최근 파일 확장자를 변경하고 데이터를 암호화하는 랜섬웨어 공격에 대한 주의가 요구되는 가운데, 데이터 복구 전문업체 한국데이터복구센터가 'LOCK3D' 확장자 랜섬웨어 피해에 대한 복구 대응 서비스를 제공한다고 밝혔다.
보안업계에서 알려진 'c3rb3r(케르베르)'는 기존 케르베르(Cerber) 랜섬웨어와 연관된 변종으로, 2023년 11월 외부에 노출된 아틀라시안 컨플루언스(Atlassian Confluence) 서버의 취약점을 악용한 공격 사례가 보고된 바 있다.
케르베르는 2016년 처음 등장한 랜섬웨어 계열로, 서비스형 랜섬웨어(RaaS) 방식으로 유포되며 여러 변종이 확인됐다. 이후 윈도우와 리눅스 환경을 겨냥한 공격 사례도 보고되면서 기업과 기관의 서버 보안 관리 필요성이 제기돼 왔다.
c3rb3r 변종의 경우 감염된 시스템의 파일을 암호화하고 일부 사례에서 '.L0CK3D' 확장자를 추가하는 것으로 알려져 있다. 공격자는 'read-me3.txt' 등의 협박 문서를 남겨 피해자에게 금전을 요구하거나 토르(Tor) 기반 사이트로 접속하도록 유도하는 방식을 사용한다.
일부 랜섬웨어 공격과 관련해 북한 연계 해킹 조직의 활동 가능성도 거론되고 있으나, 특정 랜섬웨어 변종과 북한 해킹 조직 김수키(Kimsuky)의 직접적인 연관성은 별도의 기술적 분석과 공식적인 확인이 필요한 사안이다. 파일 확장자나 협박 문서만으로 공격 주체를 특정하기는 어렵다.
랜섬웨어에 감염되면 업무용 문서와 데이터베이스, 이미지 등 주요 파일에 접근하지 못하는 상황이 발생할 수 있다. 특히 여러 사용자가 데이터를 공유하는 NAS나 기업 서버에서 피해가 발생하면 업무 중단과 자료 손실로 이어질 가능성이 있다.
감염이 의심되는 경우에는 추가 확산을 막기 위해 해당 장비의 네트워크 연결을 차단하고, 감염 파일과 협박 문서 등 관련 증거를 보존하는 것이 중요하다. 한국인터넷진흥원(KISA) 118 상담센터 등을 통해 신고 및 대응 방법을 안내받을 수 있다.
또한 공격자가 요구하는 금전을 지급하더라도 암호화된 파일이 정상적으로 복구된다는 보장은 없다. 따라서 피해 시스템의 상태와 백업 자료 유무, 암호화 방식 등을 확인한 뒤 복구 가능성을 검토할 필요가 있다.
한국데이터복구센터는 HDD, SSD, 외장하드, USB 등 저장장치를 비롯해 NAS와 서버를 대상으로 데이터 복구 서비스를 지원하고 있다고 설명했다. 랜섬웨어 피해에 대응하기 위한 전문팀을 운영하고 있으며, 전국 단위 긴급 복구 대응 체계도 마련하고 있다는 것이 센터 측 설명이다.
특히 서버와 NAS 등 기업용 저장장치의 경우 피해 발생 이후의 조치가 데이터 복구 가능성에 영향을 미칠 수 있어 초기 상태를 보존하고 전문적인 진단을 받는 과정이 중요하다. 무리한 파일 수정이나 검증되지 않은 복구 프로그램 사용은 추가적인 데이터 손상을 초래할 수 있어 주의가 필요하다.
최근 랜섬웨어 공격은 파일 암호화뿐 아니라 사전에 탈취한 정보를 공개하겠다고 협박하는 방식으로도 나타나고 있다. 이에 따라 복구 과정에서는 데이터 복원 가능성과 함께 개인정보 및 기업 내부 자료에 대한 보안 관리 수준도 확인해야 한다.
한국데이터복구센터 관계자는 "랜섬웨어 피해가 발생했을 때는 감염 장비의 상태를 최대한 보존하고 정확한 진단을 통해 복구 방향을 결정하는 것이 중요하다"며 "서버와 NAS를 포함한 다양한 저장장치의 피해 상황을 확인하고 데이터 복구를 지원하고 있다"고 전했다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}