DeadLock이 윈도우 디펜더를 무력화하고 백업을 삭제하는 방법

DeadLock은 익숙한 침투 기술과 제거 시도에 저항하도록 특별히 구축된 인프라를 결합하여 주목을 받고 있는 금전적 동기의 랜섬웨어 운영입니다. 해당 그룹을 추적하는 보안 연구원들에 따르면, DeadLock의 운영자들은 단순히 악성코드를 투하하고 보안 도구를 우회하길 바라지 않습니다. 대신 암호화가 시작되기 전에 피해자의 방어 체계를 체계적으로 무력화합니다.

이 과정은 일반적으로 많은 조직이 1차 방어선으로 의존하는 기본 제공 보호 기능인 윈도우 디펜더를 비활성화하는 것에서 시작됩니다. 그런 다음 DeadLock은 백업 시스템을 공격 대상으로 삼습니다. 백업은 피해자가 몸값을 지불하지 않고 복구할 수 있는 가장 빠른 방법인 경우가 많기 때문에 이 단계는 특히 치명적입니다. 마지막으로 이 그룹은 윈도우 이벤트 로그를 지워 사고 대응자가 공격을 재구성하고 발생 경위를 파악하는 데 사용할 수 있는 포렌식 흔적을 대부분 제거합니다.

이러한 조합은 의도된 것입니다. 파일이 실제로 암호화될 때쯤이면 피해 조직은 이미 안전망과 침입을 조사할 수 있는 능력의 상당 부분을 상실한 상태입니다. 이는 일회성 절도형 악성코드가 아니라, 피해자에 대한 협상력을 극대화하도록 설계된 체계적인 작전입니다.

엔드포인트 보안만으로 현대 랜섬웨어를 막을 수 없는 이유

DeadLock의 전략은 윈도우 디펜더와 같은 유능한 제품이라도 엔드포인트 백신은 독립형 솔루션이 아니라는 점을 날카롭게 상기시킵니다. 랜섬웨어 운영자가 네트워크에서 보안 소프트웨어를 비활성화하고 백업을 삭제하며 로그를 지울 만큼 충분한 권한을 획득했다면, 이는 이미 단일 도구로 막을 수 있는 지점을 훨씬 지나쳤음을 의미합니다.

현대 랜섬웨어 그룹들은 바로 이 시나리오에 점점 더 대비하고 있습니다. 방어자가 백신을 실행 중이라고 가정하고, 이를 끄거나 우회하는 단계를 작전에 포함시킵니다. 이로 인해 실제 전장은 '백신이 파일을 잡아낼 것인가'에서 '암호화가 시작되기 전에 의심스러운 수평 이동, 권한 상승 또는 비정상적 관리 활동을 얼마나 빨리 탐지해 차단할 수 있는가'로 이동하게 됩니다.

이것이 바로 보안 팀이 예방 단독보다 탐지 및 대응에 대해 점점 더 많이 이야기하는 이유입니다. 손상된 자격 증명 하나나 잘못 구성된 시스템만으로도 공격자는 보호 기능을 회피하는 대신 무력화하는 단계까지 도달할 수 있습니다. 엔드포인트 도구는 여전히 가치 있지만, 최후의 방어선이 아닌 여러 계층 중 하나로 작동할 때 가장 효과적입니다.

계층화된 방어: 네트워크 세분화, VPN, 오프라인 백업

DeadLock의 전술이 피해자의 복구 옵션을 제거하는 데 초점이 맞춰져 있기 때문에 가장 효과적인 대응책은 공격자의 이동 범위를 제한하고 공격자가 도달할 수 없는 복구 경로를 확보하는 데 중점을 둡니다.

네트워크 세분화는 조직이 취할 수 있는 가장 실용적인 조치 중 하나입니다. 네트워크를 더 작고 격리된 영역으로 나누면, 손상된 워크스테이션이나 서버가 자동으로 백업 서버, 도메인 컨트롤러 또는 기타 고가치 시스템으로 가는 경로를 공격자에게 제공하지 않도록 합니다. 이러한 격리는 통제된 사고와 조직 전체의 셧다운을 가르는 차이가 될 수 있습니다.

