무슨 일이 있었나: 아키라 제휴 조직의 안전 모드 실수

랜섬웨어 조직은 악성코드가 원활하게 실행되도록 많은 노력을 기울인다. 그래서 한 아키라 제휴 조직이 단 하나의 잘못된 결정으로 자기 공격을 망쳐버렸다는 사실을 알게 되면 조금 통쾌하다.

이 사건에 대한 보도에 따르면, 아키라 랜섬웨어 제휴 조직이 피해자의 감염된 컴퓨터를 안전 모드로 재부팅했다. 안전 모드는 일반적으로 문제 해결용으로 사용되는 최소한의 Windows 시작 모드다. 목표는 단순했다. 안전 모드에서는 최소한의 드라이버와 서비스만 로드되므로 보통 엔드포인트 탐지 및 대응(EDR) 도구와 백신 소프트웨어가 실행되지 않는다. 공격자는 이러한 방어 수단이 실행되지 않으면 암호화 페이로드가 방해받지 않고 작업을 수행할 수 있을 것이라고 판단했다.

그런데 재부팅이 공격자 자신의 암호화 도구를 망가뜨렸다. 피해자의 보안 소프트웨어를 종료시킨 바로 그 제한된 환경이 악성코드가 작동하는 데 필요한 구성 요소까지 제거해버린 것이다. 공격은 멈춰 섰고, 제휴 조직이 치밀하게 계획한 갈취 시도는 암호화 과정이 끝나기도 전에 무너졌다.

이는 심각한 사건 속에서 거의 블랙 코미디 같은 작은 디테일이다. 랜섬웨어 조직도 항상 옳은 판단을 하는 것은 아니며, 그들의 도구도 감염된 네트워크에서 실행되는 다른 어떤 것만큼 취약할 수 있다.

안전 모드가 방어 도구만이 아니라 암호화 도구까지 망가뜨린 이유

안전 모드는 핵심 드라이버와 시스템 서비스만 로드하여 문제가 생긴 Windows 컴퓨터를 IT 담당자와 사용자가 해결할 수 있도록 돕기 위해 존재한다. 과거 랜섬웨어 운영자들이 안전 모드를 활용한 이유도 바로 이 때문이다. 많은 EDR 에이전트와 백신 제품이 일반 시작 서비스로 구성되어 있는데, 이 제한된 상태에서는 Windows가 이를 아예 로드하지 않는다. 이론적으로는 암호화 도구가 방해받지 않고 파일을 잠글 수 있는 활주로가 열리는 셈이다.

문제는 안전 모드가 보안 소프트웨어만 선택적으로 비활성화하지 않는다는 점이다. 안전 모드는 어떤 드라이버, 서비스, 시스템 구성 요소를 사용할 수 있는지 자체를 제한하는 모 아니면 도식 환경이다. 암호화 도구가 특정 드라이버, 백그라운드 서비스, 악성코드 작성자가 미처 고려하지 못한 종속성 등 최소한의 범위를 벗어난 요소에 의존한다면, 그 페이로드는 피하려던 백신 제품만큼이나 쉽게 실패할 수 있다.

이 사건에서 아키라 제휴 조직의 도구는 그런 축소된 상태에서 살아남도록 만들어지지 않았던 것으로 보인다. 암호화 도구는 안전 모드가 제공하지 않는 무언가를 필요로 했고, 공격은 스스로의 무게에 짓눌려 무너졌다. 공격용 도구도 결국 소프트웨어이며, 실행될 환경에 대한 가정을 가진 사람들이 만든다는 사실을 상기시킨다. 그 가정이 빗나가면 자원이 풍부한 랜섬웨어 조직조차 자신의 작전 매뉴얼에 걸려 넘어질 수 있다.

공격자들이 암호화 전에 보안 도구를 비활성화하는 일반적인 방법

안전 모드로 재부팅하는 것은 랜섬웨어 제휴 조직이 암호화 도구를 배포하기 전에 길을 터기 위해 사용하는 여러 기술 중 하나일 뿐이다. 다른 방법으로는 탈취하거나 손상시킨 관리자 자격 증명을 사용해 EDR 에이전트를 수동으로 제거하거나 비활성화하고, 보안 프로세스를 종료하도록 특별히 설계된 도구를 배포하고, 취약한 드라이버를 악용해 보호된 서비스를 종료하고, 백신 구성과 관련된 레지스트리 키나 그룹 정책 설정을 수정하는 것 등이 있다.

