체계적인 교육은 가장 효과적인 예방 조치 중 하나입니다. 교육 프로그램은 랜섬웨어의 위협과 일반적인 감염 경로를 명확히 설명하고, 실질적인 예방 행동 수칙을 훈련하는 데 중점을 둡니다.

주요 교육 내용은 다음과 같습니다.

교육은 일회성이 아닌 정기적으로 반복되어야 하며, 실제와 유사한 피싱 시뮬레이션 훈련을 통해 학습 효과를 강화할 수 있습니다. 시뮬레이션은 구성원의 취약점을 평가하고, 지속적인 보안 인식 수준을 관리하는 데 도움을 줍니다. 또한 교육 자료는 최신 공격 트렌드를 반영하여 지속적으로 업데이트해야 합니다.

최종적으로, 모든 구성원은 자신이 조직 사이버 보안의 첫 번째 방어선이라는 책임 의식을 가져야 합니다. 명확한 보안 정책과 함께 지속적인 교육 문화가 정착될 때, 랜섬웨어를 비롯한 다양한 사이버 위협으로부터의 예방 효과를 극대화할 수 있습니다.

네트워크를 세분화하여 DMZ와 내부 네트워크를 명확히 구분하는 것이 중요합니다. 서버와 중요한 데이터는 내부 네트워크에 격리하고, 외부 접근이 필요한 서비스는 DMZ에 배치하여 위험을 차단합니다. 또한, 최소 권한의 원칙에 따라 사용자와 시스템이 업무에 필요한 최소한의 네트워크 접근 권한만을 갖도록 통제합니다.

네트워크 접근 통제의 핵심 도구로는 방화벽과 침입 탐지 시스템(IDS), 침입 방지 시스템(IPS)이 있습니다. 방화벽은 미리 정의된 보안 규칙에 따라 네트워크 트래픽을 허용하거나 차단합니다. IDS/IPS는 네트워크를 모니터링하여 알려진 공격 패턴이나 비정상적인 행위를 탐지하고, IPS의 경우 실시간으로 차단 조치를 취할 수 있습니다.

원격 데스크톱 프로토콜(RDP)이나 가상 사설망(VPN)과 같은 원격 접근 서비스는 공격자의 주요 표적이 됩니다. 이러한 서비스에 대해서는 강력한 인증 방식(예: 다중 인증(MFA))을 적용하고, 접근 가능한 IP 대역을 엄격하게 제한해야 합니다. 불필요하게 열려 있는 네트워크 포트는 정기적으로 점검하여 차단하는 것이 좋습니다.

백업은 랜섬웨어 공격으로부터 데이터를 복구할 수 있는 가장 효과적인 방법 중 하나이다. 정기적이고 체계적인 백업 정책을 수립하고 실행하는 것은 사전 대비의 핵심 요소이다.

백업 정책은 3-2-1 원칙을 따르는 것이 권장된다. 이는 최소 3개의 데이터 사본을, 2가지 다른 매체에 저장하고, 그 중 1개는 오프사이트 또는 클라우드에 보관하는 것을 의미한다[2]. 백업 빈도는 데이터의 중요성과 변경 빈도에 따라 결정되며, 매일 또는 실시간에 가까운 증분 백업이 이상적이다. 특히 중요한 것은 백업 데이터를 읽기 전용 상태로 보호하거나, 백업 시스템을 공격자가 접근할 수 없는 별도의 네트워크 세그먼트에 격리하는 것이다. 랜섬웨어는 네트워크를 통해 연결된 백업 드라이브까지 암호화할 수 있기 때문이다.

백업의 정기적인 검증과 복구 훈련은 정책의 실효성을 보장한다. 백업 파일이 정상적으로 생성되었는지 주기적으로 점검하고, 실제로 데이터를 복원하는 테스트를 정기적으로 수행해야 한다. 백업 매체의 수명과 호환성도 관리 대상에 포함시켜, 오래된 백업 매체를 교체하는 주기를 명시해야 한다. 효과적인 백업 정책은 단순히 데이터를 복사하는 것을 넘어, 공격 발생 시 신속하고 완전한 복구를 가능하게 하는 체계를 마련하는 것이다.

