방어 체계를 조용히 무력화하는 방법

랜섬웨어 운영자들은 공격을 시작하기 전에 보안 소프트웨어를 종료시키려는 시도를 오래전부터 해왔으며, 안티바이러스 도구, 엔드포인트 탐지 및 대응(EDR) 에이전트, 백업 서비스를 차단하여 암호화 작업에 방해가 되지 않도록 한다. 하지만 ‘랜섬웨어 킬러’라고도 불리는 새로운 세대의 도구는 더 은밀한 접근 방식을 취한다. 보안 프로세스를 완전히 종료하는 대신, 프로세스의 메모리를 수술하듯 덮어써서 애플리케이션이 기술적으로는 계속 실행 중인 것처럼 보이게 만든다.

이 차이는 생각보다 훨씬 중요하다. 보안 프로세스가 종료되면 일반적으로 시스템의 프로세스 목록에서 사라지며, 많은 조직에서는 바로 그런 사라짐을 탐지하기 위한 모니터링을 갖추고 있다. 워치독 서비스, 관리 콘솔 또는 경고 규칙은 안티바이러스 프로세스가 응답을 멈추는 순간을 포착해 알람을 울릴 수 있다. 대신 해당 프로세스의 메모리를 덮어쓰면, 공격자는 프로세스 자체가 작업 관리자나 기본적인 상태 확인에서는 여전히 활성 상태로 보이도록 하면서, 위협을 탐지하거나 대응하는 능력은 무력화할 수 있다.

메모리 덮어쓰기가 더 탐지하기 어려운 이유

이 기법은 보안 도구가 모니터링하도록 설계된 대상과 실제 침해를 나타내는 지표 사이의 간극을 파고든다. 대부분의 방어 계층은 제대로 작동하는 보안 에이전트가 곧 보호가 온전함을 의미한다는 가정에 기반해 구축된다. 프로세스가 존재하고 실행 중이라면 제 역할을 하고 있을 것이라고 가정하는 것이다. 메모리를 직접 조작하는 랜섬웨어 킬러는 많은 탐지 시스템이 의존하는 프로세스 충돌이나 종료라는 명백한 신호를 발생시키지 않고 이러한 가정을 무너뜨린다.

이는 이미 랜섬웨어 그룹이 작동하는 방식을 바꿔놓은 추세의 자연스러운 진화다. 최근 EDR을 무력화하는 랜섬웨어 프레임워크에 대해 다룬 기사에서 살펴보았듯이, 공격자들은 방어 시스템이 대응하기 전에 파일을 빠르게 암호화하는 경쟁에서 벗어나, 먼저 그 방어 시스템을 체계적으로 무력화하는 쪽으로 이동했다. 메모리 덮어쓰기 기술은 그 동일한 플레이북의 다음 단계를 대표한다. 즉, 도구를 그냥 비활성화하는 대신, 공격자들은 아무 일도 일어나지 않은 것처럼 보이게 만드는 법을 배우고 있는 것이다.

보안 팀에게 이는 현실적인 문제를 제기한다. “보안 프로세스가 여전히 실행 중인가”를 “엔드포인트가 여전히 보호되고 있는가”의 대리 지표로 의존하는 탐지 전략은 조용히 무력화될 수 있다. 이런 도구가 쓸모없다는 의미는 아니지만, 조직이 이러한 종류의 조작을 포착하려면 프로세스가 단순히 존재하는지가 아니라 실제로 정상적으로 동작하고 있는지 확인하는 추가 신호가 필요하다는 뜻이다.

EDR 및 안티바이러스 회피의 더 넓은 패턴

이러한 발전은 랜섬웨어 그룹이 보안 소프트웨어를 부차적인 문제가 아닌 가장 먼저 제거해야 할 장애물로 간주하는 더 넓은 패턴에 들어맞는다. 공격자들은 실제 랜섬웨어 페이로드를 배포하기 전에 탐지 제품을 무력화하거나 우회하기 위한 전용 도구를 점점 더 많이 구축해왔다. 완전한 종료 대신 메모리 조작으로 이동하는 것은, 공격자들이 이 공격의 좀 더 거친 버전을 더 잘 포착하게 된 방어자들에 적극적으로 적응하고 있음을 시사한다. EDR을 무력화하는 랜섬웨어 프레임워크 같은 다계층 방어가 표준 조언이 되면서, 공격자들은 바로 그 계층을 빠져나가도록 그들의 방법을 정교하게 다듬고 있다.

이것이 의미하는 바

일반 사용자에게 이런 공격이 직접 나타날 가능성은 적다. 개인 기기보다 기업의 보안 인프라를 표적으로 삼기 때문이다. 하지만 근본적인 교훈은 폭넓게 적용된다. 시스템에 보안 도구가 설치되어 있다는 사실이 제대로 작동하고 있음을 보장하지는 않는다는 점이다. 랜섬웨어 킬러는 공격자들이 가시적인 경보를 발생시키기보다는 조용히 보호 기능을 무력화하는 데 점점 더 집중하고 있음을 상기시켜 주며, 이는 보안 소프트웨어가 단순히 설치되어 실행 중인지가 아니라 실제로 정상적으로 작동하는지에 주목할 가치가 있음을 의미한다.

IT 및 보안 팀에게 이 기법은 단순한 “프로세스가 살아 있는가” 확인을 넘어서야 할 필요성을 강조한다. 모니터링에는 보안 도구 자체에 대한 행동 검증이 포함되어야 하며, 단순히 프로세스 목록의 한 자리를 차지하고 있는지가 아니라 실제로 검사, 업데이트, 보고가 예상대로 이루어지고 있는지 확인해야 한다. 공격자들이 정상 상태를 위장하는 데 능숙해질수록, 다계층 방어, 중복 모니터링, 보안 도구 상태의 대역 외 검증이 더욱 중요해진다.

실행 가능한 조언

  • 보안 소프트웨어가 작동 중이라는 증거로 프로세스 존재 여부에만 의존하지 말고, 단순한 존재가 아닌 동작을 검증하라.
  • 가능한 경우 보안 도구에서 무결성 검사나 변조 방지 기능이 활성화되어 있는지 확인하라.
  • 중요한 보안 프로세스 주변의 비정상적인 메모리 활동을 충돌이나 종료뿐만 아니라 알리도록 모니터링을 구축하라.
  • 엔드포인트 탐지 도구를 최신 상태로 유지하라. 새로운 회피 기법이 발견되면 벤더가 패치를 제공하는 경우가 많다.
  • ‘랜섬웨어 킬러’ 도구에 대한 보고가 나오면, 조직이 방어 체계의 상태를 단순히 기술적으로 실행 중인지에 의존하지 않고 어떻게 검증하는지 재검토하라는 신호로 받아들여라.

랜섬웨어 그룹이 명백한 경보를 작동시키지 않고 보안 도구를 무력화하는 방법을 계속 정교화하는 가운데, 이러한 회피 기법에 대한 정보를 숙지하는 것이 이들보다 한 발 앞서는 가장 간단한 방법 중 하나다.