::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

구분: 보안

장르: 랜섬웨어

2021/5/27(목)

윈도우 사용자를 위한 랜섬웨어 공격 예방법

최근 미국 최대 송유관 업체 콜로니얼 파 이프라인이 랜섬웨어 공격을 받았다. 이 사건은 윈도우 사용자들에게 몇 가지 교훈을 준다.

랜섬웨어,

‘랜섬웨 어’라는 단어는 컴퓨터 사용자에게 공포를 불러일으킨다. 랜섬웨어 공격을 받은 기업들이 신문 헤 드라인을 매일 장식하는 것을 볼 때 그렇다. 뻔한 랜섬웨어 공격이 계속해서 먹히는 걸 보면 놀랍 다.

랜섬웨어 공격으로부터 기업이나 사용자를 보 호하기 위해 취할 수 있는 방법은 많다.

클릭하는 내용을 주의할 것
개인 사용자를 노리는 랜섬웨어 공격은 대부분 피싱 관련 이메일이나 악성 파일을 설치 하는 웹 페이지 등 클릭하지 말아야 할 것을 클릭할 때 이뤄진다. 기업을 노리는 랜섬웨어 공격은 브루트 포스(brute force)나 수집된 크리덴셜을 이용해 원격 액세스 프로토콜에 접근하는 방식으 로 이뤄지는 경우가 많다. 네트워크에 침입한 공격자는 백업을 중단시키고 최적의 공격 타이밍이 올 때까지 잠복한다.
&nbs p;

랜섬웨어의 역사는 1989년으로 거슬러 올 라간다. 당시 랜섬웨어는 플로피 디스크를 통해 사용자 컴퓨터에 침입했다. 이후 3일째 되 는 날에 컴퓨터 정보를 볼모로 삼아 사용자에게 몸값을 요구했다. 최근 화제가 됐던 랜섬웨어 공 격은 미 동부 연안의 송유관 업체인 콜로니얼 파이프라인을 겨냥해 이뤄졌다. 이 공격으로 인해 기름 수요가 폭증하고 주유소가 폐쇄되는 사태가 빚어졌다. 해당 송유관 회사에 대 한 여론도 악화됐다 (그리고 회사가 해커 조직인 다크사이드에게 수백만 달러의 몸값을 지불했다 는 얘기도 있었다). 이는 랜섬웨어가 기업에 어떤 영향을 미칠 수 있는지 생생하게 보여주는 사례 였다.

백업, 백업 그리고 또 백업 할 것
필자는 보안과 랜섬웨어 를 주제로 한 페이스북 그룹을 공동 운영하고 있다. 사용자들이 랜섬웨어 공격으로 인한 피해를 복구하는 방법에 대해 질문할 때, 필자는 백업 여부를 되묻곤 한다. 여기서 백업이란 사용자 컴퓨 터로부터 ‘에어갭’이 된 외장 하드 드라이브에 데이터를 주기적으로 저장하는 것을 의미한다. 백 업 파일이 저장된 드라이브에 사용자가 액세스할 수 있다면, 공격자도 액세스할 수 있다. 따라서 백업 매체당 사용 주기를 최소화하고 데이터 사본을 항상 사용자 시스템으로부터 분리해두는 것 이 좋다.

또한 백업 소프트웨어에 타인의 드라이브 접근을 막아주는 안티 랜섬웨어 기능이 있는지 알아보는 것이 좋다.

랜섬 웨어 대응 사이트인 nomoreransom.org에는 대중에게 잘 알려진 랜섬웨어들이 공개돼 있다. 만 약 공격자가 암호화 키를 공개한 상태거나 혹은 전문가가 공격자의 키 관리 서버를 역으로 해킹 해 암호화 툴을 확보한 경우 이 사이트에서 복호화 툴을 찾아볼 수 있다. 하지만 궁극적으 로 랜섬웨어 감염을 무효화할 수 있는 마법의 해결책은 없다.