사고 대응 계획은 조직이 랜섬웨어 공격을 포함한 보안 사고에 체계적으로 대응하기 위한 절차와 역할, 자원을 정의한 문서이다. 효과적인 계획은 피해를 최소화하고 복구 시간을 단축하는 데 핵심적이다.

계획 수립 시 먼저 사고 대응 팀을 구성하고 명확한 책임과 권한을 부여한다. 팀은 IT, 보안, 법무, 커뮤니케이션, 경영진 등 관련 부서의 대표로 이루어진다. 주요 단계별 대응 절차를 정의해야 하며, 일반적으로 준비, 탐지 및 분석, 격리/근절, 복구, 사후 활동의 단계로 구성된다[3]. 각 단계에서 수행할 구체적인 작업(예: 시스템 격리 방법, 내외부 통계 절차, 백업을 통한 복원 프로세스)을 상세히 기술한다.

계획은 문서로만 존재해서는 안 되며, 정기적인 훈련과 모의 훈련을 통해 팀의 숙련도를 높이고 계획의 실효성을 점검해야 한다. 또한 사고 발생 시 신속하게 참조할 수 있도록 항상 접근 가능한 상태로 유지하고, 발생한 사고의 교훈을 바탕으로 지속적으로 개정하는 것이 중요하다.

감염이 확인되면 가장 우선적으로 취해야 하는 조치는 랜섬웨어의 추가 확산을 차단하기 위해 감염된 시스템을 네트워크에서 격리하는 것이다. 이를 위해 감염된 컴퓨터나 서버의 유선/무선 네트워크 연결을 즉시 물리적으로 차단하거나, 네트워크 스위치 포트를 비활성화한다. 가상 환경이라면 해당 가상 머신의 네트워크 어댑터를 연결 해제한다.

동시에, 동일 네트워크 세그먼트에 위치한 다른 시스템들, 특히 파일 공유나 원격 관리 프로토콜을 사용하는 시스템에 대한 접근을 차단해야 한다. 공유 폴더나 네트워크 드라이브 매핑을 해제하고, 가능하다면 내부 방화벽 규칙을 통해 감염 시스템의 모든 아웃바운드/인바운드 트래픽을 차단하는 것이 바람직하다. 이 단계에서는 감염 범위를 정확히 파악하기 전이므로, 신속한 격리 조치가 추가적인 데이터 암호화를 막는 데 결정적이다.

격리 후에는 초기 대응 팀이 사고의 범위와 영향을 신속하게 평가하기 시작한다. 이 과정에서 감염된 시스템의 로그(시스템, 응용 프로그램, 보안 로그)를 검토하고, 메모리 덤프를 확보하며, 암호화된 파일의 유형과 랜섬 노트의 내용을 기록한다. 이러한 정보는 이후 사고 대응 단계와 포렌식 분석, 그리고 필요한 경우 디크립터 탐색에 중요한 근거가 된다.

감염이 확인되면 신속하게 피해 범위와 영향을 평가해야 한다. 이 과정은 랜섬웨어의 유형, 암호화된 데이터의 중요성, 비즈니스 연속성에 미치는 영향을 파악하는 데 필수적이다. 시스템 로그, 네트워크 트래픽 데이터, 감염된 시스템의 샘플을 분석하여 공격 벡터와 침투 지점을 식별한다. 영향을 받은 사용자 계정, 서버, 워크스테이션, 그리고 클라우드 스토리지나 NAS와 같은 공유 저장 장치까지 조사 범위를 확장해야 한다.

동시에 법적 대응이나 향후 재발 방지를 위한 디지털 포렌식 증거 수집을 시작한다. 주요 활동은 다음과 같다.

• 감염된 시스템의 메모리 덤프 및 디스크 이미징

• 랜섬 노트 파일, 암호화된 파일 샘플, 공격자가 사용한 실행 파일 보존

• 방화벽 로그, IDS/IPS 알람, DNS 쿼리 로그, 프록시 서버 로그 수집

• 감염 시간대의 시스템 및 응용 프로그램 이벤트 로그 확보

이 모든 작업은 시스템을 재부팅하거나 정리하는 과정에서 증거가 손상되지 않도록 주의하며 수행해야 한다. 수집된 증거는 공격자의 TTPs를 분석하고, 동일한 위협에 노출된 다른 시스템을 찾는 데 활용되며, 필요한 경우 사법 기관에 제출될 수 있다.

