2017년부터 2018년까지 랜섬웨어는 사이버 공간을 지배하는 가장 강력한 위협으로 자리 잡았습니다. 기업 규모와 무관하게 이러한 공격은 개인과 조직이 감염되어 암호화된 자신의 파일을 되찾기 위해 수백만 달러를 지불하도록 몰아붙였습니다. 비트코인과 같은 가상화폐의 폭발적인 성장은 추적 흔적을 거의 남기지 않는 결제 수단을 제공했고, 디지털 협박을 통한 막대한 수익 구조가 만들어지면서 랜섬웨어는 개인과 기업 모두에게 실질적인 위협이 되었습니다.
보고서에 따르면 개인 사용자는 10초마다, 기업은 40초마다 랜섬웨어 공격에 노출되고 있습니다. 더욱 심각한 것은 최근에는 기술 지식이 부족한 사람들조차 온라인에 공포를 퍼뜨리기 위해 랜섬웨어 복제 변종을 만들려 시도하고 있다는 점입니다.
이러한 위협은 당분간 사그라들기 어려워 보입니다. 그렇다면 지금까지 등장한 가장 파괴적인 랜섬웨어 공격들을 하나씩 살펴보겠습니다.
대표적인 대형 랜섬웨어 공격 사례
1. 간드크랩(GandCrab)
간드크랩은 2018년 가장 악명 높은 랜섬웨어로, 현재까지 엄청난 규모로 확산되었습니다. 단순히 사용자의 데이터 접근을 차단하는 기존 방식에서 한 발 더 나아가, 새로운 공격 기법을 도입한 것이 특징입니다.
시스템에 침투한 뒤 모든 파일을 .GDCB 확장자로 암호화합니다(예: beach.jpg → beach.jpg.GDCB). 암호화가 완료되면 현재 상황과 해독 절차에 대한 안내가 담긴 GDCB-DECRYPT.txt 파일을 생성합니다. 피해자는 TOR 브라우저로 웹페이지에 접속해야 하며, 간드크랩 개발자가 운영하는 원격 서버에 저장된 복호화 키를 얻으려면 약 1.5 Dash(약 $300~$500)의 몸값을 지불해야 합니다. 결제가 완료되면 복호화 키가 전달됩니다.
2. 워너크라이(WannaCry)
워너크라이는 아마도 역사상 가장 유명한 랜섬웨어 공격일 것입니다. 150개국으로 확산되었고, 영국 국민건강서비스(NHS)와 같은 고위험 표적까지 덮친 광범위한 영향력 때문입니다.
워너크라이는 여러 구성 요소로 이루어진 '드로퍼(dropper)' 형태로 시스템에 침투합니다. 여기에는 파일을 암호화·복호화하는 애플리케이션, 암호화 키가 담긴 파일, IP 추적을 어렵게 만드는 TOR 브라우저 사본이 포함됩니다. 해커는 데이터 손실을 암시하며 긴박감을 조성하고, 제한된 기간 내에 수백 비트코인의 몸값을 요구합니다.
최초 확산 경로는 마이크로소프트의 SMB(Server Message Block) 프로토콜이었습니다. SMB는 주로 폐쇄된 내부 네트워크에서 컴퓨터 간 파일 공유에 사용되지만, 네트워크에 연결된 단 한 대의 PC가 공용 네트워크에 노출되면 악용될 수 있습니다. 결국 SMB 노드에 연결된 모든 시스템이 이 공격에 취약해졌습니다.
함께 읽으면 좋은 글: 스프라이트코인(SpriteCoin) 랜섬웨어 조심하세요!
3. 골든아이(GoldenEye)
'노티피야(NotPetya)'로도 알려진 골든아이는 페덱스(FedEx), 머크(Merck), 캐드버리(Cadbury), A.P.몰러-마스크(AP Moller-Maersk) 같은 수조원 규모의 글로벌 기업 시스템을 집어삼켰습니다. 이들 기업의 합산 자산 가치는 $1,300억에 달합니다. 컴퓨터 한 대당 $300 이상의 몸값을 요구했을 것이라 예상되지만, 실제 이 해커들의 진짜 목표는 금전이 아니라 데이터 파괴였습니다.
