매년 새로운 랜섬웨어 변종이 등장한다는 뉴스를 접하지 않는 해가 거의 없습니다. 해커들은 인기 운영체제의 보안 취약점을 악용하고, 감염된 이메일 첨부파일을 클릭하는 등 사용자의 실수를 교묘히 이용합니다. 랜섬웨어 공격이 얼마나 흔해졌는지 보여주는 통계가 있습니다. 2019년 한 해 동안만 평균 14초마다 랜섬웨어 공격이 발생했고, 그해 피해자들이 지불한 몸값 총액은 무려 115억 달러에 달했습니다. 이는 일부 국가의 GDP보다 많은 금액입니다.
그렇다면 우리는 어떻게 여기까지 왔고, 무엇을 할 수 있을까요? 가장 좋은 출발점은 자신이 마주할 가능성이 있는 악성코드에 대한 기본 지식을 갖추는 것입니다. 지금부터 역대 가장 위험했던 랜섬웨어 10가지를 살펴보겠습니다.
1. 워너크라이(WannaCry)
워너크라이는 아마도 세계에서 가장 유명한 랜섬웨어입니다. 2017년 컴퓨터 감염을 시작으로 활동이 종료될 때까지 전 세계 수십만 대의 장치에 저장된 파일을 암호화했습니다.
같은 해 미국, 호주, 영국 정보당국은 워너크라이의 배후가 북한임을 공식 확인했으며, 이 공격은 지금까지도 역사상 가장 성공적인 랜섬웨어 공격으로 남아 있습니다. 기업, 개인, 정부에 입힌 총 피해액은 수십억 달러로 추산됩니다. 이 악성코드 제작자들은 NSA(미국 국가안보국)가 먼저 발견했던 '이터널블루(EternalBlue)'라는 윈도우 취약점을 이용해 컴퓨터에 침투했습니다. 해당 익스플로잇은 해킹 그룹 섀도우브로커스(Shadow Brokers)가 NSA에서 탈취한 것으로 알려져 있습니다.
2. 배드 래빗(Bad Rabbit)
배드 래빗은 워너크라이가 진정된 직후 등장한 랜섬웨어입니다. 주로 러시아, 우크라이나, 터키 등 동유럽 국가를 표적으로 삼았으며, 독일 등 서유럽 국가에서도 공격 사례가 보고되었습니다.
이 파일 암호화 악성코드는 인기 소프트웨어 다운로드 사이트에 심어진 악성 어도비 플래시 플레이어 다운로드를 통해 확산되었습니다. 피해자가 감염된 가짜 플래시 플레이어를 내려받는 순간, 배드 래빗은 컴퓨터의 모든 파일과 폴더 암호화를 시작합니다.
이후 피해자는 파일 복호화 조건으로 비트코인 280달러의 몸값을 요구받게 됩니다.
3. 락키(Locky)
락키는 가장 성공적인 랜섬웨어 계열 중 하나입니다. 2016년 한 해에만 기업, 개인, 정부에 약 10억 달러의 몸값 피해를 안겼습니다. 한동안 활동이 잠잠했지만, 사이버 보안 연구자들은 현재 '디아블로(Diablo)'와 '루키투스(Lukitus)' 변종으로 진화해 PC 환경에 큰 피해를 주고 있다고 경고합니다.
락키는 네크루스(Necurs) 봇넷의 도움을 받은 피싱 캠페인을 통해 확산됩니다. 최대 35,000통의 감염 이메일이 발송되며, 명품 할인 등 자극적인 문구로 피해자가 링크나 감염된 첨부파일을 클릭하도록 유도합니다.
악성코드가 시스템에 침입하면 사실상 게임이 끝난 것과 마찬가지입니다. 모든 파일과 폴더를 신속하게 암호화한 뒤 readme.txt 파일을 남겨 몸값 금액과 지불 방법을 안내합니다. 몸값을 지불하지 않으면 파일은 영구 삭제됩니다.
4. 재프(Jaff)
재프 역시 네크루스 봇넷을 이용해 악성 이메일을 대량 발송하는 랜섬웨어입니다. 시간당 최대 500만 통의 이메일을 보낼 수 있어 아무리 신중한 사용자라도 방심하기 쉽습니다. 일반적인 랜섬웨어가 수백 달러를 요구하는 것과 달리, 재프는 최대 3,000달러의 몸값을 요구하는 등 더 공격적인 수법을 사용합니다.
5. 샘샘(SamSam)
샘샘은 2016년부터 미국에서 활동해 온 랜섬웨어입니다. 공격자들은 윈도우 서버의 취약점을 악용해 피해자 네트워크에 지속적으로 접근하고, 도달 가능한 모든 호스트를 감염시킵니다. 탈취한 계정 자격 증명이라는 '정상적인' 접근 경로를 통해 침입하기 때문에 침해 사실 자체를 탐지하기가 매우 어렵습니다. 샘샘은 확산 과정에서 낮은 자세를 유지하며, 피해 대상에 대한 정보를 최대한 수집해 충분히 가치 있는 표적인지 판단합니다.
침투를 마치면 모든 파일과 폴더를 암호화하고 복호화 조건을 담은 메시지를 표시합니다. 몸값은 표적에 따라 수천 달러에서 수십만 달러까지 다양합니다.