감염이 확인되고 초기 격리 및 피해 평가가 완료되면, 백업 데이터를 활용한 시스템 복원 작업을 시작한다. 이 단계의 핵심 목표는 정상적인 업무 운영을 최대한 빠르게 재개하는 동시에, 재감염 가능성을 차단하는 것이다. 우선 순위에 따라 핵심 업무 시스템부터 복원하며, 백업 데이터의 무결성을 사전에 검증하는 것이 중요하다.

복원 작업은 사전에 수립된 사고 대응 계획에 따라 진행된다. 일반적으로 다음과 같은 단계를 따른다.

복원이 완료된 후에는 철저한 테스트를 통해 시스템의 정상 작동과 데이터의 완전성을 확인해야 한다. 또한, 복원 과정과 테스트 결과를 문서화하여 향후 사고 대응 절차를 개선하는 데 활용한다. 모든 복원 작업이 끝나더라도, 해당 사고의 근본 원인을 분석하고 추가적인 예방 조치를 강화하지 않으면 유사한 공격에 다시 노출될 수 있다[5].

엔드포인트 탐지 및 대응(EDR)은 랜섬웨어와 같은 고급 지속적 위협(APT)을 포함한 다양한 사이버 공격을 탐지하고 대응하기 위한 핵심 보안 솔루션이다. EDR은 네트워크의 각 단말기(엔드포인트)에 에이전트를 설치하여 실시간으로 시스템 활동을 모니터링하고, 의심스러운 행위를 분석하며, 위협이 확인될 경우 자동화된 방식으로 대응한다. 이는 전통적인 안티바이러스 소프트웨어가 패턴 기반 탐지에 주로 의존하는 것과 달리, 행위 기반 분석과 머신 러닝을 활용하여 알려지지 않은 위협(Zero-day)까지 탐지할 수 있게 한다.

EDR의 주요 기능은 지속적인 모니터링, 위협 탐지, 사고 대응의 세 가지로 구분된다. 모니터링 단계에서는 프로세스 실행, 레지스트리 변경, 네트워크 연결, 파일 시스템 활동 등 엔드포인트에서 발생하는 모든 이벤트 데이터를 중앙 관리 콘솔로 수집한다. 탐지 단계에서는 수집된 데이터를 분석하여 일반적이지 않은 패턴, 예를 들어 대량의 파일 암호화 시도, 알려진 랜섬웨어 그룹의 커맨드 앤 컨트롤(C2) 서버와의 통신, 권한 상승 행위 등을 식별한다. 대응 단계에서는 탐지된 위협을 자동으로 격리하거나, 악성 프로세스를 종료하며, 관리자에게 경고를 발송하는 등의 조치를 취한다.

랜섬웨어 공격에 효과적으로 대응하기 위해서는 EDR 솔루션의 올바른 구성과 운영이 필수적이다. 주요 구성 요소와 고려사항은 다음과 같다.

EDR은 사전 예방과 사후 대응 모두에서 중요한 역할을 한다. 공격 초기 단계에서 랜섬웨어의 암호화 프로세스를 차단함으로써 피해를 방지하거나 최소화할 수 있다. 또한, 공격이 성공한 후에도 EDR이 수집한 상세한 로그는 공격 경로 분석, 취약점 파악, 향후 재발 방지를 위한 근본 원인 분석에 결정적인 자료가 된다. 따라서 현대적인 랜섬웨어 대응 체계에서 EDR은 필수적인 기술적 기반이 된다.

디크립터는 특정 랜섬웨어 변종에 의해 암호화된 파일을 복호화하는 데 사용되는 전용 도구이다. 일부 보안 기업, 법 집행 기관, 또는 보안 연구자들이 개발하여 무료로 배포한다. 디크립터의 존재는 해당 랜섬웨어의 암호화 구현에 결함이 있거나, 제작자들이 사용한 암호화 키가 유출되었을 때 가능하다. 예를 들어, 초기 버전의 크립토로커나 일부 취약한 알고리즘을 사용한 랜섬웨어의 경우 효과적인 디크립터가 존재한다.

