랜섬웨어와 RaaS

정의와 키워드

랜섬웨어는 파일이나 시스템을 암호화하거나 잠가 두고 복구 대가로 금전을 요구하는 악성코드다.

RaaS는 이 악성코드를 서비스로 임대·판매해 공격 진입 장벽을 낮춘 비즈니스 모델이다.

정의와 키워드를 정확히 잡아 두자. 기출에서는 정의, 공격 구조 비교, 대응 절차가 함께 묻는다.

전통형과 RaaS 비교

전통형은 한 집단이 제작부터 공격까지 맡고 수익을 전부 가진다.

RaaS는 운영자와 제휴자가 역할을 나눠, 기술이 없어도 완성된 도구로 공격할 수 있다.

그래서 진입 장벽이 낮아지고, 몸값은 운영자와 제휴자가 정해진 비율로 나눈다.

비교 기준은 공격 주체의 분업 여부다.

하이브리드 암호 구조

랜섬웨어는 감염 시점에 파일마다 무작위 대칭키를 새로 만든다.

그 대칭키는 공격자의 공개키로 다시 감싸 파일 곁에 남긴다.

대칭키를 풀어 복원하려면 공격자가 가진 개인키가 필요하다.

그래서 피해자는 키 없이 파일을 되돌릴 수 없다.

감염과 암호화 절차

감염은 메일·웹·RDP 같은 경로로 최초 실행되는 침투부터 시작된다.

그다음 파일을 찾아 암호화하고 확장자를 바꾼다.

섀도 복사본과 백업 경로까지 지워 복원 수단을 없앤다.

전파 모듈은 내부망을 스캔해 같은 작업을 반복한다.

마지막으로 바탕화면에 지불 안내문을 띄워 몸값을 요구한다.

헷갈리는 점

흔한 실수는 RaaS를 랜섬웨어의 한 종류로 혼동하는 것이다.

RaaS는 악성코드 자체가 아니라 제작·유포·결제 인프라를 서비스화한 모델이다.

또 백업만 강조하고 격리와 측면 이동 차단을 빠뜨리는 것도 흔한 실수다.

백업이 침해되면 복구가 불가능하므로 백업은 분리해 보관해야 한다.

정리와 대응 순서

사고가 나면 감염을 먼저 격리하고 백업으로 복원한다.

이후 포렌식으로 침해 범위를 확인하고 신고한다.

몸값을 내도 복구가 보장되지 않는다는 점도 기억한다.

정리하면 RaaS는 분업형 서비스 모델이고, 대응은 예방과 복구 체계를 함께 갖추는 것이다.