# 랜섬웨어가 파일을 암호화하고 있는지 알아보는 방법 — 초기 징후 | Rain Cleaner > 랜섬 노트가 나타나기 전에 보이는 징후: 섀도 복사본이 사라짐, 파일이 형식 시그니처를 잃음, 엔트로피가 갑자기 증가함, 사용자가 켜지 않은 BitLocker가 활성화됨. 첫 1분 동안 해야 할 일. - Product: Rain Cleaner 2.14.0 — 정리하고, 설명하고, 아무것도 숨기지 않습니다. - Publisher: T. Vasilev - Platform: Windows 10, Windows 11, Windows Server - Price: free; Pro from 5.99 EUR a month (also yearly and one-time) - Download: https://raincleaner.eu/download · Portable: https://raincleaner.eu/download/portable - Canonical: https://raincleaner.eu/ko/guides/ransomware-warning-signs ## 랜섬웨어가 파일을 암호화하고 있는지 알아보는 방법 바탕 화면에 랜섬 노트가 나타났을 때는 이미 작업이 끝난 뒤예요. 쓸모 있는 징후는 그보다 먼저 나타나며, 대부분 특별한 도구 없이도 확인할 수 있어요. ### 보통 나타나는 순서대로 본 초기 징후 무엇을 눈여겨봐야 하는지 알면 암호화는 꽤 눈에 띄어요. 아무런 경고가 나오기 전에, 컴퓨터는 하나씩 보면 평범할 수 있지만 함께 나타나면 결정적인 징후가 되는 일련의 동작을 보여요. 이 중 하나만으로는 무해한 이유가 있을 수 있어요. 백업 프로그램은 많은 파일을 건드려요. 설치 프로그램이 인코딩된 명령을 실행하기도 해요. 하지만 같은 1분 안에 두세 가지가 함께 나타나면 무해한 이유로 설명하기 어려워요. - 섀도 복사본과 백업 카탈로그가 삭제돼요. 이 단계에서 복구할 길이 사라져요. - 원인이 될 만한 프로그램이 열려 있지 않은데 디스크가 계속 바쁘게 작동해요. - 파일 이름은 그대로인데 열리지 않거나, 처음 보는 확장자가 붙어요. - 같은 이름의 텍스트 파일이 여러 폴더에 동시에 나타나요. - 내가 요청하지 않은 드라이브를 BitLocker가 갑자기 암호화하려고 해요. ### 암호화된 파일이 원래 모습을 잃는 이유 거의 모든 파일 형식은 고정된 시그니처로 시작해요. Word 문서는 PK로, PDF는 %PDF로, PNG는 고유한 8바이트로 시작해요. 암호화는 파일 전체를 바꿔 버리므로 이 시그니처도 함께 사라져요. 여기에 함께 볼 두 번째 측정값이 있어요. 파일의 무작위성은 점수로 나타낼 수 있는데, 일반적인 내용은 낮게 나와요. 일반 텍스트는 바이트당 약 4.2비트이고, JPEG나 ZIP처럼 이미 압축된 형식은 5에서 7 사이예요. 암호화된 데이터는 7.5를 넘는데, 암호화는 원래 데이터를 무작위처럼 보이게 만들기 때문이에요. 두 측정값 모두 단독으로는 큰 의미가 없어요. ZIP은 원래 점수가 높고, 손상된 파일은 실제로 헤더가 없을 수 있어요. 하지만 시그니처를 잃고 무작위성이 높아진 파일은 내용이 다시 쓰인 거예요. ### 첫 1분 동안 해야 할 일 여기서는 속도보다 순서가 더 중요해요. 대부분의 사람들이 본능적으로 하는 행동인, 피해 정도를 확인하려고 파일을 열어 보는 것은 잘못된 방법이에요. 사건을 다뤄 본 사람과 상담하기 전에는 돈을 지불하지 마세요. 디스크를 덮어쓰며 Windows를 다시 설치하지 마세요. 증거가 사라지고, 경우에 따라 유일한 키 자료 사본까지 사라져요. - 네트워크를 끊으세요. 케이블을 뽑고 Wi-Fi를 끄세요. 공유 드라이브를 통해 컴퓨터 한 대의 피해가 열 대로 번져요. - 재부팅하지 마세요. 일부 키는 메모리에만 있어서 다시 시작하면 사라져요. - 휴대폰으로 랜섬 노트와 확장자를 사진으로 찍어 두세요. 어떤 랜섬웨어인지 식별하려면 둘 다 필요해요. - 암호화된 파일은 그대로 두세요. 일부 계열에는 무료 복호화 도구가 있고, 그 도구에는 원본 파일이 필요해요. ### 사용자 모드 프로그램이 실제로 할 수 있는 일 이 지점부터 많은 보안 마케팅이 현실과 어긋나기 시작하므로, 한계를 분명히 말씀드릴게요. 