공격자 속이기
만약 모험적인 시도를 좋아한다면, 라신(Raccine) 같은 툴을 설치하는 방법도 고려해볼 수 있다. 라신은 vssadmin을 통해 생성한 모든 섀도 복사본을 랜섬웨어가 삭제하지 못 하게끔 막아준다. 공격자가 시스템을 추적하고 있음을 암시하는 첫 번째 신호로는 백업파일이 알 게 모르게 삭제되거나 백업 프로세스가 중단되는 경우를 들 수 있다. 라신은 윈도우 7 이상 에서 구동되며, 공격자 서버와 랜섬웨어 간 커뮤니케이션을 방해한다.

백업 프로세스의 성패 여부를 항상 추적하는 것도 중요하다. 필자는 백업 소프트웨어 를 통해 주요 인프라의 백업이 제대로 이뤄졌는지 여부를 알림 받을 수 있도록 설정해뒀다. 시스 템 상태를 점검할 수 있는 주요 방법 중 하나로 백업 완료 여부를 추적하는 것을 들 수 있 다.

공격자를 속이기 위해 사용할 수 있는 또 다른 방법은&nbs p;러시아어 키보드를 설치하는 것이다. 러시아를 근거지로 둔 해킹 조직인 다크사이드의 랜섬웨어의 경우 특정 인스턴스를 체크하진 않았다. 하지만 보통 러시아 기 반의 맬웨어는 러시아 기반 시스템을 회피한다 (러시아어 키보드를 설치했다고 해서 꼭 그걸 사용 할 필요는 없다. 시스템 트레이에서 영어를 설정해 사용해도 된다. 하지만 이 방법을 통해 공격자 를 속일 수 있다).

최근 랜섬웨어 공격자를 내쫓아버린 보안 툴이 있다. 바로 시스몬(Sysmon)이다. 마이 크로소프트가 무료 제공하는 이 툴은 윈도우 기기의 보안 이벤트 로그를 향상시켜준다. 솔라윈즈 사태 당시, 시스템에 시스몬, 프록몬(Procmon), 프로세스 익스플로러(Procexp), 오토런(Autoru n)이 설치돼 있었다면 공격자가 기업을 추적하는 일은 없었을 것이다. 공격자도 추적당하는 걸 원치 않았기 때문이다. 특히 중소기업이라면 시스몬을 이 용해 시스템의 로그 파일 수집력을 고도화하는 걸 추천한다.

할 수 있는 일
요컨대, 공격자가 손쉽게 랜섬웨어 공격을 감행하지 못하도록 하는 게 좋다. 공격 가능성을 줄이기 위해 할 수 있는 일은 다음과 같다.

백업을 정기적으로 수행하고, 파일의 복사본을 적어도 하나 이상은 늘 오 프라인 상태로 유지할 수 있도록 여러 개의 외장 하드 드라이브를 보유한다.
브라우저를 최신 상태로 유지하고 운영체제와 상관없이 업데이트가 진행될 수 있도록 확인한다.
ISP(전자 메일을 제공하는 경우), 지메일 혹은 아웃룩의 필터링 기능이 제 대로 작동하는지 확인한다.
원격 데스크톱 프로토콜을 사용하는 중소기업이라면 원격 액세스용 2단계 인증 방법으로 듀오 인증(Duo Authentic ation)을 사용해볼 수 있다. 그리고 원격 액세스와 관련해 외부인에게 암호를 공유하지 않 는다.

랜섬웨어를 완벽하게 방어할 수는 없겠지만, 이런 방법들을 통해 적어도 공 격을 받을 가능성을 낮출 수는 있다.

번호	구분	장르	제 목	작성일
9071	정보	윈도10	윈도OS 크게 바뀌나…MS "10년만에 가장 중요한 업데이트"	2021/05/29
9070	해킹	추적	해커가 흔적을 숨기는 5가지 방법	2021/05/28
9069	보안	랜섬웨어	윈도우 사용자를 위한 랜섬웨어 공격 예방법	2021/05/27
9068	정보	IE	MS, 윈도우10용 인터넷 익스플로러 서비스 내년에 중단	2021/05/26
9067	정보	IE	'인터넷 익스플로러' 사라진다…2022년 6월 서비스 종료	2021/05/25
9066	정보	윈도10	윈도우10 5월 업데이트 21H1 배포	2021/05/24