랜섬웨어

랜섬웨어란

랜섬웨어는 데이터나 시스템을 잠가 복구 대가로 금전을 요구하는 악성코드다.

과거 바이러스가 파괴를 목적으로 했다면, 랜섬웨어는 금전 획득을 목적으로 한다.

핵심 키워드는 암호화, 이중협박, RaaS다.

하이브리드 암호 방식

공격자는 무작위 대칭키로 파일을 암호화한다.

그 대칭키는 공격자 공개키로 다시 암호화한다.

짝이 되는 개인키가 없으면 대칭키를 복원할 수 없어 스스로 복호화하기 어렵다.

이것이 하이브리드 암호 방식이다.

이중협박과 복구의 한계

이중협박은 암호화에 더해 데이터 유출을 협박 수단으로 쓰는 방식이다.

백업으로 복구가 가능해도 유출 위협이 남아 몸값 압박의 근거가 된다.

그래서 백업만으로는 이중협박에 대응할 수 없다.

RaaS 분업 구조

RaaS는 랜섬웨어를 서비스 형태로 제공하는 분업형 사이버범죄 모델이다.

운영자는 도구, 인프라, 몸값 협상 절차를 제공하고 제휴자는 유포와 침투를 맡는다.

수익은 성공한 몸값 지불에 연동되어 나뉘며 제휴자는 악성코드를 직접 만들 기술이 없어도 공격할 수 있다.

사전·사후 대응

랜섬웨어 대응은 기술적 측면과 관리적 측면을 나눠 쓴다.

사전에는 패치 관리, 이메일·웹 보안, EDR, 접근 통제, 교육을 둔다.

사후에는 감염 시스템 격리, 원인 분석, 신고, 복구, 재발 방지를 한다.

감염 시스템은 먼저 격리하고 나서 원인을 분석해야 한다.

백업의 함정

앞 문제의 정답은 제휴자다. 실제 유포와 침투를 맡는 쪽이다.

공격자는 NAS 등 네트워크에 연결된 백업도 삭제를 시도한다.

그래서 감염 PC와 네트워크에서 분리된 오프라인 백업이 필요하다.

정리

정답은 오프라인 백업이다. 감염 네트워크와 분리된 백업이어야 한다.

랜섬웨어는 암호화와 이중협박으로 금전을 요구하는 악성코드다.

RaaS 분업 구조를 알고 사전 예방과 사후 복구를 함께 설계해야 한다.

백업만으로는 충분하지 않다는 점을 답안에 함께 적어야 한다.