[DT광장] `한국형 랜섬웨어` 주의보

정순채 서울중랑경찰서 사이버범죄수사팀장


대한민국은 세계 최고의 정보통신기술(ICT) 강국이다. 특히 정보통신 발달로 인한 기능은 전 생활 영역에서 활발하게 발전되고 있다. 그러나 정보통신환경이 발달하는 만큼 범죄 영역도 확장되고, 그 수법도 진화하고 있다.

인터넷 사용자의 컴퓨터 내 파일을 암호화하고, 그것을 푸는 대가로 금원을 요구하는 사이버인질범인 한국형 랜섬웨어(Ransom Ware)가 전파되고 있다. 경찰청 사이버안전국은 금년 2월 중순경 기존 영문 전자우편이나 취약한 누리집(Homepage)에서 랜섬웨어가 유포됐던 것과 달리, 최근에는 자연스러운 한글 전자우편 형태로 배포되고 있다고 밝혔다.

예약 관련 문의나, 회사 지원, 명함 제작 등의 내용이 담긴 능숙한 한글 피싱 전자우편으로 신종 한국형 랜섬웨어인 '비너스락커(Venuslocker)'가 전파되고 있어 각별한 주의가 필요하다. '비너스락커' 랜섬웨어는 피해자 PC의 파일을 .venusp 혹은 .venusf 확장자로 암호화하며, 2016년 12월 말부터 국내 공공기관, 기업 등에 유포되고 있다.

한국형 랜섬웨어는 암호를 풀기 위해서는 현재 120만원에 상당하는 1비트코인을 72시간 이내에 입금할 것을 요구한다. 비트코인은 랜섬웨어 공격비용 지불수단으로 많이 사용되는 익명거래가 가능한 가상통화다. '비너스락커' 랜섬웨어는 2016. 12.말에 비트코인 지불을 위한 한글 안내화면을 도입해 최초로 국내에 유입됐다.

금년 1월 중순에는 악성코드 분석을 방해하기 위해 소스코드를 읽기 어렵게 난독화 기능을 추가하였다. 그리고 2월에는 국내 맞춤형으로 .hwp의 확장자를 가진 한글문서 암호화 기능을 추가하는 등 그 수법이 계속 진화되고 있다. 특히 해당 랜섬웨어는 연말정산(2016. 12.)과 인사발령(2017. 1.), 구인구직(2017. 2.) 등의 특정 시기에 맞춰 각기 다른 내용으로 유포됐다. 기존 랜섬웨어가 2016. 6. 뽐뿌 등 일부 커뮤니티 누리집 접속자들에게 유포됐던 것과는 달리 고도화된 피싱 전자우편과 결합하여 다수의 공공기관과 금전 지불능력이 있는 소상공인에게 맞춤형으로 배포됐다.

또한 유포 자가 피해자와 전자우편 답장을 주고받는 등 기존 사례와 차별화된 양상을 보이고 있으며, 특히 자연스러운 한국어를 구사한다는 점에서 한국인이 범행에 가담한 정황도 포착된다.

랜섬웨어는 무엇보다 예방이 가장 중요하다. 랜섬웨어 예방을 위해서는 중요한 자료를 별도의 외부 저장장치나 인터넷에 백업을 해야 한다. 출처가 불명확한 전자우편의 첨부파일은 실행하지 않아야 하고, 신뢰할 수 없는 누리집을 통해 내려 받은 파일은 실행에 주의가 필요하다. 또한 운영체제, 인터넷 익스플로러 등 소프트웨어를 최신 버전으로 업데이트해 사용하고, 악성코드에 감염된 누리집에 특정 소프트웨어의 업데이트가 되지 않은 사용자가 접속할 시 자동으로 감염 보안 프로그램을 반드시 사용하되, 필요시에는 랜섬웨어 전용백신을 사용하는 것이 좋다.

'비너스락커' 랜섬웨어는 첨부파일이 .doc 확장자나 .jpg 확장자로 보이지만 실제로는 .lnk(바로가기) 확장자일 경우가 많다. 따라서 이중 확장자(.doc.lnk 혹은 .jpg.lnk)를 가진 문서나 이미지 파일이 첨부파일에 포함되어 있을 경우 실행에 각별히 주의해야 한다.