L0CK3D 랜섬웨어가 Synology NAS 장치를 암호화하고 있다는 보고가 돌고 있으며, 피해자들은 파일 확장자가 변조된 것을 발견하고 있습니다. 출처 기사인 SheMo Noransom 블로그의 가이드는 이 활동을 대규모로 설명하며 긴급 대응 조언을 제공합니다. 우리가 이용할 수 있는 발췌문은 짧기 때문에, 이 글은 공격자들이 어떻게 침입하는지, 얼마나 많은 장치가 영향을 받는지, 또는 몸값 요구가 어떤 모습인지에 대한 구체적인 내용을 주장하지 않습니다. 우리가 할 수 있는 일은 설명된 증상과 표준 사고 대응 관행을 중심으로 합리적인 Synology NAS L0CK3D 랜섬웨어 복구 체크리스트를 제시하는 것입니다.

L0CK3D가 Synology NAS를 공격했는지 확인하는 방법

보고된 주요 증상은 변경된 파일 확장자입니다. 정상적으로 열리던 문서, 사진, 백업이 이제 낯선 접미사를 갖게 되어 일반적인 앱에서 열리지 않습니다. NAS에서 랜섬웨어와 흔히 연관되는 다른 징후는 다음과 같습니다:

  • File Station이나 매핑된 드라이브에서 갑자기 미리보기나 열기가 안 되는 파일
  • 공유 폴더에 새로운 텍스트 또는 HTML 메모가 나타남
  • 설명 없는 비정상적으로 높은 디스크 또는 CPU 활동
  • NAS에서는 정상으로 보이지만 컴퓨터에서는 깨진 공유 폴더, 또는 그 반대

최악의 상황을 가정하기 전에 드라이브 고장, 권한 변경, 동기화 클라이언트 오류 같은 단순한 원인을 배제하세요. 여러 공유 폴더에서 동시에 변경된 확장자가 나타난다면, 반증이 될 때까지 감염으로 취급하세요.

첫 단계: 장치 격리 및 노출 확인

속도도 중요하지만 상황을 악화시키지 않는 것도 중요합니다. 침착한 작업 순서가 도움이 됩니다.

1. NAS를 네트워크에서 분리하세요. 이더넷 케이블을 뽑고, 해당되는 경우 Wi-Fi를 비활성화하세요. 이렇게 하면 연결된 공유 폴더의 추가 암호화를 막고 모든 원격 접근을 차단합니다. 가능하면 강제 전원 차단은 피하세요. 깔끔하게 종료하면 유용한 로그가 보존될 수 있지만, 우선순위는 확산을 막는 것입니다.

2. 다른 장치를 확인하세요. PC나 노트북에 NAS가 드라이브로 마운트되어 있었다면, 그 기기가 감염원이거나 다음 대상일 수 있습니다. 연결을 끊고 스캔한 후에 다른 것을 다시 연결하세요.

3. 보이는 것을 기록하세요. 화면을 촬영하고, 파일 확장자를 메모하고, 몸값 메모를 저장하세요. 이는 나중의 분석, 보험 청구, 또는 당국 신고에 도움이 됩니다.

4. 장치가 어떻게 노출되었는지 검토하세요. NAS가 포트 포워딩, 원격 접근 기능, 또는 웹 관리 패널을 통해 인터넷에서 접근 가능했는지 자문해 보세요. 오래된 DSM 펌웨어를 실행하고 있었는지, 관리자 계정이 약하거나 재사용된 비밀번호를 사용했는지, 기본 계정이나 불필요한 서비스가 여전히 활성화되어 있었는지 고려하세요. 출처 자료는 침입 방법을 명시하지 않으므로, 이 모든 것이 관련될 수 있다고 가정하고 각각을 확인해야 합니다.

5. 자격 증명을 변경하세요. 깨끗한 장치에서 NAS 관리자 계정, 공유 계정, 그리고 NAS에 저장되었거나 NAS에서 접근 가능했던 다른 모든 것의 비밀번호를 재설정하세요.

