랜섬웨어 방지, 대비, 발생 후 처리

 

 

 

랜섬웨어는 몸값(데이터)과 악성코드를 의미한 Ransom+Malware 합성어다.

 

보통, 기사에서만 접했기 때문에 내가 직접 당하게 될줄은 상상도 못했다. 랜섬웨어중에서도 아직 해결책이 없는 Sodinokibi 라는 종류에 걸리게 되었고, 매우 당황하여 생각보다 실수가 많게 대처하였다.

 

혹시, 랜섬웨어가 걸리기 전에 이 글을 읽게되어 부디 피해가 적길 바라며, 조사했던 내용들을 공유한다.

 

 

1. 랜섬웨어 방지

많은 분들이 알겠지만, 알 수 없는 프로그램을 다운/설치/실행 등을 하여 랜섬웨어가 걸리게 된다.

 

가장 좋은 첫 번째, 방법은 저작자가 묘연한 프로그램 및 파일은 절대 다운받지 말고 실행도 시키면 안된다.

 

특히, 스스로가 특정 행위를 위해 걸린다면 반성이라도 하지만 알 수 없는 메일의 첨부파일로 랜섬웨어가 걸린 분들은 매우 억울할 것 같다.

 

검색을 통해 알게된 사실이지만, 요새는 .exe 뿐만 아니라 .zip, .js 등의 파일로도 랜섬웨어가 걸린다고 한다.

 

두 번째로는 어떠한 상황에서도 윈도우 디펜더 설정을 해제하지 않는 것이다. 어느 순간에 파일들이 변조되어 정확한 원인을 찾기는 어렵지만, 저작자가 묘연한 프로그램을 실행하고 윈도우 디펜더를 잠시 해제한 순간부터 컴퓨터가 이상해짐을 느낄 수 있었다.

 

마지막으로는 보안 프로그램을 추가로 설치하는 것이다. 이것저것 조사를 하다보니 'AppCheck' 과 '알약' 에 대한 평이 좋아서 이 두가지를 사용하기로 정했다.

www.checkmal.com/product/appcheck/?lang=ko

제품 소개 - 체크멀

www.estsecurity.com/public/product/alyac?gclid=Cj0KCQiA7YyCBhD_ARIsALkj54pMqTBFGS61_G8rQMdbTrAelpdIePfkoQ2QejBWo2uWe58kC_1bDmoaAvyiEALw_wcB

이스트시큐리티 | 알약

 

2. 랜섬웨어 대비

랜섬웨어를 대비한다는 행위 자체가 참 애매한데, 점차적으로 데이터가 매우 소중한 시대가 다가오고 있으니 자신의 데이터를 소중히 여기는 마음으로 대비함이 좋을 것 같다.

 

데이터는 누군가에겐 아무 가치가 없을 수 있으나 나에게는 매우 소중할 수도 있으니 나중에 후회하지말고 꼭 대비를 하시길...

 

랜섬웨어 대비를 하는 것 중 가장 좋은 방법은 역시, 보안이 지원되는 중가형 NAS에 백업하거나 현재 사용하는 컴퓨터와 인터넷으로 연결되지 않은 컴퓨터에 백업하는 것이다.

 

그리고 백업용 컴퓨터가 인터넷에 연결되지 않는 상태라면 더더욱 좋을 것이다. 하지만, 이런 수고스러움을 누가 사서할지... 의문이 든다.

 

두 번째로는 구글 드라이브처럼 클라우드를 사용하는 것이다.

 

평소에도 구글클라우드를 사용하고 사용중인 PC와 연동하여 사용중이었는데 랜섬웨어가 걸렸다. PC에만 저장되어 있던 것은 결국 복원하지 못하였고 포멧을 했다.

 

하지만 구글 클라우드의 경우 파일별로 버전관리를 하고 있어 다행히 랜섬웨어가 걸리기 전의 파일들이 모두 보존되고 있었다. 비록, 많은 데이터를 잃었으나 최근에 자주 사용하던 자료들이 살아있어 매우 다행으로 여긴다.

