랜섬웨어에 취약한 안랩 V3와 이스트소프트 알약!

Ransomware

 

먼저 ‘랜섬웨어란’(Ransomware) 몸값을 뜻하는 Ransom과 악성 코드를 뜻하는 Malware의 합성어이며, 사용자의 동의 없이 시스템에 설치되어서 무단으로 사용자의 파일을 모두 암호화하여 인질로 잡고 금전을 요구하는 악성 프로그램을 말한다. 일반적인 PC는 물론 서버, 모바일, DSLR에서까지 현존하는 거의 모든 운영체제에서 활동한다. 랜섬웨어 종류에 따라 백신 프로그램이 사전에 랜섬웨어의 암호화를 차단하기도 한다.

 

현재 유포되고 있는 99% 이상의 랜섬웨어의 암호화된 파일을 복구할 수 있는 방법은 없다. 단지 보안업체 등에서 지속적인 분석을 통해 랜섬웨어가 사용한 파일 암호화 기법의 약점을 찾아서 복구할 수 있는 방법을 연구하고 있지만, 쉽게 문제점을 발견하기 힘들고, 만약 약점이 발견되어도 공격자는 이 부분을 빠르게 수정하여 복구할 수 없게 만들어버린다.  

 

해커와 협상하지 않고 암호화된 파일을 무료로 복구할 수 있는 방법은 전 세계 보안업체 및 다양한 기관을 통해 확인된 무료 복구 툴을 ‘노모어랜섬’(NO MORE RANSOM) 사이트에서 제공하고 있다. 그러므로 해당 사이트를 방문하여 복구 프로그램을 다운로드하여 사용해 보길 권하는데, 해당 복구 프로그램은 이미 활동이 종료된 랜섬웨어를 대상으로 복구를 지원할 가능성이 매우 높으므로 현재 시간에 피해를 본 사용자에게는 큰 도움이 되지 못할 수 있다. 

 

*노모어랜섬 홈페이지→

 

 

일반적으로 안랩 V3, 알약 백신 프로그램은 랜섬웨어 악성파일을 DB 진단 시그니처 기반으로 탐지를 하지 못할 경우 랜섬웨어 실행을 허용해버리기 때문에 PC에 침투한 랜섬웨어는 파일을 암호화하기 시작한다. 이 과정에서 V3, 알약 백신 프로그램이 각 드라이브의 최상위 폴더에 생성한 미끼 폴더 내 파일을 암호화 시도하는 과정에서 차단하는 방식으로 추가적인 대응을 하고 있기는 하다.

 

해당 방식은 랜섬웨어 사전 차단 측면에서는 그럭저럭 효과가 있는 방식은 분명 하지만, 일반적인 랜섬웨어가 파일 암호화를 시작할 때 각 드라이브의 최상위부터 시작하는 경우에만 해당된다. 랜섬웨어의 종류에 따라서 다르지만 일부 랜섬웨어의 경우 V3, 알약 백신 프로그램의 미끼 폴더를 건드리지 않거나 전혀 다른 새로운 랜섬웨어가 들어온다면 속수무책으로 당할 수밖에 없다.  

 

특히 국내만을 대상으로 유포 활동을 하는 ‘매그 니버’ 랜섬웨어는 미끼 폴더를 건드리지 않는 방식으로 PC에 들어와 파일 암호화를 진행하기 때문에 사실상 V3, 알약 백신 프로그램은 무용지물에 가깝다. 

 

알약과 V3로는 랜섬웨어의 공격을 원론적으로 차단이 불가능하다. 악성코드 또는 Malware를 막는 수준에 그친다.

 

실시간 보호 기능을 제공하는 안랩 V3, 알약, 마이크로소프트 디펜더 등의 백신 프로그램을 대부분 PC 사용자들이 사용하고 있으며 각 백신 프로그램에서 제공하는 랜섬웨어 보호 기능을 통해 1차적인 방어는 가능하다. 하지만 랜섬웨어 공격자들은 기본적으로 백신 프로그램의 DB 탐지 시그니처를 통해서 차단할 수 없는 변종 랜섬웨어를 제작 유포하고 있어 문제다.  

 

끝으로 비트코인과 같은 암호 화폐가 활성화되기 이전의 랜섬웨어 공격은 일종의 데이터 파괴의 목적이 강하였으나 이것이 금전적인 수익으로 산업화가 이루어질 수 있는 환경이 구축되면서 하나의 사이버범죄 비즈니스 생태계로 변화하고 있다. 

 

랜섬웨어는 단순히 기업 또는 개인의 데이터를 암호화하여 수익을 창출하는 것을 넘어서 최근에는 파일 암호화 이전에 기업의 민감한 데이터를 수집하여 외부로 유출한 후 랜섬웨어 공격을 진행하여 파일 복구를 위한 금전뿐만 아니라 유출된 데이터를 외부에 판매, 공개하지 않는 조건으로 추가적인 금전을 요구하는 등 이중 협박을 진행하고 있다. 

 

 

게다가 만약 돈을 지불하지 않는 경우에는 디도스 공격 또는 해당 기업의 고객들에게 연락하여 랜섬웨어 피해 사실을 통보하여 기업의 이미지를 훼손하는 등 3중 협박까지 진행하는 것으로 알려져 있다. 

 

랜섬웨어는 근본적으로 암호화폐를 통해 현금화가 불가능해지지 않는다면 앞으로도 기업과 개인에게 지속적인 위협으로 자리 잡을 것이며 공격 방식도 과거의 방법 외에도 정상적인 서비스를 제공하는 솔루션에 접근하여 정상적인 프로그램의 다운로드 또는 업데이트 기능 등을 가장해 짧은 시간에 대량으로 유포하는 공급망 공격 방식으로 확대되고 있으므로 인터넷에 연결된 장치는 랜섬웨어의 공격으로부터 자유로울 수 없을 것이다. 

 

정리- 랜섬웨어의 침입을 막기위해서는 첫 번째, 가급적이면 엄한? 사이트에 접속하는 것을 피해야 하며 두 번째, 상용 프로그램을 무료로 다운로드할 수 있는 사이트는 한 번쯤 의심을 해봐야 하며 또 함부로 다운로드하지 말아야 한다.세 번째, 무료로 배포하는 안랩 V3, 알약이나 윈도 디펜더 등의 무료 버전들은 거의 랜섬웨어를 막지 못하기 때문에 너무 맹신하는 것은 금물이며 네 번째, 만약 랜섬웨어에 걸려들었다면 일차적으로 노모어랜섬 홈페이지에서 복구 프로그램을 다운로드하여 실행한 후 그다음 진행과정을 지켜보아야 한다.