네피림(Nefilim) 랜섬웨어에 감염되었거나 감염을 우려하고 계신가요? 혼자만의 고민이 아닙니다. 이미 수많은 사용자가 이 랜섬웨어로 인해 피해를 호소해 왔습니다.
이 글에서는 네피림 랜섬웨어가 무엇인지, 어떤 방식으로 작동하는지, 그리고 시스템에서 제거하고 완전히 없애는 방법까지 체계적으로 안내해 드립니다.
네피림 랜섬웨어란 무엇인가?
네피림은 2020년 2월 말 인터넷에 처음 등장해 빠르게 확산되기 시작한 신종 랜섬웨어입니다. IT 보안 매체 Bleeping Computer의 보고에 따르면, 네피림의 코드에는 기존 넴티(Nemty) 2.5 버전의 업그레이드형임을 나타내는 특징이 발견되었다고 합니다.
두 악성코드는 코드 구조에서 유사성을 공유하지만, 작동 방식에는 중요한 차이점이 존재합니다.
기존 넴티와 달리 네피림은 Tor 결제 사이트 대신 이메일을 통해 피해자와 직접 소통하며 몸값을 요구합니다. 또한 넴티의 핵심 기능이었던 '랜섬웨어 서비스(RaaS, Ransomware-as-a-Service)' 모델도 폐지했습니다. 다만 넴티의 배후 세력과 동일한 조직이 네피림을 만들었는지는 아직 명확히 확인되지 않았습니다.
네피림 랜섬웨어는 어떻게 작동하는가?
네피림 랜섬웨어는 시스템에 침투한 뒤 파일을 암호화하고, 복호화를 조건으로 금전을 요구하는 전형적인 랜섬웨어 방식으로 작동합니다. 하지만 그만의 독특한 운영 방식을 갖추고 있습니다.
- 유포 경로: 정확한 유포 방식은 아직 완전히 밝혀지지 않았지만, 보안 연구자들은 노출된 원격 데스크톱 서비스(RDP)를 통한 침투 가능성이 가장 높다고 분석하고 있습니다.
- 이중 암호화: 실행되는 즉시 AES-128과 RSA-2048 두 가지 알고리즘을 조합해 피해자의 파일을 암호화합니다.
- 1단계 – AES-128: 먼저 AES-128 알고리즘이 피해자의 파일들을 암호화합니다.
- 2단계 – RSA-2048: 이 AES 암호화 키는 랜섬웨어 실행 파일에 내장된 RSA-2048 공개 키로 다시 한번 암호화됩니다.
- 키 삽입: 암호화된 AES 키는 각 암호화 파일의 내부에 추가됩니다. 이 키는 오직 랜섬웨어 개발자 또는 운영자만 보유한 RSA 개인 키로만 복호화할 수 있습니다.
- 확장자 변경: 네피림은 암호화된 모든 파일에 '.NEFILIM' 확장자를 붙입니다. 예를 들어 'state.doc'이라는 파일은 암호화된 후 'state.doc.NEFILIM'으로 이름이 변경됩니다.
- 파일 마커: 암호화된 AES 키 외에도 모든 암호화 파일에 'NEFILIM'이라는 마커 문자열을 삽입합니다.
- 몸값 요구서: 암호화가 완료되면 'NEFILIM-DECRYPT.txt'라는 랜섬 노트를 생성하여 피해자에게 파일 복구 방법을 안내합니다.
네피림은 이전 랜섬웨어들보다 더 정교하게 설계된 것으로 평가받습니다. 랜섬 노트에는 결제 문의용 연락처 이메일이 여러 개 기재되어 있으며, 공격일로부터 7일 이내에 몸값을 지불하지 않으면 피해자의 데이터를 공개하겠다고 협박하는 이중勒索(더블 익스턴션) 전술까지 사용합니다.
몸값을 지불해야 할까?
이 딜레마에 대한 정답은 없습니다.
몸값을 지불하면 복호화 키를 받아 파일을 되찾을 수 있을 것 같지만, 네피림 운영자가 실제로 키를 건네줄 것이라는 보장은 전혀 없습니다. 과거 사례를 보면 이런 범죄자들이 약속과 달리 복호화 도구를 전달하지 않거나, 키를 받아도 일부 파일만 복구되는 경우가 많았습니다.
따라서 전문가들은 랜섬웨어 운영자와 어떤 식으로든 접촉하지 말 것을 권고합니다.
감염 피해자가 해야 할 일
네피림 랜섬웨어에 감염되었다면 가장 먼저 해야 할 일은 시스템에서 랜섬웨어를 즉시 제거하는 것입니다. 악성코드가 시스템에 머무는 시간이 길어질수록 추가 데이터 유출 및 암호화 피해가 커질 수 있습니다. 위협을 성공적으로 제거한 후에야 백업본 등을 활용한 데이터 복구 작업을 진행할 수 있습니다.
네피림 랜섬웨어 제거 방법
컴퓨터 시스템에서 네피림 랜섬웨어를 제거하는 것이 문제를 해결하는 유일하고 안전한 방법입니다. 제거 방법은 크게 두 가지입니다.
- 자동 제거 도구 활용: 신뢰할 수 있는 백신 프로그램이나 전문 랜섬웨어 제거 도구를 사용하는 방법으로, 일반 사용자에게 가장 권장됩니다.
- 수동 제거 방식: 컴퓨터 활용 경험이 필요하고 복잡할 수 있으며, 경우에 따라 전문가의 도움을 받아야 하는 방법입니다.
네피림 랜섬웨어 완전 삭제하기
랜섬웨어 본체와 관련된 모든 파일을 영구적으로 삭제해야 재감염을 막을 수 있습니다. 제거 작업을 시작하기 전에 먼저 컴퓨터를 '네트워킹 지원 안전 모드(Safe Mode with Networking)'로 부팅해야 합니다.
Windows XP / Vista / 7 사용자
- 컴퓨터를 재시작합니다.
- 부팅이 시작되기 전에 F8 키를 여러 번 누릅니다. (시스템이 정상 부팅되는 것을 막고 고급 부팅 옵션 화면으로 진입합니다.)
- 고급 부팅 옵션 화면에서 '안전 모드 및 네트워킹 사용(Safe Mode with Networking)'을 선택합니다.
- Enter 키를 눌러 진입합니다.
Windows 8 / 10 사용자
- 시작 버튼을 클릭한 후 설정을 선택합니다.
- 업데이트 및 보안을 클릭합니다.
- 복구 메뉴로 이동한 뒤 지금 다시 시작을 클릭합니다.
- 재부팅 후 문제 해결 > 고급 옵션 > 시작 설정 > 다시 시작 순서로 진행합니다.
- 마지막 재시작 후 F5 키를 눌러 네트워킹 지원 안전 모드 사용을 활성화합니다. (이후 화면의 지침을 따릅니다.)
결론
지금까지 네피림 랜섬웨어의 개요와 작동 방식, 그리고 제거 방법을 살펴보았습니다.
랜섬웨어 감염은 누구에게나 닥칠 수 있는 끔찍한 경험입니다. 하지만 올바른 대응 절차를 알고 있다면 피해를 최소화할 수 있습니다. 평소 중요 데이터의 백업을 생활화하고, 출처 불명의 첨부 파일이나 링크를 열지 않으며, RDP 포트를 안전하게 관리하는 것이 최선의 예방책입니다. 랜섬웨어 관련 추가 문의사항이 있다면 댓글을 통해 알려주세요.