랜섬웨어 걸려도 돈 지불 않고 치료한다?! '노모어랜섬(NMR)' 효과는

[키뉴스 박근모 기자] 지난해 7월 네델란드 경찰, 유로폴, 카스퍼스키랩, 인텔 시큐리티 등이 연합해서 랜섬웨어 공격 예방과 비용을 지불하지 않고 복원하기 위해 '노 모어 랜섬(No More Ransom, NMR)'이라는 프로젝트를 운영 중이다. 지난 5일부터는 한국어도 지원하고 랜섬웨어 복호화 도구도 추가가 된 것으로 알려졌다.

이는 한국 경찰청 사이버안전국이 NMR에 가입하면서 이뤄진 조치의 일환이다. 언론에 배포된 경찰청 자료에 따르면 한국어 사이트 개설 후 2500여명의 피해자가 랜섬웨어 감염 파일 복구에 성공했으며, 총 16억원에 해당하는 피해를 예방할 수 있었다고 한다. 이같은 보도로 인해 NMR 홈페이지의 접속량이 급속히 늘면서 한국어 지원 페이지가 오류가 날 정도로 네티즌의 관심이 뜨거운 것으로 나타났다. 그동안 랜섬웨어로 인해 피해를 입은 사용자가 많았다는 것을 반증하고 있다.

각국 국가기관과 IT 보안 업체들이 랜섬웨어 예방을 위한 정보 공유를 위해 'NMR' 프로젝트를 시작했다.(사진=NMR)

이같은 분위기 속에서 일각에서는 랜섬웨어에 걸려도 NMR을 통해 돈을 지불하지 않고도 치료하면 된다는 소리도 나오고 있다. 이에 대해 랜섬웨어 보안 전문가들은 "NMR에서 40여종에 달하는 랜섬웨어 복구 툴을 제공하고 있는 것은 사실"이라며 "그렇다고 하더라도 현재 존재하는 모든 랜섬웨어를 다 복구 시킬 수 있는 것은 아니다"고 주의를 당부했다.

노 모어 랜섬(NMR)은 지난해 7월 네델란드 경찰청 소속의 '첨단 범죄 수사과'와 유로폴의 '사이버범죄 센터' 등 국가 기관과 보안 기업 '카스퍼스키랩', '인텔시큐리티(맥아피)'가 모여서 범죄자들에게 돈을 지불하지 않고 암호화된 데이터를 복원하는 것을 목표로 설립됐다.

NMR 측은 프로젝트 초기때부터 "랜섬웨어는 감염 후 복구하는 것보다 예방이 더 쉽다"라며 "예방을 우선시 하고 정보 공유를 위해 다양한 기관 및 민간 파트너사와 함께 하고 있다"고 밝히고 있다.

다수의 보안 전문가들은 "NMR 측이 밝힌 것처럼 랜섬웨어는 예방이 무엇보다 가장 중요하다"라며 "최근 NMR 한국어 지원이 되면서 다수의 언론에서 랜섬웨어가 해당 웹사이트를 통해서 치료가 되는 것처럼 호도되는 것 같아서 염려스럽다"고 지적했다.

대표적인 랜섬웨어인 크립토락커, 테슬라크립트, 크립트XXX, 케르베르 등은 그동안 영어로만 제공됐던 것에서 최근 한국어 메뉴가 포함된 방식으로 사용자 PC의 파일을 감염시키고 있다. 이들 랜섬웨어에 감염되면 PC 내 존재하는 xls, doc, pdf, jpg, avi, rar, zip, psd, hwp 등 대부분의 파일을 암호화한다. 해커들은 이들 파일을 해독해주는 댓가로 금품을 요구하는 등 글로벌뿐만 아니라 국내에서도 피해 규모가 날로 증가하고 있다.

NMR에서 제공 중인 랜섬웨어 복호화 툴, 총 38종이 제공 중이다.(자료=NMR)

여기서 중요한 점은 현재 유포되고 있는 랜섬웨어들은 대부분 새롭게 만들어진 경우도 있지만, 기존의 랜섬웨어를 기반으로 해커들에 의해 각기 다른 암호화 방법으로 조작된 변종이 유포되고 있다. 국내 보안 업체에서는 PC에 설치된 백신의 경우 블랙리스트 기반 즉, 이미 탐지된 랜섬웨어는 탐지가 가능하지만 실제로 랜섬웨어는 동일한 경우가 거의 없이 매일 새로운 변종으로 유포되고 있어 백신으로는 랜섬웨어를 방어할 방법이 거의 없다고 당부하고 있다.

이처럼 랜섬웨어는 동일한 버전으로 사용자 PC를 감염시키는 경우가 거의 없다는 것이 보안 전문가들의 의견이다.

한국랜섬웨어침해대응센터 관계자에 따르면 "랜섬웨어는 변종을 쉽게 만들어 낼 수 있어, 현재 유포되고 있는 랜섬웨어는 기존의 복호화 툴로는 복구할 수 없는 변종이 주를 이루고 있다"라며 "NMR은 실질적으로 랜섬웨어 감염에 따른 복구를 위해서 존재하기 보다 어떤 랜섬웨어에 감염됐는지, 랜섬웨어 예방을 강조하는 역할에 중점이 있다"고 설명했다.

이어 "각국의 국가기관과 글로벌 IT 보안 업체들이 랜섬웨어에 관한 정보 공유와 복호화를 위한 연구 개발을 지속하고 있어서 실제 랜섬웨어 복호화 툴이 계속 추가되고 있는 것은 사실"이라며 "최근 랜섬웨어에 감염된 사용자보다 예전에 감염됐지만 치료하지 않고 보관 중인 자료는 공개된 복호화 툴을 이용해서 복구가 가능하다"고 덧붙였다.

현재 NMR에는 총 38종류에 달하는 랜섬웨어 복호화 툴이 존재한다. 이는 대부분 해당 랜섬웨어를 만든 해커 그룹이 자진해서 공개한 랜섬웨어 복호화 툴이나 카스퍼스키랩 등 보안 업체들이 자체적으로 분석해 개발한 것으로 알려졌다. 하지만, 보안업계에 따르면 랜섬웨어의 경우 AES-256과 RSA 방식 등으로 암호화가 처리돼 실질적으로 복호화 키가 없다면 암호를 풀 수 있는 방법은 없다.

한국랜섬웨어침해대응센터 관계자는 "현재 변종 랜섬웨어의 경우 이전에 존재한 복호화 툴로는 복구가 불가능하다"라며 "NMR을 통해서 복구를 할 수 있는 랜섬웨어는 예전에 감염된 경우만 한정적으로 가능한 것으로 이를 믿고 랜섬웨어 예방에 소홀히 하면 절대 안된다"고 당부했다.

한편, NMR에서 제공하는 서비스 중 '랜섬웨어 해결사(Crypto Sheriff)'가 있는데, 이 서비스는 랜섬웨어에 감염된 사용자 PC에 있는 파일을 선택해 어떤 랜섬웨어에 감염됐는지 확인할 수 있다. 랜섬웨어에 감염된 사용자는 해당 서비스를 통해 자신이 감염된 랜섬웨어를 확인해 만약 복호화 툴이 존재하는 랜섬웨어의 경우 NMR이나 한국랜섬웨어침해대응센터가 제공하는 복호화 툴로 복구가 가능하다.

<저작권자 Copyright ⓒ 키뉴스 무단전재 및 재배포 금지>