새롭게 분석된 Beast 랜섬웨어 페이로드는 운영자에게 색다른 무언가를 제공합니다. 바로 대화형 그래픽 콘솔과 악성코드에 내장된 설정을 재정의할 수 있는 기능입니다. 또한 백업 서비스를 비활성화하고 섀도 복사본을 삭제하며 네트워크 드라이브를 암호화합니다. Beast 랜섬웨어가 실제로 어떻게 작동하는지 이해하고 싶다면, 간단히 말해 먼저 안전장치를 제거한 다음 파일을 잠근다고 할 수 있습니다.
이 글에서는 보고된 내용, 이것이 개인과 소규모 기업에 의미하는 바, 그리고 가장 중요한 방어책이 무엇인지 살펴봅니다. VPN은 프라이버시에는 유용하지만, 이런 종류의 공격을 단독으로 막을 수는 없습니다.
Beast 랜섬웨어가 백업과 공유 드라이브를 공격하는 방식
보고서에 따르면 이 페이로드는 무언가를 암호화하기 전에 복구 옵션을 먼저 노립니다. 백업 서비스를 비활성화하고 섀도 복사본을 삭제하는데, 이는 많은 사람이 파일을 되돌리는 데 의존하는 Windows 내장 스냅샷입니다. 그런 다음 네트워크 드라이브를 암호화하여 공유 폴더와 파일 서버가 로컬 머신과 함께 공격받습니다.
공개된 위협 프로필은 Beast를 SMB 스캔, 파일 암호화, 서비스 및 프로세스 시작/중지 같은 기능을 갖춘 랜섬웨어-as-a-서비스(RaaS) 제품으로 설명합니다. SMB는 Windows 파일 공유에 사용되는 프로토콜로, 네트워크 드라이브가 왜 그렇게 자연스러운 표적이 되는지 설명해 줍니다. 이 프로필들은 또한 Beast가 Monster라는 초기 Delphi 기반 변종에서 진화했다고 밝히고 있습니다.
순서가 중요합니다. 파일이 암호화될 때까지 스냅샷과 백업 서비스가 사라져 있다면, 가장 쉬운 복구 경로는 닫힌 것입니다. 그렇기 때문에 의존하는 백업이 악성코드가 접근할 수 없는 곳에 있어야 합니다.
제휴 콘솔과 구성 가능한 설정이 바꾸는 것
RaaS 모델에서 개발자는 악성코드를 공급하고 제휴 파트너는 침투를 수행합니다. 분석된 Beast 페이로드는 이러한 제휴 파트너에게 대화형 그래픽 콘솔을 제공하고 내장 설정을 재정의할 수 있게 합니다. Beast에 대한 다른 분석은 제휴 파트너가 리소스를 발견하고, 표적을 선택하며, 진행 상황을 모니터링하면서 암호화를 시작, 일시 중지 또는 중지할 수 있는 내장 인터페이스를 설명합니다.
실제로 무엇이 달라질까요?
- 낮아진 기술 장벽. 클릭 몇 번으로 조작할 수 있는 인터페이스는 기술 수준이 낮은 제휴 파트너도 이 도구를 더 쉽게 실행할 수 있게 합니다.
- 공격에 대한 더 많은 통제. 내장 설정을 재정의한다는 것은 제휴 파트너가 고정된 동작에 의존하는 대신 단일 페이로드를 특정 환경에 맞게 조정할 수 있음을 의미합니다.
- 덜 예측 가능한 동작. 설정이 침투마다 달라질 수 있으므로 방어자는 이를 탐지하기 위해 하나의 고정된 패턴에 의존할 수 없습니다.
공개 프로필에서 나온 또 하나의 세부 사항: 제휴 파트너는 2026년 1월 FBI의 압수 전에 RAMP 포럼을 통해 모집된 것으로 보고되었습니다. 이런 단속은 모집을 방해할 수 있지만, 제휴 파트너가 이미 보유한 도구를 제거하지는 못합니다.
암호화가 시작되기 전에 나타나는 경고 신호
원문 기사는 페이로드 자체에 초점을 맞추고 있으므로, 다음 신호는 그것이 설명하는 동작에서 추론한 것입니다. 이것들은 주의 깊게 살펴볼 만한 것들이지 완전한 체크리스트는 아닙니다.
