악성코드를 건너뛰는 BitLocker 랜섬웨어 공격
보안 연구원들이 기존의 랜섬웨어 개발을 우회하는 불편한 지름길을 찾아낸 새로운 갈취 그룹을 발견했습니다. 공격자들은 맞춤형 암호화 악성코드를 작성하는 대신, Windows에 기본 탑재된 디스크 암호화 기능인 BitLocker를 사용하여 피해자가 자신의 파일에 접근하지 못하도록 잠가버립니다. 드라이브가 봉인되면, 이 그룹은 가장 아날로그적인 방식으로 공격 사실을 알리는데, 바로 사무실 프린터로 랜섬 노트를 직접 인쇄하는 것입니다.
신뢰받는 Windows 기능과 물리적이고 직접적인 통지 방식의 결합은 갈취 조직의 운영 방식에 주목할 만한 변화를 보여줍니다. 이는 악성 실행 파일에 대비해 엔드포인트를 강화하는 데 수년을 투자해온 IT 팀에게 골치 아픈 질문을 던집니다. 이제 그들은 애초에 위험한 도구로 간주되지 않았던 기능을 사용하는 공격자들과 맞서야 하기 때문입니다.
공격자들이 BitLocker를 무기화하여 피해자를 잠그는 방법
BitLocker는 노트북이나 드라이브를 분실 또는 도난당했을 때 데이터를 보호하도록 설계된 Microsoft 제공의 합법적인 암호화 도구입니다. 대부분의 최신 Windows 설치에 포함되어 있으며 전 세계 IT 부서에서 신뢰합니다. 바로 그 신뢰가 네트워크에 대한 관리자 접근 권한을 이미 확보한 공격자에게 유용한 무기가 되는 이유입니다.
안티바이러스 소프트웨어가 탐지할 수 있는 맞춤형 암호화 페이로드를 배포하는 대신, 이 갈취 조직은 피해자의 드라이브에 BitLocker를 활성화하고 복구 키를 인질로 잡습니다. 결과는 랜섬웨어 감염과 기능적으로 동일합니다. 파일에 접근할 수 없게 되고, 시스템은 먹통이 되며, 조직은 애초에 자체적으로 통제했어야 할 키를 두고 협상해야 하는 상황에 놓입니다. BitLocker는 Microsoft가 디지털 서명한 네이티브 구성 요소이므로 알려진 악성 시그니처 탐지에 의존하는 보안 도구가 개입할 이유가 거의 없습니다.
랜섬 노트 인쇄가 새로운 갈취 전술을 의미하는 이유
전통적인 랜섬웨어 그룹은 일반적으로 바탕 화면에 텍스트 파일을 떨어뜨리거나 잠금 화면을 표시하여 지불을 요구합니다. 이 그룹은 대신 랜섬 요구 사항을 네트워크 프린터로 직접 전송하여 직원들이 휴게실이나 책상에서 발견하게 되는 물리적 문서를 생산합니다.
이 전술은 기술적 정교함보다 심리학에 더 가깝습니다. 인쇄된 쪽지는 팝업 창보다 무시하기 어렵고, IT 부서 직원뿐 아니라 건물 안의 모든 직원에게 조직이 침해당했음을 알립니다. 이는 피해자가 더 빨리 지불하도록 압박하기 위해 고안된 공개적이고 가시적인 확대 조치이며, 키보드 너머까지 도달하는 비전통적인 압박 전술을 실험하는 갈취 그룹의 광범위한 추세를 반영합니다. FBI는 이전에도 이와 유사한 창의적인 접근 방식에 대해 경고한 바 있는데, 여기에는 Silent Ransom Group이 법률 사무소에서 IT 직원으로 물리적으로 위장한 사례가 포함됩니다. 이들은 갈취를 시작하기도 전에 필요한 접근 권한을 얻었습니다.
