🔥 랜섬웨어 동작 원리

요즘 보안 공부하면서 가장 자주 나오는 주제 중 하나가 랜섬웨어(Ransomware)예요.
한 문장으로 말하면 랜섬웨어는 데이터를 암호화하거나 접근을 막고, 이를 인질삼아 비용(몸값)을 요구하는 악성 소프트웨어입니다.

---

1️⃣ 랜섬웨어의 전형적 동작 단계

1. 초기 침투 (Initial access) → 피싱 메일, 취약한 RDP, 소프트웨어 취약점 등
2. 권한 상승 (Privilege escalation) → 관리자 권한 확보
3. 측면 이동 (Lateral movement) → 내부망 다른 시스템으로 확산
4. 명령·제어(C2) 및 정찰 → 내부 환경 파악, 중요 서버 탐색
5. 데이터 유출(옵션) → 이중 협박(Double extortion)
6. 암호화 / 잠금 → 파일 확장자 변경, 시스템 잠금
7. 몸값 요구 → 랜섬노트 남기고 비트코인 등 결제 요구
8. 지불/복구 시도 → 복호화 툴 제공되기도 하지만 보장 없음
9. 사후 정리 → 백도어 남아 재침투 위험 존재

---

2️⃣ 랜섬웨어 주요 유형

• Crypto-ransomware: 파일 암호화
• Locker ransomware: 시스템 잠금
• Ransomware-as-a-Service (RaaS): 서비스 형태로 유통
• Double extortion: 데이터 유출 + 암호화 병행

---

3️⃣ 공격자가 노리는 목표

• 백업 서버 및 네트워크 드라이브
• 도메인 컨트롤러(AD)
• 중요 데이터 저장소
• 클라우드 동기화 경로

---

4️⃣ 탐지 징후

• 갑작스러운 파일 확장자 변경
• 디스크/CPU 사용량 급증
• 알 수 없는 프로세스의 대량 파일 접근
• 내부에서 외부로 대규모 데이터 전송
• 이상한 RDP 로그인 시도

---

5️⃣ 예방·완화 방법

• 정기적인 오프라인 백업 보관
• 네트워크 분리(세그멘테이션)
• 취약점 패치 및 불필요한 서비스 차단
• MFA(다중 인증) 활성화
• 최소 권한 원칙 적용
• EDR/SIEM 도입으로 이상행위 탐지
• 피싱 훈련 및 보안 교육
• 로그 중앙화 및 장기 보관
• 사고 대응(IR) 매뉴얼 사전 준비

---

6️⃣ 사고 발생 시 초기 대응

1. 감염 호스트 격리
2. 로그·증거 수집
3. 확산 차단 (계정 잠금, 네트워크 차단)
4. 전문가 상담 및 법적 대응 고려
5. 백업에서 복구 (악성코드 제거 후)
6. 사후 분석 및 재발 방지 대책 마련

---

🧠 정리

랜섬웨어는 암호화 기술 + 사회공학적 기법 + 운영 취약점이 결합된 공격입니다.
따라서 기술적 방어뿐 아니라 백업 전략, 보안 교육, 운영 절차까지 함께 강화해야 실효성 있는 대응이 가능합니다.