복구 옵션과 몸값 지불이 나쁜 선택인 이유

가장 깔끔한 복구는 공격자가 접근할 수 없었던 백업에서 하는 것입니다. 연결이 끊겨 있던 외장 드라이브, 별도의 NAS, 또는 버전 기록이 있는 클라우드 백업에 사본이 있는지 확인하세요. 복원하기 전에 업데이트된 펌웨어로 NAS를 초기화하고 재구축하여 감염된 시스템으로 복원하지 않도록 하세요. 백업이 같은 장치나 마운트된 공유 폴더에 있었다면 그것들도 암호화되었을 수 있으며, 이것이 백업 설계가 중요한 이유입니다. 불변 백업도 여전히 랜섬웨어에 공격받는 이유에 대한 우리 글은 선의의 설정도 어디서 부족한지 설명합니다.

깨끗한 백업이 없다면 선택지가 좁아집니다:

  • 스냅샷을 찾아보세요. Btrfs 스냅샷이 활성화되어 있고 삭제되지 않았다면 롤백할 수 있을 수 있습니다. 볼륨에 다른 작업을 하기 전에 이것을 확인하세요.
  • 공개 복호화 도구를 확인하세요. 특정 랜섬웨어 제품군에 대한 무료 도구가 때때로 나타납니다. 신뢰할 수 있는 출처의 도구인지 확인한 후 실행하고, 데이터 사본에서 작업하세요.
  • 전문가 도움을 고려하세요. 평판 좋은 사고 대응 또는 데이터 복구 업체가 복구 가능성을 평가할 수 있습니다.

몸값 지불에 관해서는, 나쁜 선택입니다. 작동하는 복호화 도구를 받을 보장이 없으며, 지불은 당신을 자발적인 표적으로 표시합니다. 랜섬웨어 피해자의 64%가 이제 지불을 거부하는 방법에 대한 우리 보도에서 인용된 연구는 거부가 점점 표준이 되고 있음을 시사합니다. 범죄 집단이 어떻게 적응하는지에 대한 더 넓은 시각은 Group-IB의 랜섬웨어 진화하는 비즈니스 모델 분석을 참조하세요.

다음에 접근할 수 없도록 NAS 강화하기

대부분의 NAS 침해는 노출과 방치로 귀결됩니다. 몇 가지 변경으로 많은 일반적인 문을 닫을 수 있습니다:

  • 공용 인터넷에서 제거하세요. 포트 포워딩을 제거하고 진정으로 필요하지 않은 원격 접근 기능을 비활성화하세요. 원격 접근이 필요하다면 NAS를 직접 노출하는 대신 가정이나 사무실 네트워크로의 VPN을 사용하세요.
  • DSM과 패키지를 최신 상태로 유지하세요. 가능한 경우 자동 보안 업데이트를 활성화하고, 더 이상 사용하지 않는 앱을 제거하세요.
  • 계정을 잠그세요. 기본 관리자 계정을 비활성화하고, 길고 고유한 비밀번호를 사용하며, 2단계 인증을 켜세요.
  • 내장 보안 어드바이저를 사용하세요. 약한 비밀번호와 위험한 설정을 표시할 수 있습니다.
  • 자동 차단을 활성화하고 설정에 맞는 경우 IP별 접근을 제한하세요.
  • 스냅샷을 켜고 합리적인 일정으로 유지하세요.
  • 3-2-1 접근법을 따르세요. 데이터 사본 세 개를, 두 가지 유형의 미디어에, 하나는 오프라인 또는 접근 불가능한 상태로 유지하세요.

이것이 당신에게 의미하는 것

가정이나 소규모 사업체에서 Synology NAS를 운영한다면, 이 보고를 패닉의 이유가 아니라 설정을 점검하라는 신호로 받아들이세요. 우리가 가진 출처에서 L0CK3D 캠페인의 세부 사항은 빈약하므로, 특정 취약점에 대한 소문에 따라 행동하지 마세요. 통제할 수 있는 것에 집중하세요: NAS가 노출되어 있는지, 패치되었는지, 공격자가 건드릴 수 없는 백업이 있는지. 이미 영향을 받았다면 먼저 장치를 격리한 다음 범죄자에게 돈을 보내지 않고 복구 작업을 진행하세요.

핵심 요점

Synology NAS L0CK3D 랜섬웨어 복구는 공격 전에 준비하면 훨씬 쉽습니다. 오늘 NAS에 로그인하여 인터넷에 노출된 것이 무엇인지 확인하고, 펌웨어가 최신인지 확인하고, 백업에서 실제로 파일을 복원할 수 있는지 테스트하세요. 그런 다음 불변 백업과 피해자들이 지불을 거부하는 추세에 대해 읽어 압박 속에서 즉흥적으로 대처하지 않아도 될 계획을 세우세요.