최근 파일 확장자를 변경하고 데이터를 암호화하는 랜섬웨어 공격에 대한 주의가 요구되는 가운데, 데이터 복구 전문업체 한국데이터복구센터가 ‘L0CK3D’ 확장자 랜섬웨어 피해에 대한 복구 대응 서비스를 제공한다고 밝혔다.
보안업계에서 알려진 ‘c3rb3r(케르베르)’는 기존 케르베르(Cerber) 랜섬웨어와 연관된 변종으로 분류되고 있다. 2023년 11월에는 외부에 노출된 아틀라시안 컨플루언스(Atlassian Confluence) 서버의 취약점을 악용한 공격 사례가 보안업계에 보고된 바 있다.
케르베르는 2016년 처음 등장한 랜섬웨어 계열로, 서비스형 랜섬웨어(RaaS) 방식으로 유포되며 여러 변종이 확인됐다. 이후 윈도우와 리눅스 환경을 겨냥한 공격 사례도 보고되면서 기업과 기관의 서버 보안 관리 필요성이 제기돼 왔다.
c3rb3r 변종의 경우 감염된 시스템의 파일을 암호화하고 일부 사례에서 ‘.L0CK3D’ 확장자를 추가하는 것으로 알려져 있다. 공격자는 ‘read-me3.txt’ 등의 협박 문서를 남겨 피해자에게 금전을 요구하거나 토르(Tor) 기반 사이트로 접속하도록 유도하는 방식을 사용하는 것으로 보고됐다.
다만 파일 확장자나 협박 문서의 이름만으로 랜섬웨어의 종류를 확정하기는 어려우며, 정확한 감염 원인과 악성코드 유형은 별도의 분석을 통해 확인할 필요가 있다.
랜섬웨어에 감염되면 업무용 문서와 데이터베이스, 이미지 등 주요 파일에 접근하지 못하는 상황이 발생할 수 있다. 특히 여러 사용자가 데이터를 공유하는 NAS나 기업 서버에서 피해가 발생하면 업무 중단과 자료 손실로 이어질 가능성이 있다.
NAS 제조사 시놀로지(Synology)는 지난 10월 29일 발표한 보안 관련 자료에서, 2024년 12월에 패치된 취약점을 악용해 구버전 DSM(DiskStation Manager)이 설치된 장비를 노리는 공격 정황을 확인했다고 밝혔다. 해당 공격은 데이터를 암호화한 뒤 금전을 요구하는 것을 목적으로 하는 것으로 설명됐다.
시놀로지는 취약한 버전을 사용하는 이용자에게 DSM을 최신 버전으로 업데이트할 것을 권고했으며, 장비의 보안 상태를 유지하기 위해 자동 업데이트 기능을 활용할 것을 안내했다.
다만 해당 발표에서 공격에 사용된 랜섬웨어 계열이나 구체적인 피해 규모가 명시되지 않았다면, 이를 특정 랜섬웨어의 공격으로 단정하기는 어렵다. 일부 보안업계 보고에서는 시놀로지 NAS 관련 공격 사례와 c3rb3r 랜섬웨어의 연관성이 거론되고 있으나, 실제 침투 경로와 악용된 취약점에 대해서는 추가적인 확인이 필요하다.
또한 최신 DSM 업데이트는 알려진 보안 취약점을 보완하고 유사한 공격을 예방하는 데 도움이 될 수 있지만, 이미 암호화된 파일을 자동으로 복원하는 기능을 의미하지는 않는다. 따라서 감염 이후에는 시스템 상태와 백업 자료 등을 확인하고 별도의 복구 가능성을 검토해야 한다.
감염이 의심되는 경우에는 추가 확산을 막기 위해 해당 장비의 네트워크 연결을 차단하고, 감염 파일과 협박 문서 등 관련 증거를 보존하는 것이 중요하다. 한국인터넷진흥원(KISA) 118 상담센터 등을 통해 신고 및 대응 방법을 안내받을 수 있다.
공격자가 요구하는 금전을 지급하더라도 암호화된 파일이 정상적으로 복구된다는 보장은 없다. 따라서 피해 시스템의 상태와 백업 자료 유무, 암호화 방식 등을 확인한 뒤 복구 가능성을 검토할 필요가 있다.
한국데이터복구센터는 HDD, SSD, 외장하드, USB 등 저장장치를 비롯해 NAS와 서버를 대상으로 데이터 복구 서비스를 지원하고 있다고 설명했다. 랜섬웨어 피해에 대응하기 위한 전담 인력을 운영하고 있으며, 전국 단위의 긴급 복구 요청에도 대응할 수 있는 체계를 마련하고 있다는 것이 센터 측 설명이다.
다만 랜섬웨어 피해 복구 가능 여부는 악성코드의 종류와 암호화 방식, 저장장치 상태, 백업 자료의 존재 여부 등에 따라 달라질 수 있다. 모든 감염 사례에서 데이터 복원이 가능한 것은 아니므로 사전 진단을 통한 개별적인 검토가 필요하다.
특히 서버와 NAS 등 기업용 저장장치의 경우 피해 발생 이후의 조치가 데이터 복구 가능성에 영향을 미칠 수 있어 초기 상태를 보존하고 전문적인 진단을 받는 과정이 중요하다. 무리한 파일 수정이나 검증되지 않은 복구 프로그램 사용.은 추가적인 데이터 손상을 초래할 수 있어 주의가 필요하다.
최근 랜섬웨어 공격에서는 파일 암호화뿐 아니라 사전에 탈취한 정보를 공개하겠다고 협박하는 방식도 보고되고 있다. 이에 따라 복구 과정에서는 데이터 복원 가능성과 함께 개인정보 및 기업 내부 자료의 유출 여부, 보안 관리 상태 등을 확인할 필요가 있다.
한국데이터복구센터 관계자는 "랜섬웨어 피해가 발생했을 때는 감염 장비의 상태를 최대한 보존하고 정확한 진단을 통해 복구 방향을 결정하는 것이 중요하다"며 "서버와 NAS를 포함한 다양한 저장장치의 피해 상황을 확인하고 데이터 복구를 지원하고 있다"고 전했다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}