6. 크립토락커(CryptoLocker)
크립토락커는 2013년부터 2014년 사이 막대한 피해를 낳은 강력한 랜섬웨어입니다. 그 위력이 워낙 컸던 탓에 여러 정부가 참여하는 국제 공조 끝에야 차단할 수 있었지만, 그전에 이미 제작자들에게 수백만 달러의 몸값을 안겨주었습니다.
크립토락커는 게임오버 제우스(Gameover Zeus) 봇넷이라는 백도어 트로이목마를 통해 확산되었습니다. 이 트로이목마는 사이버 범죄자들이 컴퓨터 네트워크를 통제할 수 있게 해줍니다. 시스템에 침입한 크립토락커는 비대칭 암호화 방식으로 파일을 암호화한 뒤, 몸값 금액과 지불 조건을 담은 메모를 화면에 표시합니다.
7. 퓨어락커(PureLocker)
윈도우와 리눅스 시스템을 모두 공격하는 퓨어락커는 2019년에 활발히 활동했습니다. 이 랜섬웨어가 위험한 이유는 대중적이지 않은 프로그래밍 언어인 퓨어베이직(PureBasic)으로 작성되었다는 점입니다. 그 결과 많은 백신 솔루션이 퓨어베이직 바이너리의 시그니처를 탐지하는 데 어려움을 겪습니다.
다양한 신기법으로 감염을 시도하지만, 코드 상당 부분은 '모어에그(more-eggs)' 랜섬웨어 계열 등 기존에 알려진 악성코드에서 차용한 것으로 알려졌습니다. 코발트 그룹(Cobalt Group)과 FIN6 갱이 배후로 지목되고 있습니다.
8. 테슬라크립트(TeslaCrypt)
테슬라크립트는 2016년 등장했으며 처음에는 크립토락커의 변종으로 여겨졌지만, 곧 작동 방식이 다르다는 것이 밝혀졌습니다. 이 랜섬웨어는 맵, 저장된 게임, 추가 다운로드 콘텐츠 등 비디오 게임 관련 파일을 표적으로 삼았습니다. 게이머들은 빠른 접근성과 게임 진행상의 중요성 때문에 이런 파일들을 클라우드가 아닌 로컬에 저장하는 경우가 많기 때문입니다.
파일을 암호화한 뒤 비트코인 500달러의 몸값을 요구했습니다. 같은 해 말, 알려지지 않은 이유로 제작자들이 활동을 접으면서 감염된 컴퓨터를 복호화할 수 있는 무료 도구가 공개되기도 했습니다.
9. 케르베로스(Cerber)
케르베로스는 다크웹에서 랜섬웨어 서비스(RaaS) 형태로 유통되는 랜섬웨어입니다. 누구나 이 악성코드를 구입해 원하는 조직을 감염시킬 수 있으며, 수익의 40%를 개발자에게 커미션으로 지급합니다.
수천 개의 감염된 마이크로소프트 워드 문서를 이메일로 발송하는 피싱 캠페인을 사용합니다. 문서를 열거나 다운로드하는 순간 감염 프로세스가 시작되어 모든 파일과 폴더가 암호화됩니다.
케르베로스는 2017년에 절정기를 맞아 당시 전체 랜섬웨어 공격의 26%를 차지했습니다.
10. 라이욱(Ryuk)
라이욱은 2018년과 2019년에 악명을 떨친 랜섬웨어입니다. 미국의 의료기관과 지방정부 등 고가치 조직을 주요 표적으로 삼았습니다.
라이욱은 고도의 암호화 알고리즘으로 사용자의 파일 접근을 차단한 뒤, 몸값 조건을 담은 메모를 남깁니다. 특히 감염된 컴퓨터의 윈도우 시스템 복원 기능을 비활성화할 수 있다는 점이 특징입니다. 이로 인해 암호화된 데이터를 복구하기가 훨씬 더 어려워집니다. 일부 사이버 보안 연구자들은 라이욱의 배후에 북한이 있다고 추정합니다.
랜섬웨어 공격 예방 방법
그렇다면 이런 랜섬웨어 변종으로부터 컴퓨터를 어떻게 보호할 수 있을까요? 가장 먼저 Outbyte Antivirus처럼 강력한 안티멀웨어 솔루션을 설치하는 것을 권장합니다. 앞서 살펴본 것처럼 대부분의 랜섬웨어 공격은 봇넷의 도움을 받는데, 신뢰할 수 있는 백신 솔루션이 있다면 봇넷은 비교적 쉽게 탐지하고 차단할 수 있습니다.
랜섬웨어는 윈도우 운영체제와 설치된 앱의 다양한 취약점을 통해 침투합니다. 따라서 컴퓨터를 항상 최신 상태로 유지해야 합니다. 이를 위해 드라이버 업데이터 등 다양한 도구를 활용하면 도움이 됩니다.
마지막으로, 그리고 아마도 가장 중요한 것은 항상 파일을 백업해 두는 것입니다. 만에 하나 랜섬웨어 공격의 피해자가 되더라도 소중한 파일을 지킬 수 있습니다.