FBI가 확인한 비교적 최근의 사이버 위협인 Kwampirs(쿰피르스) 멀웨어는 원격 접속 트로이목마(RAT) 형태의 악성코드로, 소프트웨어 공급망에 속한 기업들을 먼저 감염시킨 뒤 이를 발판 삼아 피해 조직의 전략적 파트너와 고객사까지 침투하는 것을 목표로 합니다.
FBI에 따르면 공격 대상에는 제조업체, 금융기관, 에너지 생산기업 등 다양한 산업 운영기관이 포함되지만, 실제로 가장 큰 피해가 집중된 곳은 미국, 아시아, 유럽의 의료 시스템입니다.
보안 전문가들의 분석 결과에 따르면 피해 조직의 39%가 의료 시스템, 15%가 IT 업계, 8%가 농업 분야였으며, 나머지 15%는 그 밖의 여러 산업에서 발생한 것으로 나타났습니다.
Kwampirs 멀웨어는 어떻게 작동할까?
원격 접속 트로이목마인 Kwampirs는 해커에게 단일 PC 또는 네트워크 전체에 대한 원격 접근 권한을 부여합니다. 해커 그룹은 이를 활용해 매우 대규모의 기업 첩보(산업 스파이) 공격을 수행합니다.
Kwampirs 백도어가 침투에 성공하는 핵심 이유 중 하나는 오랫동안 흔적 없이 숨어 있을 수 있다는 점입니다. 잠복 단계에서는 대상에 관한 정보를 최대한 수집하고, '적임자'라 판단되는 피해자를 확실히 파악한 후에야 본격적인 행동을 개시합니다.
웜(worm)처럼 네트워크를 따라 퍼지기 전에 Kwampirs는 자신의 핵심 페이로드를 복호화하고 무작위 문자열을 삽입하며, 디스크에 코드를 기록해 백신 프로그램이 해시 값 기반 탐지로 악성 행위를 알아내기 어렵게 만듭니다.
또한 감염된 시스템에서 다음과 같은 변화를 일으킵니다.
- 'WmiApSryEx'라는 이름의 새 서비스 생성 (표시 이름: WMI Performance Adapter Extension)
- ADMIN$, D$WINDOWS, C$WINDOWS, E$WINDOWS 폴더에 악성 파일 복사
- rundll32.exe를 이용한 레지스트리 수정
- 명령·제어(C&C) 서버에서 추가 악성 파일 다운로드
이 모든 과정을 마친 후에야 바이러스가 네트워크 전반으로 확산되기 시작합니다. 이후 모든 파일과 폴더를 암호화하는 랜섬웨어를 추가로 심어 대상 조직의 업무 전반을 마비시킬 수 있습니다.
Kwampirs 멀웨어 제거 방법
이렇게 은밀하게 동작하는 RAT을 상대하려면 Outbyte Antivirus처럼 강력한 백신 프로그램이 반드시 필요합니다. '무료' 백신만으로는 은닉 능력이 뛰어난 Kwampirs를 잡아내기란 사실상 불가능에 가깝습니다.
Kwampirs는 예상치 못한 위치에 몸을 숨기기 때문에 수작업으로 추적해 삭제하기가 거의 불가능하다는 점도 전용 백신이 필수인 이유입니다.
여기에 PC 수리 도구를 함께 활용하면 실행 중인 프로세스를 더욱 쉽게 모니터링할 수 있습니다. 평소와 달리 네트워크 활동이 과도하게 많아지는 등 수상한 프로세스를 조기에 발견하는 데 큰 도움이 됩니다.
PC 클리너는 불필요한 정크 파일을 삭제하고 손상되거나 깨진 레지스트리 항목을 복구해 줍니다. 다시 말해, 멀웨어가 숨을 수 있는 은신처를 상당 부분 제거할 수 있습니다.
백신 프로그램의 효과를 극대화하려면 윈도우를 안전 모드로 부팅하세요. 안전 모드는 윈도우 운영체제에 기본 포함된 요소를 제외한 모든 앱과 설정을 차단하는 최소 실행 환경입니다.
안전 모드로 부팅하려면 다음 단계를 따르세요.
- 윈도우 로고 키를 누르고 설정을 엽니다.
- 업데이트 및 보안 > 복구를 선택합니다.
- 고급 시작 옵션에서 지금 다시 시작을 클릭합니다.
- 재부팅 후 나타나는 옵션 선택 화면에서 문제 해결 > 고급 옵션 > 시작 설정 > 다시 시작을 선택합니다.
- 재부팅 후 표시되는 목록에서 F5 키를 눌러 네트워킹이 있는 안전 모드를 선택합니다.
네트워킹이 있는 안전 모드에서는 인터넷에 접속해 복구 도구를 내려받거나 도움을 요청하고, Kwampirs 제거 과정에 대한 추가 정보를 확인할 수 있습니다.
그 외에 Kwampirs 멀웨어를 제거할 수 있는 방법은 다음과 같습니다.
시스템 복원(System Restore) 활용하기
시스템 복원은 컴퓨터 구성과 시스템 파일을 특정 복원 지점 이전 상태로 되돌리는 윈도우 기능입니다. 앱, 멀웨어, 업데이트 또는 설정 변경 때문에 PC가 이상하게 동작할 때 유용하게 사용할 수 있습니다.
- 윈도우 로그인 화면에서 Shift 키를 누른 상태로 전원 > 다시 시작을 선택합니다.
- 재부팅 후 나타나는 옵션 선택 화면에서 문제 해결 > 고급 옵션 > 시스템 복원을 선택합니다.
- 화면에 표시되는 지시에 따라 시스템 복원을 완료합니다.
단, 시스템 복원은 Kwampirs가 감염되기 이전에 생성된 복원 지점이 컴퓨터에 존재할 때만 사용할 수 있다는 점에 유의하세요.
PC 초기화 또는 새로 고침
마지막 방법으로, PC를 초기화하거나 새로 고침해 윈도우 기본 상태로 되돌릴 수 있습니다. 파일을 유지하면서 새로 고침하려면 다음 단계를 따르세요.
- 설정 > PC 설정 변경으로 이동합니다.
- 업데이트 및 복구를 클릭합니다.
- 파일을 유지하면서 PC 새로 고침 항목에서 시작을 클릭합니다.
- 화면 지시에 따라 진행합니다.
PC를 완전히 초기화하려면 다음 단계를 따르세요.
- 설정 > PC 설정 변경으로 이동합니다.
- 업데이트 및 복구를 클릭합니다.
- 모든 항목 제거 후 윈도우 재설치 항목에서 시작을 누릅니다.
- 화면 지시에 따라 과정을 완료합니다.
Kwampirs 멀웨어를 완전하고 철저하게 제거하려면 백신 프로그램과 시스템 복원 또는 초기화 기능을 함께 활용해야 하는 경우도 있습니다.
Kwampirs 백도어 트로이목마를 제거하는 다른 방법을 알고 계신가요? 아래 댓글로 자유롭게 공유해 주세요.