HYFLOCK을 추적하는 연구자들은 계속해서 진화하는 랜섬웨어 작전을 설명했습니다. 보고서에 따르면, 운영자들은 파일을 잠그고, 네트워크 공유에 접근하며, 복구를 방해하려는 일련의 Windows 암호화 프로그램을 만들어왔습니다. 원문 기사는 기술적 세부 사항이 간략하기 때문에, 이 글은 보고된 내용에만 충실하고 가정이나 소규모 사무실에서 Windows PC를 사용하는 사람들을 위한 실용적인 HYFLOCK 랜섬웨어 보호 조치에 초점을 맞춥니다.
HYFLOCK의 새로운 암호화 프로그램이 하는 일
보고된 동작은 세 부분으로 나뉩니다. 첫째, 암호화 프로그램은 감염된 Windows 머신의 파일을 잠가서 문서, 사진 및 기타 데이터를 키 없이는 읽을 수 없게 만듭니다. 둘째, 로컬 디스크를 넘어 네트워크 공유에까지 도달하는데, 이는 감염된 PC 한 대가 NAS, 공유 사무실 폴더 또는 다른 컴퓨터의 공유 드라이브에 저장된 파일에 영향을 미칠 수 있음을 의미합니다. 셋째, 복구를 방해하려고 시도하며, 피해자가 파일을 되찾기 위해 일반적으로 사용하는 옵션을 노립니다.
"연속적인(successive)"이라는 단어가 중요합니다. 이는 운영자들이 단일 빌드에 의존하기보다 개선된 버전의 도구를 출시하고 있음을 나타냅니다. 방어자 입장에서는 한 버전에 대한 시그니처 기반 가정이 다음 버전에는 적용되지 않을 수 있으므로, 특정 샘플을 쫓는 것보다 기본적인 복원력이 더 중요합니다.
원문 기사는 피해자가 처음에 어떻게 감염되는지, 얼마의 몸값이 요구되는지, 또는 얼마나 많은 조직이 영향을 받는지에 대해 자세히 설명하지 않으므로, 이 점들에 대해서는 추측하지 않겠습니다.
랜섬웨어가 네트워크 공유에 도달하고 복구를 차단하는 방법
HYFLOCK 특유의 세부 사항이 없더라도 일반적인 패턴은 이해할 가치가 있습니다. Windows 머신에서 실행되는 랜섬웨어는 일반적으로 이를 실행한 계정의 권한을 상속받습니다. 해당 계정이 공유 폴더를 열 수 있다면, 악성코드는 종종 그 안에 있는 내용을 암호화할 수 있습니다. 항상 연결되어 있고 쓰기 가능한 매핑된 드라이브는 사실상 로컬 디스크의 확장입니다.
복구 방해는 문제의 다른 절반입니다. 많은 사람들이 편리한 안전망에 의존합니다: 항상 꽂혀 있는 로컬 백업 드라이브, 클라우드 동기화 폴더, 또는 내장된 복원 기능 등입니다. 복구를 방해하려는 랜섬웨어는 바로 이러한 것들을 겨냥합니다. 동기화 폴더는 암호화된 복사본을 충실히 업로드하고, 영구적으로 연결된 백업 디스크는 다른 모든 것과 함께 암호화될 수 있습니다.
이것이 HYFLOCK 보고서의 핵심 교훈입니다: 감염된 컴퓨터가 접근하고 수정할 수 있는 백업은 완전한 백업이 아닙니다. 같은 논리가 데이터 탈취에도 적용되며, 이는 암호화와 별도로 발생할 수 있습니다. 몸값 거부 후 베를린 데이터 5.79TB를 유출한 Rhysida 사건에 대한 우리의 보도는 피해자들이 지불을 거부할 때 어떤 일이 뒤따를 수 있는지 보여줍니다.
공격을 약화시키는 백업과 접근 제어
이러한 HYFLOCK 랜섬웨어 보호 조치들은 일반적인 모범 사례이며, 보고서에 설명된 동작을 다룹니다.
- 하나의 백업은 연결 해제 상태로 유지하세요. 백업이 실행되는 동안에만 연결되는 외장 드라이브를 순환 사용하고, 그 후 분리하세요. 오프라인 복사본은 감염된 PC로부터 암호화될 수 없습니다.
- 버전 관리 또는 불변 클라우드 백업을 사용하세요. 이전 파일 버전을 보관하여 암호화 이전 시점으로 롤백할 수 있는 서비스를 선택하고, 해당 계정을 강력하고 고유한 비밀번호와 다중 인증으로 보호하세요.