보안 도구를 회피하는 리빙 오프 더 랜드 공격의 위험성
보안 전문가들은 이러한 접근 방식을 “리빙 오프 더 랜드(living off the land)”라고 부릅니다. 즉, 탐지 가능한 새로운 악성코드를 도입하는 대신 대상 시스템에 이미 존재하는 소프트웨어와 유틸리티를 사용하는 것입니다. BitLocker 남용은 교과서적인 사례입니다. Microsoft가 서명했으며 엔터프라이즈 머신에서 실행될 것으로 예상되기 때문에, 해당 활동은 낯선 실행 파일과 달리 동일한 경보를 유발하지 않는 경우가 많습니다.
바로 이 점이 시그니처 기반 안티바이러스나 명백히 악의적인 파일을 탐지하도록 조정된 엔드포인트 탐지에 주로 의존하는 조직에게 이 전술이 위험한 이유입니다. 공격자가 이미 암호화를 활성화하고 복구 키를 보유하는 데 필요한 관리자 권한을 가지고 있다면, 표준 Windows 기능만으로 공격이 펼쳐질 수 있어 너무 늦기 전까지는 합법적인 IT 활동과 구분하기 훨씬 더 어려워집니다.
내장 도구 남용으로부터 Windows 시스템을 강화하는 방법
이러한 종류의 공격을 방어하려면 “어떤 소프트웨어가 실행되고 있는가”에서 “누가 그것을 실행할 수 있는 권한을 가지고 있는가”로 초점을 전환해야 합니다. 여기서 몇 가지 실질적인 조치가 중요합니다. 조직은 어떤 계정이 BitLocker 설정을 활성화하거나 수정할 수 있는지 엄격하게 제한하고, 복구 키가 로컬 관리자 권한을 가진 사람만 접근할 수 있도록 남겨지지 않고 Active Directory 또는 Azure AD에 자동으로 에스크로(escrow)되도록 해야 합니다. 특히 정기적인 유지 관리 시간대가 아닌 때에 예상치 못한 BitLocker 활성화 이벤트를 모니터링하면 전체 기기 군에서 암호화가 완료되기 전에 진행 중인 공격을 포착할 수도 있습니다.
BitLocker 자체를 넘어, 근본적인 교훈은 권한 관리에 관한 것입니다. 상시 관리자 접근 권한을 제한하고, 네트워크를 분할하며, 오프라인으로 테스트된 백업을 유지하면 공격자가 거점을 확보했을 때 파일을 잠그기 위해 어떤 도구를 악용하든 피해 범위가 줄어듭니다.
이것이 여러분에게 의미하는 바
일반 사용자에게 이 특정 BitLocker 랜섬웨어 공격은 주로 엔터프라이즈 문제입니다. 공격자가 이미 네트워크에 대한 관리자 접근 권한을 가지고 있어야 하기 때문입니다. 하지만 계정 보안이 취약할 경우 보호를 위해 만들어진 암호화 도구가 나에게 불리하게 사용될 수 있다는 유용한 경각심을 줍니다. IT 관리자와 소규모 비즈니스 소유자에게 주는 교훈은 더 직접적입니다. 시스템에서 암호화 설정을 관리할 수 있는 사람을 점검하고, 복구 키가 공격자가 접근할 수 없는 곳에 백업되어 있는지 확인하며, 예상치 못한 암호화 이벤트를 악성코드 경보와 동일한 긴급성으로 처리하십시오.
핵심 요점
이번 사건은 갈취 그룹이 맞춤형 악성코드에서 벗어나 합법적인 도구와 비전통적인 압박 전술을 악용하는 패턴에 부합합니다. 이러한 추세는 Silent Ransom Group이 IT 직원으로 위장하여 공격 전 신뢰받는 접근 권한을 얻은 사례에서도 목격됩니다. 진입점이 가짜 전화든, 침해된 관리자 계정이든 방어 수단은 동일합니다. 강력한 접근 통제, 모니터링되는 관리 활동, 공격자의 선의에 의존하지 않는 백업이 그것입니다. 지금 조직의 BitLocker 키 관리와 엔드포인트 모니터링을 검토하는 것이 프린터에서 랜섬 노트가 나온 후에 하는 것보다 훨씬 나은 시점입니다.
