랜섬웨어가 파일을 암호화하고 있는지 알아보는 방법

보통 나타나는 순서대로 본 초기 징후

무엇에 귀를 기울여야 하는지 알면 암호화는 눈에 띄어요. 아무런 알림이 나오기 전에, 컴퓨터는 하나만 보면 평범하지만 함께 나타나면 결정적인 동작들을 수행해요.

이 중 하나만으로는 무해한 이유가 있을 수 있어요. 백업 프로그램은 많은 파일을 건드려요. 설치 프로그램이 인코딩된 명령을 실행하기도 해요. 하지만 같은 1분 안에 두세 가지가 함께 나타나면 무해한 이유로 설명하기 어려워요.

• 섀도 복사본과 백업 카탈로그가 삭제돼요. 이 단계에서 복구할 길이 사라져요.
• 원인이 될 만한 프로그램이 열려 있지 않은데 디스크가 계속 바쁘게 작동해요.
• 파일 이름은 그대로인데 열리지 않거나, 처음 보는 확장자가 붙어요.
• 같은 이름의 텍스트 파일이 여러 폴더에 동시에 나타나요.
• 내가 요청하지 않은 드라이브를 BitLocker가 갑자기 암호화하려고 해요.

암호화된 파일이 원래 모습을 잃는 이유

거의 모든 파일 형식은 고정된 시그니처로 시작해요. Word 문서는 PK로, PDF는 %PDF로, PNG는 고유한 8바이트로 시작해요. 암호화는 파일 전체를 바꿔 버리므로 이 시그니처도 함께 사라져요.

여기에 짝을 이루는 두 번째 측정값이 있어요. 파일의 무작위성은 점수로 나타낼 수 있는데, 일반적인 내용은 낮게 나와요. 일반 텍스트는 바이트당 약 4.2비트이고, JPEG나 ZIP처럼 이미 압축된 형식은 5에서 7 사이예요. 암호화된 데이터는 7.5를 넘는데, 암호화의 목적이 바로 그것이기 때문이에요. 두 측정값 모두 단독으로는 큰 의미가 없어요. ZIP은 원래 높게 나오고, 손상된 파일은 원래 헤더가 없을 수 있어요. 하지만 시그니처를 잃고 무작위성이 높아진 파일은 다시 쓰인 파일이에요.

첫 1분 동안 해야 할 일

여기서는 속도보다 순서가 더 중요해요. 대부분의 사람들이 본능적으로 하는 행동인, 피해 정도를 확인하려고 파일을 열어 보는 것은 잘못된 방법이에요.

사건을 다뤄 본 사람과 상담하기 전에는 돈을 지불하지 마세요. 디스크를 덮어쓰며 Windows를 다시 설치하지 마세요. 증거가 사라지고, 경우에 따라 유일한 키 자료 사본까지 사라져요.

• 네트워크를 끊으세요. 케이블을 뽑고 Wi-Fi를 끄세요. 공유 드라이브를 통해 컴퓨터 한 대의 피해가 열 대로 번져요.
• 재부팅하지 마세요. 일부 키는 메모리에만 있어서 다시 시작하면 사라져요.
• 휴대폰으로 랜섬 노트와 확장자를 사진으로 찍어 두세요. 어떤 랜섬웨어인지 식별하려면 둘 다 필요해요.
• 암호화된 파일은 그대로 두세요. 일부 계열에는 무료 복호화 도구가 있고, 그 도구에는 원본 파일이 필요해요.

사용자 모드 프로그램이 현실적으로 할 수 있는 일

보안 마케팅이 사실과 달라지기 시작하는 지점이라서, 한계를 있는 그대로 말씀드릴게요. 커널 드라이버가 없는 프로그램은 다른 프로그램과 디스크 사이를 막아설 수 없어요. 방벽이 될 수는 없어요. 대신 감시 장치이자 증인이 될 수 있어요.

Rain Cleaner는 중요한 폴더에 미끼 파일을 만들어 두는데, 폴더마다 세 개씩이에요. 이름은 알파벳순 목록에서 하나는 맨 앞쪽에, 하나는 중간에, 하나는 맨 끝에 오도록 정해요. 폴더를 암호화하는 프로그램은 순서대로 훑기 때문이에요. 보이는 동작에는 점수를 매기는데, 의심스러운 명령 형태는 경보를 울릴 수 있지만 프로그램을 멈출 수 있는 것은 섀도 복사본 삭제, 미끼 파일 덮어쓰기, 보안 서비스 종료처럼 이미 완료된 행위뿐이에요. 또한 각 줄에 앞선 줄의 해시를 담은 기록을 남기므로, 줄이 삭제되면 흔적 없이 빠져나가는 대신 눈에 보이는 빈틈이 생겨요.

아무도 예상하지 못하는 BitLocker 변종

일부 공격은 자체 암호화를 사용하지 않아요. 내가 볼 수 없는 키로 BitLocker를 켜고, 내 키를 제거한 뒤 떠나요. 데이터는 설계된 대로 정확히 작동하는 Microsoft 기능으로 암호화돼요.

Windows는 이 동작을 기록해요. 보호기가 일시 중단되면 이벤트 773, 제거되면 776이 남아요. BitLocker를 설정한 적이 없는데 이벤트 로그에 둘 중 하나라도 있다면 바로 확인해 볼 필요가 있어요.