사용 가능한 디크립터의 존재 여부와 적용 가능성은 피해를 입은 랜섬웨어의 정확한 변종에 크게 의존한다. 주요 보안 벤더들은 자신들의 웹사이트에서 제공하는 디크립터 탐색 도구를 운영하며, 피해자는 암호화된 파일 샘플을 업로드하거나 랜섬 노트의 정보를 입력하여 사용 가능한 복호화 도구를 확인할 수 있다. 대표적인 서비스로는 노모어랜섬 프로젝트[6]나 ESET, 카스퍼스키, 아비라 등 주요 보안 회사들의 전용 페이지가 있다.

디크립터를 사용할 때는 주의가 필요하다. 먼저, 감염된 시스템을 네트워크에서 격리한 후 사용해야 하며, 도구를 실행하기 전에 암호화된 파일의 백업 복사본을 만드는 것이 좋다. 잘못된 디크립터를 사용하면 파일이 영구적으로 손상될 수 있다. 또한, 모든 랜섬웨어에 대한 디크립터가 존재하는 것은 아니며, 특히 최신 랜섬웨어-as-a-Service 기반의 강력한 변종들에 대해서는 복호화가 사실상 불가능한 경우가 많다. 따라서 디크립터는 예방과 백업에 기반한 종합적인 대응 전략의 일부로만 고려되어야 한다.

랜섬웨어 공격을 당한 조직은 즉시 관할 사이버수사대 또는 국가사이버안보센터에 신고해야 한다. 많은 국가에서 사이버 범죄 신고는 법적 의무 사항이며, 조기 신고는 수사 기관의 신속한 대응과 추가 피해 방지에 도움을 준다. 신고 시에는 감염 시점, 발견 경로, 영향을 받은 시스템의 규모와 종류, 협박 메시지의 내용 및 요구 금액 등 가능한 한 상세한 정보를 제공하는 것이 중요하다.

신고 절차는 일반적으로 다음과 같은 단계를 거친다. 먼저, 내부 포렌식 증거 수집 과정에서 변경되거나 손상될 수 있는 휘발성 데이터를 우선적으로 보존한다. 이후 해당 국가의 공식 사이버 범죄 신고 포털(예: 한국의 사이버폴리스센터)을 통해 온라인 신고를 하거나, 전화를 통해 초기 지침을 받는다. 수사 기관은 신고 접수 후 초동 대응을 시작하며, 경우에 따라 디지털 포렌식 전문가를 파견하여 증거를 확보하기도 한다.

수사 기관에 신고하는 것은 범죄자 검거와 공격 동향 파악에 기여할 뿐만 아니라, 해당 랜섬웨어 변종에 대한 디크립터(복호화 도구)의 존재 여부를 확인받을 수 있는 중요한 경로가 된다. 또한, 공격이 개인정보보호법 위반 사고로 이어질 경우, 관할 개인정보보호위원회에 추가로 신고해야 할 의무가 발생할 수 있다[8].

몸값을 지불하는 행위는 사이버 범죄 조직의 사업 모델을 지속시키고 재정적으로 지원하는 결과를 초래합니다. 이는 동일한 공격자나 다른 공격자들에게 표적이 될 가능성을 높이며, 전반적인 랜섬웨어 위협을 증가시키는 요인이 됩니다. 또한 몸값 지불 기록은 공격자들의 데이터베이스에 남아 향후 재공격의 대상이 될 수 있습니다.

몸값 지불 후에도 데이터가 복구된다는 보장은 없습니다. 공격자들은 복호화 키를 제공하지 않거나, 제공된 키가 제대로 작동하지 않을 수 있습니다. 일부 경우에는 데이터를 복구한 후에도 이미 유출된 데이터를 삭제하지 않고 다크 웹에서 판매하거나 추가 협박의 수단으로 이용하기도 합니다.

몸값 지불은 법적 및 규제적 위험을 동반합니다. 일부 국가에서는 랜섬웨어 공격자에게 자금을 지급하는 행위를 특정 제재 대상 단체에 대한 자금 지원으로 간주하여 법적 제재를 가할 수 있습니다. 또한 기업의 경우 몸값 지출 사실이 공개될 경우 신뢰도 하락과 주가 폭락 같은 심각한 평판 손실을 겪을 수 있습니다.

따라서 대부분의 사이버 보안 기관과 법 집행 기관은 몸값 지불을 권장하지 않으며, 사전 예방과 정기적인 백업, 그리고 공식적인 복구 채널을 통한 대응을 강조합니다.