랜섬웨어와 RaaS

왜 배우는가: 랜섬웨어는 기업과 개인을 가리지 않고 반복적으로 피해를 내며, RaaS로 공격 진입 장벽이 낮아져 공격 빈도와 규모가 함께 커지고 있다. 정보관리기술사 시험에서는 개념 정의, 공격 구조 비교, 대응 절차가 함께 묻는 기출 유형이므로 정의와 배경을 정확히 잡아 두어야 한다.

출제 이력: 제138회 4교시 5번, 제128회 1교시 12번

1. 한 줄 정의와 핵심 키워드

랜섬웨어는 파일이나 시스템을 암호화 또는 잠근 뒤 복구 대가로 금전을 요구하는 악성코드이며, RaaS는 이를 서비스 형태로 임대·판매해 공격 진입 장벽을 낮춘 사이버 범죄 비즈니스 모델이다.

• 핵심 키워드: 랜섬웨어(Ransomware), 몸값(Ransom), 서비스형 랜섬웨어(RaaS), 제휴자(Affiliate), 운영자(Operator), 이중 협박(Double Extortion), 암호화(Encryption), 수익 배분

2. 개념 풀이

쉽게 말하면 랜섬웨어는 남의 컴퓨터 파일을 못 쓰게 잠가 놓고 풀어 주는 대가로 돈을 받아 내는 악성 프로그램이다. 정식으로는 사용자의 동의 없이 저장 데이터를 암호화하거나 시스템을 잠가 정상 사용을 막고, 복구 조건으로 금전을 요구하는 악성코드를 말한다.

랜섬웨어는 공격의 대상을 가리키는 기본 용어다. 공격자는 파일을 암호화한 뒤 복호화 키를 쥐고 있으며, 피해자는 키 없이는 원상 복구가 어렵다. 이 점이 백신 제거만으로는 피해가 끝나지 않는 이유다.

서비스형 랜섬웨어(RaaS, Ransomware as a Service)는 랜섬웨어 개발자가 악성코드와 운영 인프라를 만들어 제휴자(Affiliate)에게 임대하거나 판매하고, 몸값을 나눠 갖는 모델이다. 제휴자는 기술이 부족해도 완성된 도구로 공격할 수 있다. 개발·유포·협상·결제 기능이 분업화된 것이 특징이다.

이중 협박(Double Extortion)은 데이터를 암호화하는 것에 더해 유출하겠다고 위협해 몸값 지불을 압박하는 기법이다. 백업이 있어도 유출 위협이 남아 있어 RaaS 공격에서 흔히 쓰인다.

3. 등장 배경과 필요성

랜섬웨어는 1989년 대칭키 암호 형태로 처음 등장했고, 1996년에는 공개키 암호를 쓰는 형태도 나왔다. 초기에는 개인 사용자를 노린 형태가 주를 이뤘다. 2013년 CryptoLocker가 비트코인을 결제 수단으로 쓰면서 추적이 어려워졌고, 이후 공격 수익이 커졌다.

2017년 5월 WannaCry 사태는 전 세계적 관심을 끌었다. 이 공격은 NSA 해킹 도구에서 유출된 이터널블루 취약점을 이용해 빠르게 퍼졌으며, 패치가 나온 뒤에도 피해가 이어졌다. 이후 대형 기관과 기업을 노린 공격이 급증했다.

RaaS가 확산되면서 공격자는 기술 전문성보다 자금과 협상 능력이 중요해졌다. 개발자와 운영자가 수익을 나눠 가지는 구조가 굳어지며 공격이 상업화되었다. 이에 따라 조직은 기술 통제뿐 아니라 백업, 조기 탐지, 복구 절차를 함께 갖춰야 한다. 랜섬웨어 대응이 보안 관리 체계의 필수 요소가 된 배경이다.

의료, 물류, 교육 같은 사회 기반 시설을 표적으로 삼는 경향도 강해졌다. 피해가 서비스 중단으로 이어지므로 피해 금액 이상의 사회적 영향이 생긴다. 실제 복구 비용은 몸값보다 훨씬 클 수 있어 예방 투자의 필요성이 커졌다.