이 모든 방법의 공통점은 공격자에게 보안 도구가 감시하지 않는 아주 짧은 시간이라도 필요한 창구가 있어야 한다는 것이다. 랜섬웨어 조직이 암호화 도구를 만지기 전에 접근 및 정찰 단계에 그렇게 많은 시간을 쓰는 이유도 여기에 있다. 아키라의 피해자 표적화에 대한 더 넓은 패턴을 보면 이 그룹이 다양한 산업과 기업 규모에 걸쳐 활동하고 있으며, 이는 일회성 즉흥 행동보다 상당히 반복 가능한 작전 매뉴얼을 시사한다. 바로 그 일관성이 안전 모드 실패 같은 실수를 주목할 만하게 만든다. 그동안 잘 다듬어진 과정에 드문 균열이 생긴 것이기 때문이다.

아키라 방식의 공격에 직면한 조직을 위한 심층 방어 교훈

명백한 교훈은 조직이 모든 공격자가 이런 실수를 하길 바라야 한다는 것이 아니다. 공격을 깔끔하게 성공시키기 어렵게 만드는 것은 단일 도구가 아니라 다층 방어라는 점이다. 네트워크가 하나의 백신 제품에만 의존한다면 안전 모드 재부팅이나 자격 증명 기반 종료 한 번에 무력화될 수 있다. 하지만 변조 방지 기능이 켜진 EDR, 제한된 로컬 관리자 권한, 네트워크 분할, 부팅 구성 모니터링을 운영하는 조직은 암호화가 시작되기도 전에 공격자가 실패하거나 발각될 가능성을 훨씬 더 많이 제공한다.

이 사건은 또한 개별 헤드라인에 반응하기보다 랜섬웨어 동향을 시간에 따라 추적하는 것이 왜 중요한지도 강조한다. 킬린(Qilin), 아키라(Akira), 록빗5(LockBit5)를 다루는 2026년 2분기 랜섬웨어 요약은 이들 그룹이 분기별로 전술을 어떻게 발전시키고 있는지에 대한 유용한 맥락을 제공하며, 이는 보안 팀이 단순히 대응만 하지 않고 예측하는 데 도움이 된다.

이것이 여러분에게 의미하는 것

중소기업에서 IT를 관리하고 있다면 이 이야기는 몇 가지 기본 사항을 점검해볼 좋은 계기가 된다. 재부팅이나 레지스트리 변경으로 쉽게 비활성화되지 않도록 EDR이나 백신에 변조 방지 기능이 켜져 있는가? 침해된 계정 하나로 공격자가 시작 서비스를 재구성하지 못하도록 로컬 관리자 권한이 엄격하게 제한되어 있는가? 운영 시스템에서 비정상적인 재부팅이나 안전 모드 활동을 실제로 모니터링하고 있는가? 그 자체만으로도 조사할 가치가 있는 위험 신호가 될 수 있다.

이 중 어느 것도 특별한 도구를 필요로 하지 않는다. 필요한 것은 일관성과 보안을 단일 체크박스가 아니라 다층적으로 대하려는 자세다.

실천 가능한 핵심 사항

  • 안전 모드 재부팅이나 레지스트리 변경으로 비활성화되지 않도록 EDR 및 백신 도구에서 변조 방지 기능을 활성화하세요.
  • 공격자가 시스템 서비스를 쉽게 재구성하지 못하도록 로컬 관리자 권한을 제한하세요.
  • 예상치 못한 안전 모드 부팅이나 서비스 비활성화 이벤트를 능동적 침입의 조기 경고 신호로 모니터링하세요.
  • 암호화 시도가 실패하거나 일부만 진행되더라도 복구에 허둥대지 않도록 오프라인으로 테스트된 백업을 유지하세요.

아키라 랜섬웨어의 안전 모드 실패는 정교한 범죄 조직조차 그들이 악용하는 바로 그 복잡성 때문에 무너질 수 있다는 유용한 사실을 상기시킨다. 강력한 다층 방어는 공격을 막을 뿐 아니라, 공격자에게 무언가 잘못될 때 그것이 여러분에게 유리한 방향으로 잘못되도록 만들 가능성을 높인다.