Redl 랜섬웨어란 무엇인가?
Redl 랜섬웨어는 감염된 파일을 모두 암호화하거나 잠가 사용자가 자신의 파일에 접근하지 못하도록 만드는 악성 프로그램입니다. 사이버 범죄자들은 파일 접근 권한을 되찾아주는 조건으로 몸값(랜섬)을 요구하며, 이 금액은 대체로 추적이 불가능한 암호화폐로 지불하라고 요구합니다. 더 심각한 문제는 몸값을 지급하더라도 파일이 반드시 복호화된다는 보장이 없다는 점입니다.
충격적으로 들리겠지만, 인터넷에 연결된 컴퓨터라면 누구나 애드웨어, 스파이웨어, 트로이목마, 바이러스, 그리고 최근 가장 큰 위협으로 떠오른 랜섬웨어 공격에 노출될 수 있습니다. 랜섬웨어는 운영체제 버전을 가리지 않고 모든 Windows 환경을 공격할 수 있으며, 사진, 오디오·비디오 파일, 문서, 압축 파일 등 사실상 모든 유형의 파일을 감염시킵니다.
Redl 랜섬웨어는 어떻게 작동하는가?
Redl 랜섬웨어는 주로 이메일이나 스팸 메일의 첨부파일을 통해 사용자 PC에 침투합니다. 시스템에 설치되면 %AppData% 또는 %LocalAppData% 폴더에 실행 파일을 생성하고, 구동되는 즉시 모든 드라이브를 자동으로 스캔하여 암호화 대상이 되는 파일을 찾습니다. Redl은 파일 확장자를 기준으로 사용자 데이터가 담긴 파일을 식별하는데, Word 문서(.doc, .docx, .pdf), Excel 파일(.xls, .xlsx, .csv), 이미지(.jpg, .png, .gif) 등이 대표적인 대상입니다. 스캔이 끝나면 해당 파일들의 확장자가 모두 .redl로 변경되어 파일을 열 수 없게 됩니다.
예를 들어 budget.xlsx라는 엑셀 파일이 있다면 budget.redl로 이름이 바뀌며 더 이상 엑셀에서 열 수 없게 됩니다. Redl에 감염된 사용자는 대부분의 폴더와 바탕화면에서 info.txt 또는 readme.txt라는 이름의 새로 생성된 파일들을 발견할 수 있습니다. 이 파일은 메모장으로 쉽게 열어볼 수 있으며, 그 안에는 랜섬 요구 메시지가 담겨 있습니다. 메시지에는 "사용자의 파일이 코드로 잠겨 있으며, 다시 열려면 고유 키가 필요하고, 이 키는 요청된 계좌로 암호화폐(아마도 비트코인)를 일정 금액 송금하면 제공된다"는 내용이 담겨 있습니다.
Redl 랜섬웨어는 사용자 데이터 파일을 모두 암호화한 뒤 섀도우 볼륨 복사본(Shadow Volume Copies)까지 삭제합니다. 덕분에 사용자는 컴퓨터에 저장된 이전 버전으로조차 파일을 복원할 수 없습니다. 또한 흔적을 남기지 않는 정교한 암호화 기술을 사용하기 때문에, 숙련된 개발자라 하더라도 역방향 복호화 프로그램을 만들어 파일을 풀어내는 것은 사실상 불가능합니다.
중요: 몸값 요구에 응한다고 해서 파일을 되돌려받는 것이 보장되지 않습니다. 해커는 대금을 받은 후에도 암호화된 파일을 여는 키를 건네주지 않을 수 있습니다.
Redl 랜섬웨어에 감염되었다면 무엇을 해야 할까?
Redl 랜섬웨어는 매우 정교하게 설계된 악성 프로그램으로, 시스템에 침투한 뒤 자신의 존재를 숨긴 채 암호화 작업을 끝낼 때까지 사용자에게 드러나지 않습니다. 모든 과정은 은밀한 모드로 진행되며, 파일들이 암호화되어 접근 불가능한 상태가 된 후에야 사용자는 몸값을 요구하는 텍스트 파일을 마주하게 됩니다.
보안 소프트웨어로는 이미 진행된 암호화를 되돌릴 수 없지만, 효율적인 백신 프로그램은 바이러스를 제거하고 Redl 랜섬웨어가 컴퓨터에서 더 이상 활동하는 것을 차단할 수 있습니다. 추가 피해를 막기 위해서는 신속하게 대응해야 합니다. 개인 데이터와 파일의 피해를 통제하는 방법은 두 가지가 있으며, 성공 가능성을 높이기 위해 두 가지 방법을 함께 사용하는 것이 좋습니다.
1. 자동 제거 방법
Redl 랜섬웨어의 흔적을 자동으로 탐지하고 제거하려면, 새로운 바이러스나 위협이 나타날 때마다 업데이트나 패치를 배포하는 보안 소프트웨어를 사용하는 것이 중요합니다. 그중 하나가 Advanced System Protector로, 최신 바이러스 및 맬웨어 정의를 기반으로 작동합니다. 사이버 범죄자들의 위협에 대한 대응책을 찾기 위해 연중무휴 24시간 연구하는 전담 팀이 상주하고 있습니다. 최신 버전으로 업데이트된 Advanced System Protector로 검사를 진행하면 Redl 랜섬웨어의 흔적이 확실히 제거되고, 파일에 추가 피해가 발생할 가능성도 차단할 수 있습니다.