골든아이는 페티야(Petya) 계열(그래서 NotPetya라 불림)에 속하며, 컴퓨터의 핵심 파일을 암호화하고 민감한 인증 정보를 탈취하며 하드 드라이브까지 장악합니다. 워너크라이와 비교하면 워너크라이는 오히려 기본적인 수준입니다. 골든아이는 데이터를 장악할 뿐만 아니라 컴퓨터를 강제 재부팅시키고 모든 로그를 동시에 삭제해 해커 추적 자체를 불가능하게 만듭니다.
침투 경로는 네트워크 내부의 누군가가 악성 이메일이나 조작된 워드 문서로 사용자를 속이는 방식입니다. 지금까지 등장한 랜섬웨어 중 가장 지능적인 악성코드라 평가됩니다.
4. 크립토락커(CryptoLocker)
크립토락커는 전통적인 랜섬웨어 모델로 작동합니다. 트로이목마가 시스템에 침투해 중요 파일 전체를 암호화한 뒤, 파일 복원에 필요한 복호화 키를 제공한다며 $300을 요구했습니다.
공격은 소셜 엔지니어링 기법에 기반합니다. 정상 파일처럼 보이는 비밀번호 보호 ZIP 파일을 이메일 첨부파일로 보내 사용자가 직접 실행하도록 유도하는 방식입니다. 사용자가 파일을 열면 트로이목마가 백그라운드에서 자동 실행되며, 암호화하는 파일마다 개별 대칭 키를 생성합니다. 암호화 방식은 RSA 2048비트였습니다.
5. 지크립트(zCrypt)
지크립트는 바이러스처럼 행동하는 랜섬웨어입니다. 다른 랜섬웨어가 이메일이나 다운로드를 통해 퍼지는 것과 달리, USB 메모리를 통해 컴퓨터 간에 확산됩니다.
대상 시스템에 도달하면 autorun.inf 파일을 생성해, 감염된 USB가 다른 시스템에 연결되는 순간 자동으로 실행되도록 만듭니다. 모든 데이터를 암호화한 뒤 공격자는 4일 이내의 결제를 요구하며, 기한이 지나면 몸값이 인상되고 7일 이내에 지불하지 않으면 해커 서버의 복호화 키가 파기됩니다(2016년 1월 공격 사례 기준).
지크립트의 가장 큰 문제점은 사용자가 데이터를 포기하더라도 시스템을 정상적으로 사용할 수 없다는 점입니다. 기존 데이터를 암호화한 뒤에도 활동을 멈추지 않고, 파일 변경이나 신규 파일 생성을 계속 감시하며 새로운 파일까지 암호화하기 때문입니다. 악성코드를 완전히 제거하기 전까지는 벗어날 방법이 없습니다.
위의 공격들 외에도 최근에는 Quant Loader라 불리는 위협 또는 트로이 목마가 담긴 악성 첨부파일을 배포하는 이메일 공격이 주목받고 있습니다. 이 악성코드는 랜섬웨어와 비밀번호 탈취 프로그램을 설치할 수 있으며, 인터넷 익스플로러의 오래된 취약점을 악용해 게이트웨이 보안 기능을 우회합니다.
특히 이번 공격의 새로운 점은 웹 브라우저 대신 Samba를 이용해 파일을 다운로드한다는 것입니다. 이를 통해 보안 기능을 완전히 우회합니다. 공격 이메일은 청구서 형태를 하고 있거나 첨부파일만 있는 빈 본문의 메일로 확인되며, 첨부된 .zip 파일 안에는 윈도우 스크립트 파일(.wsf)이 들어 있습니다. Quant Loader가 파일을 설치할 때 Samba를 이용하면 https:// 주소 대신 file:// 주소를 사용하기 때문에 기존 보안 필터링을 쉽게 통과합니다.