 

여담으로, 개인적으로 공부하면서 사용하던 코드들이 모두 날라가게 되었다.

 

요새, 'Github' 처럼 좋은 무료 클라우드도 많으니 부디 연습용이라도 'Github'를 사용하길 권장드린다. ( 공부했던 코드들을 다시 작성할 생각을 하니 답답하다.. )

www.google.co.kr/drive/apps.html

Google 드라이브

github.com/

GitHub: Where the world builds software

 

3. 랜섬웨어 발생 후 처리

랜섬웨어가 발생했다면, 가장 먼저 해야할 일은 분리할 수 있는 저장 장치들은 모두 분리해하는 것이다.(e.g. USB, 외장하드 등)

 

그리고 앞서 권장드린 'AppCheck' 및 '알약' 같은 백신 프로그램으로 바이러스를 제거한다. 윈도우 디펜더가 해제되어있으면 이 또한 재설정 해준다.

 

그리고 메모장으로 바탕화면에 하나의 파일을 저장해보고 변환되는지를 체크한다.

 

아직도 변조되고 있으면, 랜섬웨어가 지워지지 않았거나 백신 프로그램이 막아주지 못하고 있는 상황인 것이다.

 

이런 테스트를 안해보고 바이러스가 삭제 되었거니, 생각하고 외장하드를 연결하여 외장하드의 데이터조차도 손실되어버렸다.

 

그 다음, '노모어랜섬' 사이트에 접속하여 복원이 가능한 랜섬웨어인지 검사한다. 아쉽게도 Sodinokibi 랜섬웨어는 해결책이 없다고 판별되었다.

 

그럼에도 불구하고 'Stellar Data Recovery' 라는 프로그램을 사용해봤는데 그렇게 효과를 보진 못했다. 만약, 복원이 가능한 랜섬웨어라면 '노모어랜섬' 에서 친절히 설명을 해줄 것이다. ( 실제, 실험을 해보진 못했으나 사이트가 꽤나 공신력이 있어 보인다. )

 

복구가 불가능하다면 마지막으로 선택할 수 있는 것은 삭제 또는 보관이다. 몇 십년 뒤에라도 보고 싶은 데이터가 아니라면 과감히 삭제하겠지만, 시간이 지나면 해결되는 랜섬웨어가 있어서 보관하시는 분들도 여렷 계신듯 하다.

 

만약에 시간도 급하고 중요도도 높은 데이터라면 데이터 복구 전문가에게 자문을 불어보는 것도 좋은 행위라고 생각든다.

www.nomoreransom.org/ko/index.html

The No More Ransom Project

 

4. 요약

생각보다 내용이 길어져, 요약이 필요할 듯 하다. 내용을 정리하자면, 다음과 같다.

 

(1) 저작권 묘연한 프로그램 사용하지 말 것, 윈도우 디펜더( 또는 보안 등 ) 설정 해제하지 말 것, 백신 프로그램 사용할 것

(2) 중요한 데이터는 백업하거나 클라우드를 활요할 것( 버전관리가 있는 제품 및 클라우드 )

(3) 랜섬웨어가 걸렸다면, 저장 장치 해제할 것, 랜섬웨어 치료할 것, 복구가 가능한지 확인하여 대처 방안을 결정할 것

 

2017년도 즈음, 한창 가상화폐들의 가치가 폭등하기 전에 랜섬웨어로 한국에서의 서버 기업들이 몇몇 망했던 것으로 기억한다. 부디 그런일이 반복되지 않았으면 한다.

 

그런데, 역사가 반복된다는 논리에 따르면 올해도 가상화폐들의 가치가 폭등하지 않을까.. 조심스레 추측하면서 부디 많은 사람들이 랜섬웨어에 잘 대처하기를 바란다.