정보보안기사 기출 핵심 [51] 랜섬웨어 공격 분석과 대응 전략 완전 정복

랜섬웨어란 무엇인가?

랜섬웨어(Ransomware)는 피해자의 파일을 암호화하거나 시스템을 잠근 후 복호화 키나 잠금 해제를 대가로 몸값(Ransom)을 요구하는 악성코드입니다. 정보보안기사 시험에서는 랜섬웨어 공격 단계, 유형, 기술적 대응 방안, 사고 대응 절차가 핵심 출제 범위입니다.

랜섬웨어 공격 단계

• 초기 침투: 스피어 피싱, 취약점 익스플로잇, RDP 무차별 대입 공격, 공급망 침해
• 횡적 이동(Lateral Movement): Pass-the-Hash, Kerberoasting, 원격 실행 도구(PsExec, WMI)
• 권한 상승: 로컬 관리자 → 도메인 관리자. Active Directory 공격
• 데이터 유출(Double Extortion): 암호화 전에 데이터 먼저 유출. 복호화 거부해도 유출 협박
• 암호화: AES(파일 암호화) + RSA(AES 키 암호화) 조합. 비대칭 키로 복호화 불가 설계

주요 랜섬웨어 그룹과 기술

• RaaS(Ransomware as a Service): 랜섬웨어 개발자가 인프라를 제공하고 가입자(Affiliate)가 공격 수행. LockBit, ALPHV(BlackCat), Cl0p
• LockBit 3.0: 가장 활발한 RaaS 그룹. 버그 바운티 운영, 리눅스/ESXi 대상
• Cl0p: MOVEit Transfer, GoAnywhere 취약점(제로데이) 익스플로잇으로 대규모 공격

기술적 대응 방안

• 3-2-1 백업 규칙: 3개 복사본, 2가지 미디어 유형, 1개 오프사이트(오프라인 포함)
• 네트워크 세그멘테이션: 마이크로세그멘테이션으로 횡적 이동 차단
• EDR(Endpoint Detection and Response): 이상 행위 탐지, 프로세스 격리, 자동 대응
• 최소 권한 원칙: 불필요한 관리자 권한 제거. AD 티어 모델 적용
• MFA 강제 적용: RDP·VPN·이메일에 MFA 적용으로 크리덴셜 스터핑 방어

랜섬웨어 사고 대응 절차

• 격리: 감염 기기를 네트워크에서 즉시 격리
• 식별: 랜섬웨어 변종 식별(ID Ransomware), 초기 침투 경로 파악
• 백업 확인: 백업 무결성 검증. 백업도 암호화됐는지 확인
• 복구: 포맷 후 백업에서 복원 or 복호화 도구 활용(No More Ransom 프로젝트)
• 신고: KISA 인터넷 침해대응센터(118), 개인정보 유출 시 개인정보보호위원회

정보보안기사 기출 핵심 정리

• 랜섬웨어 암호화: AES(파일) + RSA(AES키) 하이브리드 암호화
• Double Extortion = 암호화 + 데이터 유출 이중 협박
• RaaS = 랜섬웨어 서비스형, 개발자+가입자 분리
• 3-2-1 백업: 3개 복사본, 2종 미디어, 1개 오프사이트
• No More Ransom = 무료 복호화 도구 제공 프로젝트

랜섬웨어 사고에서 복구를 좌우하는 준비

랜섬웨어는 파일을 암호화하고 복호화 대가를 요구합니다. 최근에는 암호화 전에 데이터를 빼내 공개하겠다고 협박하는 이중 갈취가 흔해, 백업만으로는 피해가 끝나지 않습니다.

주요 침투 경로는 피싱 메일, 노출된 원격 접속(RDP·VPN) 취약점과 약한 계정, 취약한 서버 소프트웨어입니다. 침투 후 권한을 높이고 백업과 도메인 컨트롤러까지 장악한 뒤 일괄 암호화하는 패턴이 많습니다.

• 백업 3-2-1: 사본 3개, 매체 2종, 1개는 오프라인·분리 보관. 불변(immutable) 저장소로 삭제를 막습니다.
• 복구 훈련: 실제로 복원해 보고 소요 시간(RTO)을 확인합니다.
• 예방: 패치, MFA, 원격 접속 제한, 최소 권한, 이메일 필터링, EDR.
• 격리와 대응: 감염 단말을 즉시 네트워크에서 분리하고 전원은 포렌식을 고려해 판단합니다.
• 대가 지불 문제: 지불해도 복구가 보장되지 않고 재공격 위험이 있어 일반적으로 권장되지 않으며, 법적·정책적 고려가 필요합니다. 신고 의무는 관련 기관 안내를 확인하세요.

※ 이 글은 학습·참고용 정리입니다. 제품 사양과 표준 개정 사항은 공식 문서에서 최신 내용을 확인하세요.