- 정상 디스크 암호화 기능으로 데이터 잠그고 장기 잠복…설정 오류·노출 계정 통해 침투

 

카스퍼스키가 윈도우 디스크 암호화 기능인 비트로커(BitLocker)를 악용해 기업 데이터를 잠그고 프린터로 몸값 요구서를 출력하는 랜섬웨어 공격을 확인했다. 공격자는 인터넷에 노출된 서비스와 잘못된 시스템 설정으로 내부에 침투한 뒤 정상 관리 기능을 이용해 파일 접근을 차단하고 피해 기업을 압박했다.

 

비트로커로 드라이브 잠그고 프린터로 요구서 전달

카스퍼스키 시큐리티 서비스는 2026년 5월부터 6월까지 콜롬비아와 멕시코 기업에서 발생한 공격을 조사했다. 피해 시스템에서는 윈도우 탐색기의 드라이브 옆에 자물쇠 아이콘이 나타났으며, 비트로커가 시스템을 암호화하면서 사용자가 파일에 접근하지 못했다. 공격자는 기업 프린터를 이용해 인프라가 침해됐다는 내용과 데이터 접근 권한 복구를 위한 몸값 지불 요구서를 출력했다. 별도의 랜섬노트 파일을 남기는 방식에서 벗어나 사내 출력 장치로 요구 내용을 전달해 피해자에게 직접적인 심리적 압박을 가했다.

 

원격 접속 서비스 통해 8TB 스토리지 암호화

콜롬비아 사례에서는 인터넷에 노출된 원격 접속 서비스가 최초 침투 경로로 쓰였다. 해당 서비스는 기업의 핵심 데이터를 저장한 8TB 스토리지 장치와 연결된 서버에 설치돼 있었다. 공격자는 시스템 제어권을 확보한 뒤 사용자 계정 정보를 변경하고 재무 데이터가 저장된 드라이브를 비트로커로 암호화했다. 데이터 접근을 막은 이후 기업 프린터로 몸값 요구서를 출력해 배포했다.

 

노출 계정으로 침투해 수개월간 접근 유지

멕시코에서는 ‘XEntry Team’을 자칭한 공격자가 공개 소스 코드에 노출된 로그인 정보를 확보한 뒤 잘못 설정된 마이크로소프트 SQL 서버로 침투했다. 데이터베이스를 넘어 웹 서버의 보안 설정까지 약화시키며 수개월 동안 내부 접근 권한을 유지했다. 침해 사실은 직원 PC에 ‘Hacked by XEntry Team’이라는 문구가 포함된 블루스크린이 나타나고 기존 계정으로 로그인할 수 없게 되면서 드러났다. 카스퍼스키는 몸값 요구서의 문구와 전달 방식, 피해자와의 소통 방식에서 공통점을 확인했지만 동일 조직의 소행이라고 단정할 수는 없다고 설명했다.

 

정상 관리 도구 악용해 탐지 우회

카스퍼스키 에두아르도 차바로 오발레(Eduardo Chavarro Ovalle) 디지털 포렌식 및 사고 대응 그룹 매니저는 “최근 랜섬웨어 공격은 정교한 악성코드에만 의존하지 않는다”며 “인터넷에 노출된 서비스와 설정 오류, 기업 환경에 이미 존재하는 정상 관리 도구를 이용해 데이터를 암호화하고 몸값 지불을 압박한다”고 밝혔다.

 

카스퍼스키코리아 이효은 지사장은 “기업은 시스템 취약점과 설정 오류를 정기적으로 점검하고 비인가 접근을 지속적으로 감시해야 한다”며 “사고 이후 대응보다 위협을 조기에 탐지하고 차단하는 예방 중심 보안 전략이 필요하다”고 덧붙였다. .

 

카스퍼스키는 로그를 중앙에서 안전하게 관리하고 보안 경고를 상시 점검할 것을 권고했다. 원격 데스크톱 프로토콜(RDP)의 보안 설정과 애플리케이션 제어 정책을 강화하고, 원격 관리 도구 악용과 명령·제어(C2) 통신을 찾기 위한 네트워크 모니터링도 병행해야 한다.

 

#카스퍼스키 #비트로커 #BitLocker #랜섬웨어 #랜섬노트 #윈도우보안 #사이버보안 #EDR #XDR #RDP #기업보안