- 3-2-1을 따르세요. 중요한 데이터의 사본 세 개를 두 가지 유형의 미디어에 보관하고, 하나는 오프사이트 또는 오프라인에 저장하세요.
- 공유 권한을 제한하세요. 각 사용자와 기기에 필요한 폴더에만 접근 권한을 부여하세요. 읽기 액세스로 충분한 경우 쓰기 액세스 권한으로 네트워크 드라이브를 영구적으로 매핑해 두지 마세요.
- 관리자 계정과 일상 계정을 분리하세요. 일상 업무에는 표준 계정을 사용하여 악성코드가 상속받는 권한을 줄이세요.
- 패치 및 업데이트하세요. Windows, 브라우저 및 라우터 펌웨어를 최신 상태로 유지하고, 보안 소프트웨어를 활성화 상태로 유지하세요.
- 복원을 테스트하세요. 한 번도 복원해본 적 없는 백업은 가정에 불과합니다. 몇 달에 한 번씩 몇 개의 파일을 복구해 보세요.
공격자들은 침입에 필요한 기술 수준을 낮추기 위해 자동화와 AI를 점점 더 많이 사용하고 있으며, 이는 AI 활용 해커가 20개 이상의 조직을 공격한 Anthropic의 조사 결과에서 살펴본 추세입니다. 이는 신뢰할 수 있는 기본 사항을 더욱 가치 있게 만들 뿐, 덜 가치 있게 만들지 않습니다.
VPN이 랜섬웨어에 대해 하는 것과 하지 않는 것
VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하고 방문하는 사이트로부터 IP 주소를 숨깁니다. 이는 공용 Wi-Fi에서 유용하며 개인정보 보호에 도움이 됩니다. 그러나 랜섬웨어 방어책은 아닙니다. VPN은 파일을 검사하지 않고, 악성 첨부 파일의 실행을 막지 않으며, 이미 감염된 PC가 로컬 파일과 네트워크 공유를 암호화하는 것을 방지하지도 않습니다.
좁고 간접적인 이점이 하나 있습니다: VPN을 사용하여 집이나 사무실 리소스에 원격으로 접근하는 경우, 파일 공유와 같은 서비스를 인터넷에 직접 노출하는 것을 피할 수 있습니다. 그렇더라도 VPN 계정에는 강력한 인증이 필요하며, 연결된 기기는 여전히 깨끗한 상태여야 합니다. VPN을 개인정보 보호와 안전한 원격 접근을 위한 하나의 계층으로 취급하되, 백업과 권한을 대체하는 것으로 여기지 마세요.
이것이 당신에게 의미하는 것
HYFLOCK 보고서는 랜섬웨어가 데스크톱의 파일에만 국한된 문제가 아니라는 점을 상기시켜 줍니다. 랜섬웨어는 공유 스토리지에 도달하고 복구에 사용할 도구를 변조할 수 있습니다. 유일한 백업이 항상 PC에 연결되어 있거나 자동으로 동기화된다면, 그 백업은 파일과 운명을 함께할 수 있습니다.
소규모 사무실의 경우 공유 폴더에 모든 사람의 작업물이 담겨 있기 때문에 노출이 더 큽니다. 광범위한 접근 권한을 가진 감염된 노트북 한 대가 매우 큰 영향을 미칠 수 있습니다. 데이터 탈취도 별개의 위험입니다: 백업이 잘 되어 있더라도 도난당한 파일은 여전히 유출될 수 있으며, 이는 1억 5,300만 건의 운전면허증 유출 의혹으로 제기된 IDScan 소송에서처럼 노출된 데이터의 결과가 법정에서 드러난 사례가 있습니다.
실행 가능한 핵심 요점
- 오늘, 백업이 어디에 있는지 그리고 PC가 항상 백업에 쓸 수 있는지 확인하세요.
- 가장 중요한 파일의 오프라인 백업을 생성하거나 순환하세요.
- 어떤 네트워크 공유가 매핑되어 있고 누가 쓰기 권한을 가지고 있는지 검토하세요.
- 일상 사용을 비관리자 계정으로 전환하고 클라우드 및 백업 계정에 다중 인증을 활성화하세요.
- 각 백업에서 파일 복원을 테스트하세요.
견고한 HYFLOCK 랜섬웨어 보호 조치는 비싼 도구를 필요로 하지 않으며, 공격자가 안전망을 노릴 때에도 여전히 작동하는 백업과 접근 규칙만 있으면 됩니다. 몸값 요구가 거부될 때 어떤 일이 발생하는지에 대한 자세한 내용은 베를린 데이터 유출 Rhysida 사건에 대한 우리의 보고서를 읽고, 아직 일상적인 작업일 때 자신의 설정을 점검해 보세요.