Advanced System Protector를 다운로드하려면 여기를 클릭하세요.
2. 수동 제거 방법
참고: 아래 방법은 컴퓨터에 관한 기초적인 기술 지식이 있는 경우에만 진행하는 것이 좋습니다.
바이러스 제거를 시작하는 첫 번째 단계는 컴퓨터를 네트워크 지원 안전 모드(Safe Mode with Networking)로 재부팅하는 것입니다. 다음 단계를 따르세요.
1단계. Windows 키와 R 키를 동시에 누릅니다.
2단계. 실행(Run) 창이 열리면 MSConfig를 입력하고 확인을 선택합니다.
3단계. 부팅(Boot) 탭을 찾아 클릭합니다. 부팅 옵션에서 '안전 부팅(Safe Boot)'에 체크한 뒤, 마지막 옵션인 '네트워크(Network)'를 선택합니다.
4단계. 적용과 확인을 차례로 클릭하면 PC가 Windows 복구 환경으로 재부팅됩니다.
안전 모드로 부팅이 완료되면 아래 방법들을 순서대로 진행하세요.
방법 1. 의심 프로세스 확인 및 제거
1단계. 작업표시줄에서 마우스 오른쪽 버튼을 클릭하고 목록에서 작업 관리자를 선택해 엽니다.
2단계. 프로세스 탭에서 각 프로세스를 하나씩 확인합니다. 평소 사용하는 프로그램과 관련 없는 의심스러운 프로세스를 발견하면 해당 항목을 마우스 오른쪽 버튼으로 클릭하고 '파일 위치 열기'를 선택합니다.
3단계. 위치 디렉터리와 하위 폴더를 살펴 어떤 프로그램이 해당 프로세스와 연결되어 있는지 파악합니다. Program files 폴더 내에서 알 수 없는 이름의 폴더가 발견되면 삭제해도 무방합니다.
이 과정을 통해 PC에 설치된 악성 프로그램을 걸러낼 수 있습니다.
방법 2. 허가되지 않은 IP 주소 연결 확인
1단계. Windows 키와 R 키를 함께 누릅니다.
2단계. 실행(Run) 창이 열리면 아래 명령어를 입력합니다.
notepad %windir%/system32/Drivers/etc/hosts
3단계. IP 주소 목록이 담긴 메모장이 열립니다.
4단계. 자신의 IP를 확인하고, 목록에 다른 IP 주소가 있다면 MSConfig 창을 다시 엽니다.
5단계. 시작프로그램 탭에서 PC가 부팅된 이후 실행 중인 프로그램들을 확인합니다.
6단계. 낯선 프로그램은 비활성화하면 됩니다.
방법 3. 임시 파일 삭제
Windows 검색창에 아래 폴더 이름을 입력하고, 각 폴더 안의 모든 내용을 삭제합니다.
- Temp
- %Temp%
- Prefetch
방법 4. 레지스트리에서 흔적 검색 및 삭제
1단계. Windows 키와 R 키를 동시에 누릅니다.
2단계. 실행(Run) 창이 열리면 Regedit를 입력하고 확인을 클릭합니다.
3단계. Windows 레지스트리 편집기가 열리면 CTRL + F 키를 눌러 레지스트리 검색창을 띄웁니다.
4단계. 바이러스 또는 맬웨어의 이름(이 경우 Redl)을 입력하고 확인을 클릭합니다.
5단계. 같은 이름을 가진 모든 키를 삭제합니다.
방법 5. 시스템 복원 실행
1단계. Windows 키와 R 키를 함께 누릅니다.
2단계. 실행(Run) 창이 열리면 rstrui.exe를 입력하고 확인을 클릭합니다.
3단계. 시스템 복원 창이 열리면 랜섬웨어 공격이 발생하기 이전 날짜를 선택하고, 해당 시점으로 시스템 복원을 진행합니다.
참고: 시스템 복원은 파일을 되살리는 것뿐만 아니라, 랜섬웨어 공격으로 변경된 설정들까지 원래대로 되돌려줍니다.
영상 튜토리얼 보기
Redl 랜섬웨어를 마치며
랜섬웨어 공격은 쉽게 해결되지 않는 심각한 문제입니다. 대부분의 경우 이미 발생한 피해를 완전히 되돌리는 것은 불가능합니다. 하지만 추가 피해를 막고 남아 있는 파일과 데이터를 지키기 위한 조치는 분명 취할 수 있습니다. 저는 우선 Redl 랜섬웨어의 흔적을 제거할 수 있는 전문적이고 인증된 백신 소프트웨어를 사용한 뒤, 확실히 하기 위해 수동 제거 방법까지 점검해 맬웨어 차단이 제대로 이루어졌는지 확인하는 것을 권장합니다.
최신 IT 뉴스와 기술 문제 해결법을 확인하려면 Systweak 블로그와 YouTube 채널을 구독해 주세요.