- 백업 또는 스냅샷 서비스가 예기치 않게 중지됨. 아무도 변경하지 않았는데 백업 소프트웨어가 실패를 보고하거나 서비스가 비활성화된다면, 긴급 상황으로 처리하십시오.
- 사라진 섀도 복사본. 사라지는 스냅샷은 무언가가 암호화를 준비하고 있다는 강력한 신호입니다.
- 비정상적인 파일 공유 스캔. Beast가 SMB를 통해 스캔하는 것으로 설명되므로, 머신 간의 이상한 네트워크 활동이 초기 단서가 될 수 있습니다.
- 낯선 원격 세션 또는 도구. 랜섬웨어의 대화형 제어는 누군가가 이를 조작하고 있음을 의미하며, 종종 원격 접근을 획득한 후에 발생합니다.
이러한 신호와 암호화 사이의 시간 창은 짧을 수 있습니다. 자동화된 탐지는 사람보다 빠르게 반응하기 때문에 도움이 됩니다. Microsoft Defender가 QNET 침투를 128초 만에 중단한 대응은 신속한 격리가 얼마나 많은 피해를 예방할 수 있는지 보여줍니다.
개인과 소규모 기업을 위한 실용적 방어책
이 중 어느 것도 기업 예산을 필요로 하지 않습니다. 재택 사무실을 운영하든 10인 규모의 회사를 운영하든 우선순위는 동일합니다.
- 오프라인 또는 불변 백업을 유지하십시오. 네트워크에서 분리되었거나 변경할 수 없도록 저장된 백업은 다른 모든 것과 함께 비활성화되거나 암호화될 수 없습니다. Beast는 백업 서비스와 섀도 복사본을 표적으로 하므로 로컬 스냅샷만으로는 충분하지 않습니다.
- 복원을 테스트하십시오. 한 번도 복원해 본 적 없는 백업은 가정에 불과합니다. 정기적으로 몇 개의 파일을 복구해 보십시오.
- 원격 접근에 다중 인증을 활성화하십시오. 원격 데스크톱, 원격 관리 도구 및 관리자 계정은 흔한 진입점입니다. MFA는 탈취된 비밀번호를 훨씬 덜 유용하게 만듭니다.
- 공유 드라이브가 접근할 수 있는 범위를 제한하십시오. 사용자에게 필요한 폴더에만 접근 권한을 부여하여 하나의 손상된 계정이 모든 것을 암호화할 수 없도록 하십시오.
- 행위 기반 탐지 기능이 있는 엔드포인트 보호를 실행하십시오. 서비스 변조와 대량 파일 변경을 표시하는 도구는 QNET 사례에서 입증된 것처럼 공격을 중간에 차단할 수 있습니다.
- 패치하고 사용하지 않는 원격 서비스를 제거하십시오. 노출된 문이 적을수록 제휴 파트너가 들어올 기회도 줄어듭니다.
이것이 당신에게 의미하는 것
VPN은 트래픽을 암호화하고 IP 주소를 숨기므로 프라이버시에 가치가 있습니다. 그러나 이미 유효한 자격 증명을 보유한 제휴 파트너를 막지 못하며, 네트워크 내부에서 실행되는 페이로드로부터 백업을 보호하지도 못합니다. Beast의 설계는 그 이유를 보여줍니다. 피해는 가로채인 트래픽이 아니라 삭제된 복구 지점과 암호화된 공유에서 비롯됩니다.
대부분의 독자에게 결정적 요인은 간단합니다. 누구에게도 비용을 지불하지 않고 데이터를 복원할 수 있습니까? 원격 접근이 비밀번호 이상의 것으로 보호됩니까? 백업이 조용히 중단되면 알아차릴 수 있습니까?
오늘 바로 설정을 점검하십시오
Beast 랜섬웨어의 작동 방식은 명확한 순서로 귀결됩니다. 백업 비활성화, 섀도 복사본 삭제, 드라이브 암호화이며, 이 모든 것은 그래픽 콘솔을 가진 제휴 파트너에 의해 조종됩니다. 여러 지점에서 이 순서를 끊을 수 있습니다. 오프라인 백업이 있고 올바르게 복원되는지 확인하고, 모든 원격 접근 경로에 MFA를 활성화하며, 몇 시간이 아닌 몇 초 안에 행동할 수 있는 탐지 기능이 있는지 확인하십시오. 이번 주에 한 시간을 내어 이 세 가지를 모두 검토하십시오.
