[미디어잇 노동균] 내 PC의 파일을 암호화해 열지 못하도록 하고, 이를 복구하는 조건으로 금전을 요구하는 ‘랜섬웨어’가 국내에서도 본격적으로 유포되기 시작해 PC 사용자들의 주의가 요구된다.
최근 국내 IT 커뮤니티 사이트 클리앙에서 랜섬웨어의 일종인 악성코드가 유포된 정황이 파악돼 큰 파장이 일었다. 아직 정확한 피해규모는 집계되지 않았으나, 수백에서 많게는 수천명 이상의 피해자가 발생할 것이라는 관측이 나오고 있다. 또한 클리앙뿐 아니라 음악기기 전문 사이트 시코에서도 비슷한 악성코드가 유포됐다는 제보가 이어지며 사용자들의 혼란은 더욱 가중됐다.
최근 국내 사이트를 통해 유포된 랜섬웨어 ‘크립토락커’가 사용자 PC 파일을 암호화하고 해독 프로그램 구입을 강요하는 모습.
랜섬웨어는 납치·유괴된 사람에 대한 몸값을 뜻하는 ‘랜섬(Ransom)’과 소프트웨어 프로그램을 뜻하는 ‘웨어(Ware)’의 합성어로, 데이터를 인질 삼아 돈을 요구한다고 해서 붙여진 이름이다. 이번에 유포된 랜섬웨어는 ‘크립토락커(CryptoLocker)’라는 악성코드로, 지난 2013년 처음 등장한 이후 현재까지 가장 악명 높은 랜섬웨어로 알려져 있다.
크립토락커는 감염된 PC 내의 문서, 사진, 동영상 등 개인 파일을 암호화해 사용자가 열어볼 수 없는 상태로 만든다. 암호화된 파일은 파일명과 확장자 뒤에 추가로 ‘.encrypted’라는 확장자가 추가된다. 이후 팝업창을 통해 돈을 지불하면 해독 프로그램을 주겠다고 하는데, 결제계좌 추적을 피하기 위해 비트코인을 이용하는 치밀함까지 갖췄다. 문제는 돈을 지불해도 암호화된 파일이 복구될 가능성은 3%에 불과한 것으로 전해진다.
보안업계에서는 특히 이번에 발견된 크립토락커가 한글 버전이라는 점에 주목하고 있다. 전 세계를 무대로 활동하는 랜섬웨어 공격 집단이 공격 대상을 한국으로 확대한 것으로 추정되기 때문이다. 회원수가 많은 대규모 커뮤니티 사이트를 유포지로 활용했다는 점 또한 한국을 타깃으로 정하면서 사전에 치밀한 분석을 했음을 알 수 있는 대목이다.
아울러 이메일로 가짜 프로그램을 보내 악성코드 설치를 유도했던 기존의 방식과 달리 사이트 접속만으로 감염되는 ‘드라이브 바이 다운로드(Drive by Download)’ 공격 방식을 사용한 점도 눈에 띈다. 드라이브 바이 다운로드 공격은 웹사이트나 브라우저의 플러그인 보안 취약점을 이용해 별도의 프로그램을 설치하지 않아도 사용자 PC에 침투 가능한 방식이다. 실제로 이번 공격도 인터넷 익스플로러(IE)와 플래시 플레이어 구버전의 취약점을 이용한 것으로 파악되고 있다.
개인 사용자 차원에서 랜섬웨어 감염을 방지할 수 있는 근본적인 방법은 현재로서는 없다. 인터넷에 접속하지 않고 PC를 오프라인 상태로만 사용하지 않는 한 항상 위험에 노출돼 있는 셈이다. 최선의 방책이라면 운영체제와 브라우저, 플러그인 프로그램 등에 대한 최신 보안 업데이트를 필수적으로 챙기고, 중요한 자료는 별도의 장소에 백업해두는 습관을 들이는 것이다. 보안 업체에서 제공하는 안티 익스플로잇 도구를 활용하는 것도 도움이 될 수 있다.
아울러 인터넷 서비스 제공자는 웹사이트의 취약점을 상시로 확인하고 보안에 투자하는 노력이 수반돼야 할 것이다. 업계에서도 국내 주요 웹 서비스들을 대상으로 발생되는 유포 통로에 대해 즉시 관찰과 대응이 가능한 체계가 마련돼야 문제를 줄여나갈 수 있을 것이라는데 한 목소리를 내고 있다. 그만큼 초기 대응이 중요하기 때문에 사후진단이 아닌 웹에 대한 사전 차단이 필요한 시점이다.
노동균 기자 yesno@it.co.kr