IT 관리자가 조직을 보호하는 방법
랜섬웨어 공격 위험을 최소화하기 위해 조직을 선제적으로 보호할 수 있는 실질적인 팁을 정리했습니다.
- 2단계 인증(2FA) 활용 – 피싱 캠페인은 여전히 매우 효과적인 공격 수단입니다. 직원들의 실수로 인한 피해를 줄이는 데 큰 도움이 되며, 인증 정보가 유출되거나 도난당하더라도 2단계 인증이 피해 규모를 일정 부분 제한해 줍니다.
- 모든 민감한 데이터 암호화 – 어떤 회사든 한 번쯤은 데이터 유출 문제를 겪을 수 있습니다. 핵심 정보를 미리 암호화해 두면, 설령 유출되더라도 해커가 해당 데이터를 활용하지 못하게 할 수 있습니다.
- 물리적 보안도 함께 관리 – 데이터는 오프라인에서도 도난될 수 있습니다. 감시 카메라를 활용해 아무도 제한 구역에 출입하여 회사 데이터를 훔치거나 변조하지 못하도록 하는 것이 필수적입니다.
- 가장 취약한 공격 경로 확보 – 이메일 – 이메일은 랜섬웨어 공격에 가장 노출되기 쉬운 통로입니다. 대부분의 공격은 사진, 영상, 문서, 유튜브 링크 등 악성코드가 담긴 평범한 첨부파일 이메일로 시작됩니다. 메일이 실제 자신에게 온 것이거나 발신자를 직접 아는 경우가 아니라면 열지 마세요. 출처 불명의 메일을 받았다면 즉시 회사 데이터 보안 담당자에게 알리고 삭제하십시오.
- 직원 교육 강화 – 사이버 보안이 조직에 얼마나 중요한지 직원들에게 교육하고, 무엇보다 공격 징후를 인식하고 적절히 대응하는 방법을 가르쳐야 합니다.
- 항상 경계하기 – 공격을 기다리지 말고 경계심을 유지하며, 법 집행 기관의 데이터 유출 정보를 학습하세요. 로그 파일을 적극 활용해 공격이나 보안 문제의 초기 징후를 조기에 식별하십시오.
공격에 대응하는 최신 방법은?
모든 데이터를 로컬 백업 서버에 복제해 저장하던 과거의 대응 방식은 이제 시대에 뒤떨어집니다. 물론 대부분의 경우 조직이 데이터베이스를 빠르게 복구하는 데 도움이 되지만, 대규모 사이트 장애 상황까지는 감당하지 못합니다. 반면 클라우드는 백업 서버와 메인 서버 간 파일 공유를 매우 쉽게 만들어 이 산업에 긍정적인 영향을 주었습니다. 인터넷 연결을 통한 파일 전송이 해킹당할 걱정 없이 데이터를 공유할 수 있게 된 것입니다.
그러나 랜섬웨어 역시 시간이 지나며 진화해, 메인 서버뿐 아니라 백업 서버까지 오염시키는 자체적인 전술을 갖추게 되었습니다.
오늘날 이 문제에 대한 해답은 인공지능(AI) 기반 머신러닝 기술입니다. 머신러닝을 활용하면 개발자는 과거 랜섬웨어 공격 데이터베이스로 모델을 학습시키고, 이후 분석은 머신러닝 프로세스에 맡겨 이전 공격들의 패턴을 연결해 새로운 변종을 신속하게 이해하고 방어할 수 있습니다.
지금까지의 흐름을 보면 랜섬웨어 공격은 시간이 갈수록 증가하고 그 피해도 커질 것입니다. 조직들은 이메일 검사, 다운로드 필터링, 시스템 업데이트 같은 기본 보안 수칙을 지키는 대신 해커에게 돈을 지불하는 일이 계속되어서는 안 됩니다. 선제적인 예방이야말로 최선의 방어라는 점을 기억해야 합니다.