커널 드라이버가 없는 프로그램은 다른 프로그램과 디스크 사이에 끼어들 수 없어요. 방벽 역할을 할 수는 없어요. 대신 이상 징후를 알리는 감지 장치이자 증거를 남기는 목격자 역할은 할 수 있어요. Rain Cleaner는 중요한 폴더에 미끼 파일을 만들어 두는데, 폴더마다 세 개씩이에요. 이름은 알파벳순 목록에서 하나는 맨 앞쪽에, 하나는 중간에, 하나는 맨 끝에 오도록 정해요. 폴더를 암호화하는 프로그램은 순서대로 훑기 때문이에요. 보이는 동작에는 점수를 매기는데, 의심스러운 명령 형태는 경보를 울릴 수 있지만 프로그램을 멈출 수 있는 것은 섀도 복사본 삭제, 미끼 파일 덮어쓰기, 보안 서비스 종료처럼 이미 완료된 행위뿐이에요. 또한 각 줄에 앞선 줄의 해시를 담은 기록을 남기므로, 줄이 삭제되면 흔적 없이 빠져나가는 대신 눈에 보이는 빈틈이 생겨요. ### 예상하기 어려운 BitLocker 변종 일부 공격은 자체 암호화를 사용하지 않아요. 내가 볼 수 없는 키로 BitLocker를 켜고, 내 키를 제거한 뒤 떠나요. 데이터는 설계된 대로 정확히 작동하는 Microsoft 기능으로 암호화돼요. Windows는 이 동작을 기록해요. 보호기가 일시 중단되면 이벤트 773, 제거되면 776이 남아요. BitLocker를 설정한 적이 없는데 이벤트 로그에 둘 중 하나라도 있다면 바로 확인해 볼 필요가 있어요. ### 간단한 질문 **백신이 막아 주나요?** 자주 막아 주며, 백신이 첫 번째 방어선이어야 해요. 하지만 2026년에 실제로 뉴스에 오르는 랜섬웨어 계열은 서명되었지만 취약한 드라이버를 함께 가져와 시스템 하위 수준에서 백신을 꺼 버리는 경우예요. 그래서 독립적으로 감시하는 두 번째 수단이 가치가 있어요. **미끼 파일은 피하기 쉽지 않나요?** 정확한 이름을 아는 공격자에게는 그렇지요. 그래서 비밀로 하는 것보다 배치가 더 중요해요. 폴더를 순서대로 훑는 프로그램은 의도와 상관없이 처음 건드리는 파일들 사이에서 미끼 파일을 만나요. **돈을 내지 않고 파일을 되찾을 수 있나요?** 가끔은 가능해요. 섀도 복사본이 남아 있는지, No More Ransom 프로젝트에 해당 계열의 복호화 도구가 있는지, 당시 마운트되어 있지 않았던 백업이 있는지 확인해 보세요. 어느 경우든 암호화된 파일은 보관하세요. --- Other languages: [English](https://raincleaner.eu/guides/ransomware-warning-signs) · [Български](https://raincleaner.eu/bg/guides/ransomware-warning-signs) · [Deutsch](https://raincleaner.eu/de/guides/ransomware-warning-signs) · [Español](https://raincleaner.eu/es/guides/ransomware-warning-signs) · [Русский](https://raincleaner.eu/ru/guides/ransomware-warning-signs) · [Türkçe](https://raincleaner.eu/tr/guides/ransomware-warning-signs) · [Português (Brasil)](https://raincleaner.eu/pt/guides/ransomware-warning-signs) · [简体中文](https://raincleaner.eu/zh/guides/ransomware-warning-signs) · [日本語](https://raincleaner.eu/ja/guides/ransomware-warning-signs) · [한국어](https://raincleaner.eu/ko/guides/ransomware-warning-signs) · [Tiếng Việt](https://raincleaner.eu/vi/guides/ransomware-warning-signs) · [Bahasa Indonesia](https://raincleaner.eu/id/guides/ransomware-warning-signs) · [ไทย](https://raincleaner.eu/th/guides/ransomware-warning-signs)