4. 구성요소·원리·절차

랜섬웨어는 침투, 키 관리, 암호화, 전파, 협박 모듈로 나뉜다. 답안에는 모듈 이름과 기능을 함께 쓴다.

랜섬웨어의 핵심 원리는 하이브리드 암호 구조다. 감염 시점에 파일마다 무작위 대칭키를 새로 만들고, 그 대칭키로 파일을 암호화한다. 대칭키 자체는 공격자의 공개키로 다시 암호화해 파일 곁에 남긴다. 그러면 대칭키를 복원하려면 공격자가 보유한 개인키가 필요하다. 이 때문에 피해자는 키 없이 파일을 되돌릴 수 없다. 암호문과 키 관계는 다음과 같다.

$C = E_{K}(P)$

$K_{enc} = E_{PK}(K)$

여기서 P는 평문 파일, C는 암호문, K는 파일별 대칭키, PK는 공격자의 공개키, K_{enc}는 암호화된 대칭키다. 복호화는 K_{enc}를 개인키로 풀어 K를 얻은 뒤 C에 적용하는 순서다.

감염 후 동작은 측면 이동과 백업 제거로 이어진다. 랜섬웨어는 네트워크 공유 폴더와 연결된 시스템을 스캔해 같은 작업을 반복한다. 섀도 복사본과 백업 경로도 삭제해 복원을 막는다. 절차는 다음과 같다.

• 침투: 피싱 메일 첨부, 악성 URL, 취약점 익스플로잇, 탈취한 RDP 계정으로 최초 실행한다.
• 키 생성: 명령 및 제어(C2) 서버와 통신하고 파일별 대칭키를 생성한다.
• 파일 탐색: 로컬 드라이브와 공유 폴더, 백업 대상 파일을 찾는다.
• 파일 암호화: 대상 파일을 암호화하고 확장자를 바꾼다.
• 백업 삭제: 섀도 복사본과 백업 경로를 지워 복원 수단을 없앤다.
• 몸값 요구: 바탕화면과 파일 폴더에 지불 안내문을 띄운다.

랜섬웨어 피해 복구는 공격자의 개인키 없이는 불가능하므로 사전 백업과 침투 차단이 핵심이다.

5. 관련 법령·기준·표준

랜섬웨어 사고는 기술 대응과 법적 대응이 함께 필요하다. 개인정보가 유출되면 「개인정보 보호법」상 통지 의무가 생기며, 연락처를 알 수 없는 등 정당한 사유가 있으면 대통령령으로 정하는 바에 따라 통지를 갈음할 수 있다. 침해사고는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 신고 대상이 된다. 기술 측면에서는 NIST 사이버 보안 프레임워크(CSF)의 대응 기능과 NIST SP 800-207 제로 트러스트 원칙을 기준으로 삼는다.

위 표의 백업 원칙은 실무 표준이다. 개인정보 통지 조항은 유출 사고 대응의 법적 기준이다. NIST 프레임워크는 국내 기준이 아니므로 대응 체계의 참고 틀로만 쓴다. 답안에서는 국내 법령을 먼저 쓰고 NIST 기능을 보조 틀로 덧붙이는 순서가 적절하다.

NIST CSF의 대응 기능은 대응 계획(RS.RP), 소통(RS.CO), 분석(RS.AN), 완화(RS.MI), 개선(RS.IM)으로 나뉜다. 랜섬웨어 사고에서는 완화 단계에서 격리와 확산 차단이 가장 먼저 이뤄진다. 이후 분석 단계에서 침투 경로와 감염 범위를 확정한다.

6. 유형과 비교

랜섬웨어는 공격 방식과 수익 모델에 따라 나눌 수 있다. 암호화형은 파일을 암호화해 복호화 대가를 요구하고, 잠금형은 화면이나 시스템 접근을 막는다. 최근에는 암호화 후 데이터를 유출하겠다고 협박하는 이중 갈취(Double Extortion) 형태가 일반화되었다. 공격 주체 측면에서는 직접 공격하는 전통형과 RaaS 형으로 구분한다.