샘샘(SamSam) 랜섬웨어는 봇처럼 스스로 확산되는 악성코드입니다. 일단 컴퓨터 침입에 성공하면 네트워크 자원을 찾아내 이를 이용해 더 넓게 번져갑니다. 표적 조직의 수십 대 컴퓨터를 감염시킨 뒤에는 감염 가능한 파일을 최대한 많이 암호화하기 시작합니다.
샘샘 랜섬웨어는 미국 내 약 67개 조직을 공격한 것으로 알려져 있습니다. 침입에 성공할 때마다 때로는 수백만 달러에 이르는 거액의 몸값을 요구하는데, 2018년에는 미국 애틀랜타 시의 공공 컴퓨터와 콜로라도 교통부(Department of Transportation)가 이 악성코드의 공격을 받았습니다. 당시 피해자 대부분은 의료기관이었던 것으로 파악됩니다.
샘샘 랜섬웨어는 어떻게 작동할까?
대부분의 랜섬웨어가 스팸 메일, 피싱 캠페인, 익스플로잇 키트 등을 통해 불특정 다수에게 무차별적으로 퍼지는 것과 달리, 샘샘은 '표적형'으로 확산됩니다. 해커는 먼저 조직의 네트워크에 침입한 뒤 상당한 시간을 들여 정찰 활동, 즉 네트워크 구조를 파악하는 작업을 진행하고, 가장 적절한 시점에 맞춰 최대한 많은 컴퓨터의 파일을 한꺼번에 암호화하는 것이 특징입니다.
이 악성코드의 제작자들은 '리빙 오프 더 랜드(living off the land)'라는 전술을 사용합니다. 이는 운영체제가 기본 제공하는 관리 도구와 기능을 악용해 표적의 네트워크를 침해하는 방식으로, 별도의 악성 파일을 최소화하기 때문에 보안 시스템에 잘 드러나지 않으면서 은밀하게 활동할 수 있습니다.
2018년에 기록된 실제 공격 사례에서는 해커들이 무려 48시간 동안 발각되지 않고 잠복했습니다. 이들은 마이크로소프트 시스템인터널즈(Microsoft Sysinternals)의 PsInfo 같은 정품 관리 도구를 이용해 시스템 정보를 수집했으며, 네트워크 자원을 활용해 범행에 필요한 추가 악성코드를 내려받기도 했습니다.
침입 과정이 완료되면 화면에 복호화 조건을 담은 메시지가 표시됩니다. 흔히 수십만 달러에 달하는 거액을 비트코인 주소로 송금할 것을 요구하는데, 성공적인 침입은 피해 조직에 막대한 혼란과 비용, 좌절감을 안겨주는 심각한 결과로 이어집니다.
샘샘 랜섬웨어 예방 방법
샘샘은 잘 방비된 시스템보다 허술한 표적을 노립니다. 악성코드 제작자들은 쉽게 뚫리는 환경을 원하며, 조직의 네트워크 보안이 소홀하면 결국 그 기회를 제공하는 셈입니다. 다음은 샘샘 랜섬웨어를 예방하는 데 도움이 되는 핵심 수칙입니다.
1. 강력한 백신 프로그램 설치
Outbyte Antivirus 같은 프리미엄 백신 솔루션은 악성코드 공격을 상시 감시합니다. 무료 버전을 내려받고 싶은 마음이 든다면, 먼저 침입에 성공한 악성코드가 조직에 입힐 수 있는 막대한 피해를 고려해 보시기 바랍니다.
2. 다단계 인증(MFA) 적용
조직의 외부 노출 애플리케이션에는 반드시 다단계 인증을 적용해야 합니다. 이렇게 하면 불만을 품은 직원이나 내부자로부터 유출된 계정 자격 증명이 거래되더라도 공격자가 이를 악용하기 어렵습니다.
3. 패치 및 취약점 점검
외부에 노출된 모든 애플리케이션은 알려진 취약점에 대한 패치를 즉시 적용해야 합니다. 해커들은 악성코드를 설치할 때 바로 이런 취약점을 공략합니다.
4. 사고 대응 서비스 계약
사고 통제 보전(Incident Containment Retainer) 계약을 체결해 두면 사고 발생 시 조직이 신속하게 대응 체계를 가동할 수 있습니다. 네트워크 전반의 컴퓨터와 시스템에 영향을 미치는 악성코드 사고에서는 특히 중요합니다.
5. 백업 시스템 구축
환자 기록 같은 중요 데이터를 다루는 의료기관처럼 규모가 큰 조직이라면 샘샘 같은 악성코드 공격에 대비한 백업 시스템이 없다는 것은 변명의 여지가 없습니다. 백업은 피해 발생 후에도 업무를 중단 없이 지속할 수 있는 유일한 안전판이 될 수 있습니다.
샘샘 랜섬웨어로부터 기기 보호하기
위의 예방 조치를 모두 마쳤더라도 실제 공격이나 침입 시도가 시작되었다면 어떻게 대응해야 할까요? 다음 수칙을 기억하세요.
- 공격이 성공했다 하더라도 몸값을 지불하지 마세요. 지불은 공격자를 오히려 더욱 만성화할 뿐이며, 파일을 돌려받는다는 보장도 전혀 없습니다.
- 첨부 파일이 포함된 의심스러운 이메일은 진본임을 확신할 때까지 열지 마세요. 또한 'IT 부서'를 자칭하며 비밀번호나 신원 정보를 요구하는 전화는 모두 사기로 간주해야 합니다.
- 모든 컴퓨터를 항상 최신 상태로 유지하세요. 중소 규모 조직은 관리해야 할 PC가 많아 업데이트를 놓치기 쉬운데, 공격자에게 성공적인 침입을 위해 필요한 것은 단 하나의 취약점뿐입니다.
샘샘 랜섬웨어 제거하기
샘샘 악성코드에 감염된 후의 복구 작업, 특히 수백에서 수천 대에 이르는 컴퓨터를 보유한 대규모 조직의 경우 비용이 상당히 많이 들 수 있습니다. 일반적으로 Windows 새 버전 설치와 함께 시스템 복원(System Restore), 네트워킹 지원 안전 모드(Safe Mode with Networking) 부팅 등 Windows 복구 절차를 조합하여 진행합니다.
Windows 10/11에서 네트워킹 지원 안전 모드로 부팅하려면 다음 단계를 따르세요.
- 전원 버튼을 약 10초간 길게 눌러 컴퓨터를 종료합니다.
- 전원 버튼을 다시 눌러 기기를 켭니다. Windows 복구 환경(winRE)이 나타날 때까지 전원을 반복해서 켜고 끕니다.
- 복구 환경 화면에 옵션 선택 창이 나타나면 문제 해결 > 고급 옵션 > 시작 설정 > 다시 시작을 차례로 선택합니다.
- 재부팅 후 나타나는 옵션 목록에서 네트워킹 지원 안전 모드를 선택합니다. 화살표 키로 선택하거나 키보드의 5번 키를 누르면 됩니다.
이제 인터넷에 연결된 상태에서 백신 프로그램을 내려받거나 샘샘 랜섬웨어를 제거하는 다른 방법을 시도할 수 있습니다.