Theft Ransomware

현대의 위협 환경은 무자비합니다. 사이버 범죄자들은 준비되지 않은 사용자를 악용하기 위해 끊임없이 도구를 개선하고 있습니다. 이러한 위협 중 가장 큰 피해를 입히는 것은 데이터를 암호화하고 피해자의 돈을 갈취하는 악성 소프트웨어인 랜섬웨어입니다. 이러한 새로운 변종 중 하나는 '도난 랜섬웨어(Theft Ransomware)'로 알려져 있으며, 이미 예상치 못한 시스템에 큰 피해를 입히는 것으로 관찰되었습니다.

랜섬웨어 도난을 위험하게 만드는 요인

도난 랜섬웨어는 개인과 조직을 모두 노리는 것으로 악명 높은 다르마 랜섬웨어 계열과 관련된 새로운 변종입니다. 기기에 침투하면 이 맬웨어는 파일을 암호화하고 다음과 같은 내용을 추가하여 이름을 변경합니다.

• 고유한 피해자 ID
• 공격자의 이메일 주소
• '.theft' 확장자

예를 들어, '1.png'는 '1.png.id-9ECFA84E.[datatheft@tuta.io].theft'가 됩니다.

피해자는 텍스트 파일('info.txt')과 팝업 창 형태의 몸값 요구 메시지를 받게 됩니다. 텍스트 메시지는 연락처 정보만 제공하는 간결한 반면, 팝업 창은 몸값을 지불하면 데이터 복구가 가능하다는 안심 메시지를 포함하여 더 자세한 정보를 제공합니다. 공격자는 중요하지 않은 작은 파일 세 개를 무료로 복원할 수 있도록 허용하는 '복호화 증명'까지 제공합니다.

범죄자들은 민감한 비즈니스 데이터를 훔쳤다고 주장하며 지불이 거부되면 데이터를 유출하겠다고 위협하며 압박을 가하고 있습니다.

위협의 기술적 특성

다른 Dharma 기반 변종과 마찬가지로 Theft Ransomware는 전체 시스템을 잠그지 않고 로컬 및 네트워크 공유 파일을 암호화합니다. 이 맬웨어는 다음과 같은 활동을 합니다.

• 사용 중인 파일(데이터베이스, 리더 등)에 연결된 프로세스를 종료합니다.
• %LOCALAPPDATA% 경로에 자체를 복사하고 Run 키를 통해 지속성을 등록합니다.
• 시스템 재부팅 시 자동 시작되도록 설정합니다.
• 쉬운 복구를 방지하기 위해 볼륨 섀도 복사본을 삭제합니다.

또한 이 맬웨어는 암호화를 진행할지 여부를 결정하기 위해 지리적 위치 데이터를 수집하며, 특정 지역을 제외할 수도 있습니다.

감염이 퍼지는 방식

랜섬웨어는 여러 가지 침투 전략을 사용하는데, 가장 흔한 것은 보안이 취약한 RDP(원격 데스크톱 프로토콜) 서비스입니다. 보안이 취약한 계정에 대한 무차별 대입 공격과 사전 공격이 빈번한 침투 경로입니다. 일단 침투하면, 악성코드는 방화벽을 비활성화하여 공격의 효율성을 높일 수도 있습니다.

기타 잘 알려진 유통 채널은 다음과 같습니다.

피싱 및 소셜 엔지니어링 – 이메일, DM, 게시물에 악성 첨부 파일이나 링크가 포함되어 있습니다.

트로이 목마와 백도어 – 랜섬웨어를 조용히 유포하는 데 사용됩니다.

악성 광고 및 드라이브바이 다운로드 – 손상된 웹사이트를 방문하는 것만으로도 발생합니다.

의심스러운 소프트웨어 출처 – 불법 복제 도구, 프리웨어 번들, 가짜 업데이트.

이동식 미디어 및 로컬 네트워크 – 악성 소프트웨어가 시스템에 침투하면 내부적으로 확산될 수 있습니다.

몸값을 지불하는 것이 위험한 도박인 이유

공격자의 키 없이 도난으로 암호화된 파일을 복호화하는 것은 거의 불가능합니다. 일부 랜섬웨어 변종에는 결함이 있지만, 다르마 기반 위협은 대개 견고하게 구축되어 있습니다. 중요한 것은 몸값을 지불한다고 해서 복구가 보장되지 않는다는 것입니다. 많은 피해자들이 돈을 이체한 후에도 빈손으로 남게 됩니다. 더 심각한 것은 몸값 지불은 추가적인 범죄 활동의 자금줄로만 작용한다는 것입니다.

랜섬웨어에 대한 방어 강화

랜섬웨어 도난에 맞서는 가장 좋은 방법은 예방입니다. 맬웨어를 제거해도 암호화된 파일은 자동으로 복원되지 않으므로 사용자는 복원력과 선제적 방어에 집중해야 합니다. 모든 사용자가 따라야 할 핵심 지침은 다음과 같습니다.

• 정기 백업 – 감염된 시스템에 매핑되지 않은 오프라인 드라이브 및 클라우드 서비스와 같은 여러 안전한 위치에 중요한 파일의 사본을 보관합니다.
• 소프트웨어 및 시스템 업데이트 – 랜섬웨어가 악용하는 취약점을 해결하기 위해 패치를 적용합니다.
• 강력한 인증 사용 – 고유하고 복잡한 비밀번호로 RDP 서비스를 보호하고 다중 요소 인증을 활성화하세요.
• 이메일과 링크에 주의하세요. 예상치 못한 첨부 파일을 열거나, 합법적인 것처럼 보이더라도 알 수 없는 링크를 클릭하지 마세요.
• 관리자 권한 제한 – 잠재적인 맬웨어 실행의 영향을 줄이기 위해 권한을 제한합니다.
• 신뢰할 수 있는 보안 도구 설치 – 랜섬웨어 보호 기능이 있는 맬웨어 방지 솔루션을 활용하세요.

• 매크로 및 스크립팅 비활성화 – 많은 랜섬웨어 공격은 Office 문서나 스크립트를 통해 발생합니다.

• 네트워크 분할 – 맬웨어가 비즈니스 환경 전반으로 측면 확산되는 것을 방지합니다.

마지막 생각

랜섬웨어 절도는 다르마(Dharma) 계열의 지속적인 진화와 전 세계 랜섬웨어 공격에서 그 지속적인 역할을 강조합니다. 암호화, 데이터 유출, 그리고 갈취가 결합된 이 랜섬웨어는 특히 파괴력이 강합니다. 깨끗한 백업 없이는 파일 복구가 불가능한 경우가 많기 때문에, 진정한 방어책은 다층적인 예방, 강력한 사이버 보안, 그리고 신뢰할 수 있는 복구 전략뿐입니다.