안전한 원격 접속도 그만큼 중요합니다. VPN 및 기타 암호화된 접속 도구는 특히 원격 직원과 제3자 공급업체를 위한 기업 네트워크 연결이 열린 문으로 방치되지 않고 인증 및 모니터링되도록 보장합니다. 강력한 접근 제어와 결합하면 DeadLock 운영자와 같은 공격자가 권한 상승 전에 필요한 초기 거점을 확보하는 데 악용할 수 있는 진입 지점의 수가 줄어듭니다.

DeadLock이 복구 데이터 파괴에 특히 집중하는 점을 감안하면 오프라인 백업이나 변경 불가능한 백업에 특별한 주의를 기울여야 합니다. 네트워크에서 분리되어 있거나 관리자 계정으로도 수정할 수 없도록 저장된 백업은 운영 시스템과 함께 삭제되거나 암호화될 수 없습니다. 이러한 백업이 실제로 올바르게 복원되는지 정기적으로 테스트하는 것도 백업을 유지하는 것만큼이나 중요합니다.

DeadLock의 전술이 탈중앙화된 랜섬웨어 인프라에 대해 드러내는 것

개별 피해자를 대상으로 한 기술적 단계를 넘어, DeadLock의 인프라 선택은 랜섬웨어 운영자들 사이의 광범위한 추세를 보여줍니다. 즉, 법 집행 기관의 압박과 제거 시도에도 살아남도록 설계된 시스템을 구축하는 것입니다. 탈중앙화된 인프라는 방어자와 당국이 단일 서버나 도메인을 표적으로 삼아 전체 작전을 방해하기 어렵게 만들므로, 네트워크 일부가 노출되거나 압수된 후에도 그룹이 계속 운영될 수 있습니다.

이러한 복원력은 DeadLock의 확인된 침해 사건 중 하나의 여파에서 일어난 일과 유사합니다. DeadLock 랜섬웨어 침해로 Diater의 10년 치 기록이 노출된 사건은 백업과 탐지 능력이 제거된 후 단 한 번의 성공적인 침입이 얼마나 큰 피해를 초래할 수 있는지, 그리고 관련된 조직과 개인에게 미치는 여파가 얼마나 오래 지속될 수 있는지를 보여주었습니다.

이것이 여러분에게 의미하는 바

대부분 독자에게 DeadLock의 표적은 개인이 아닌 조직이지만 근본적인 교훈은 폭넓게 적용됩니다. 기업의 IT를 관리하거나 민감한 데이터를 보호할 책임이 있는 사람이라면, 거점을 확보한 결의에 찬 공격자가 단순히 파일을 암호화하는 것뿐 아니라 보안 도구를 비활성화하고 백업을 파괴하려 할 것이라고 가정해야 합니다. 백신만으로 초기 시도를 차단할 수 있기를 바라기보다는 바로 그 가정을 바탕으로 방어를 계획해야 합니다.

직원과 원격 근무자에게도 이는 업무 시스템에 연결할 때 임시적인 원격 접속 대신 보안이 강화되고 모니터링되는 연결을 사용하는 것의 중요성을 다시 한번 확인시켜 줍니다. 취약한 진입 지점이야말로 DeadLock과 같은 작전이 시작점으로 삼는 것이기 때문입니다.

실천 가능한 교훈

  • 엔드포인트 백신을 유일한 방어 수단으로 의존하지 말고, 비정상적인 권한 상승과 수평 이동을 모니터링하는 기능과 함께 사용하십시오.
  • 네트워크를 세분화하여 단일 손상된 장비가 백업 시스템이나 핵심 인프라에 도달하지 못하게 하십시오.
  • 오프라인 백업이나 변경 불가능한 백업을 유지하고 정기적으로 복원 테스트를 수행하십시오.
  • VPN과 강력한 인증을 사용해 원격 접속의 노출된 진입 지점을 줄이십시오.
  • DeadLock과 관련된 Diater 침해 사례와 같은 실제 사고를 검토하여 계층화된 방어를 생략했을 때의 실질적 대가를 이해하십시오.

DeadLock 랜섬웨어 방어는 하나의 완벽한 도구를 찾는 것이 아닙니다. 하나의 계층이 실패하더라도 공격자가 돌이킬 수 없는 지점에 도달하기 전에 여전히 장애물과 마주치도록 방어 계층을 중첩하여 구축하는 것입니다.