사이버 범죄를 위한 랜섬웨어(ransomware)가 수 년간 진화를 거듭하면서 강력한 악성코드로 부상하고 있다. 시만텍(www.symantec.co.kr)은 랜섬웨어 동향과 전망에 대한 보고서를 발표하고 웨어러블 기기로 공격대상을 넓혀가는 랜섬웨어의 진화와 이에 대비하기 위한 보안 수칙을 제시했다.

랜섬웨어는 사용자의 컴퓨터를 잠그거나 데이터를 암호화한 후, 잠금 해제 및 암호 해독을 조건으로 사용자에게 금전을 요구하는 악성코드로 알려져 있다. 현대판 랜섬웨어의 시초는 2005년 발견된 GPcoder 트로이목마(Trojan.Gpcoder)’로, 파일을 암호화한 후 이를 해독하려면 암호를 구입하라는 메시지가 표시되었다. 이후 사용자를 속여 금품을 요구하는 형태의 악성코드는 ‘위장 애플리케이션(misleading application)’과 ‘사기성 안티 바이러스(fake antivirus)’로 발전했다.

사이버 협박을 위한 랜섬웨어가 본격적으로 등장한 것은 2011년~2012년으로, 컴퓨터를 사용하지 못하게 잠그고 사법기관을 사칭해 금전을 요구하는 락커 랜섬웨어(locker ransomware)가 나타났다. 이후 2013년에는 공격자가 컴퓨터의 중요 파일을 암호화하고 암호 해독을 조건으로 돈을 직접 요구하는 크립토 랜섬웨어(crypto ransomware)로 진화했다.

시만텍의 분석에 따르면, 랜섬웨어는 GDP가 높거나 인구가 많은 국가를 중심으로 전세계적으로 확산되고 있는 것으로 보인다. 지난 1년 간 랜섬웨어 공격을 가장 많이 받은 국가는 미국이며, 일본, 영국, 이탈리아, 독일, 러시아 순으로, 상위 12개 국가 중 11개국이 직간접적인 G20 회원국인 것으로 조사됐다. 한국의 경우, 상위 국가에는 포함되지 않았지만 올 상반기 한국어를 사용한 크립토 랜섬웨어가 발견되는 등 주의가 요구되고 있다.

시만텍은 최근 웨어러블 컴퓨터, 사물인터넷(Internet of Things: IoT) 같은 커넥티드 기기의 확산에 따라 랜섬웨어도 새로운 형태로 진화하게 될 것으로 전망하고 있다. 이번 시만텍 보고서에 따르면, 랜섬웨어는 앞으로 스마트워치(smartwatch)와 같은 웨어러블 기기로 이동하게 될 것으로 예측된다. 웨어러블 기기의 발전은 사이버 범죄자들에게는 랜섬웨어 공격의 범위를 확대할 수 있는 새로운 기회가 되고 있다.

웨어러블 기기 가운데 요즘 주목을 받고 있는 것은 ‘스마트워치(smartwatch)’이다. 구글이 2014년 초 안드로이드 웨어(Android Wear)라는 스마트워치 OS를 처음 공개한 이후, 최근 애플 워치(Apple Watch)가 출시되면서 스마트워치 업계가 모바일 시장의 한 축으로 자리매김하고 있다.

안드로이드 웨어 기기는 안드로이드 폰이나 태블릿과 같은 기기와 한 쌍으로 묶을 수 있는 페어링을 목적으로 개발돼, 사용자는 기존 안드로이드 앱을 통해 추가 작업 없이도 특정 기능을 사용할 수 있다. 예를 들어, 안드로이드 모바일 앱이 안드로이드 웨어용으로 개발되거나 안드로이드 웨어 컴포넌트를 가지고 있으면 이 앱은 모바일 기기에서 안드로이드 웨어 스마트워치로 자동 푸시된다.

이미 안드로이드 기반의 모바일 기기를 겨냥한 랜섬웨어 위협이 보고된 바 있어 시만텍은 일반 안드로이드 랜섬웨어가 안드로이드 웨어 기기 역시 공격할 수 있음을 실험을 통해 확인했다. 안드로이드 랜섬웨어인 심플로커(Android.Simplocker)에 감염된 스마트폰을 사용할 경우, 연동된 스마트워치에 랜섬웨어가 푸시되고 쉽게 감염되는 것이 실험에서 확인되었다. 랜섬웨어가 실행된 스마트워치의 화면에는 매초마다 금전을 요구하는 메시지가 지속적으로 나타나고, 스마트워치의 SD 카드에 저장된 대부분의 파일들은 암호화가 되어 사용이 불가능한 상태가 됐다.

시만텍에 따르면, 스마트워치가 랜섬웨어에 감염된 경우 복구를 위해서는 페어링으로 연결된 폰에서 설치된 심플로커를 제거해야만 스마트워치에서도 심플로커가 제거된다. 만약 제거가 불가능해 폰을 공장 초기화할 경우, 스마트워치에서도 동일하게 초기화 작업이 필요하다. 하지만, 초기화 옵션은 스마트워치의 메뉴를 통해서만 접근 가능해 심플로커가 동작하고 있는 동안에는 이용할 수 없다. 스마트워치를 재시작해 심플로커가 활동을 재개하기 전에 약 20~30초의 시간 동안 초기화할 수 있으나 시계에 저장된 모든 파일이 함께 삭제되므로 주의해야 한다.

시만텍은 웨어러블 기기를 노리는 악성코드를 막기 위해 다음과 같은 보안 수칙을 제시했다.

- 출처가 불명확하거나 신뢰할 수 없는 소스에서 제공하는 앱은 설치하지 않는다.
- 앱을 설치할 때 요구하는 권한이 해당 앱 유형에 적절한지 확인한다. 예를 들어, 게임 앱의 경우 연락처에 접근하거나 SMS를 전송할 필요가 있는지 따져봐야 한다..
- 노턴 모바일 시큐리티와 같이 모바일 기기를 보호할 수 있는 보안 솔루션을 사용한다.
- 공격자들은 악성코드를 설치하기 위해 소프트웨어의 취약점을 이용하므로 항상 소프트웨어를 최신 상태로 유지한다.
- 이메일/웹/엔드포인트를 포괄하는 다계층적인 보안 대응 방안을 수립한다.
- 모바일 기기에 저장된 중요한 데이터는 정기적으로 백업한다.
- 랜섬웨어 공격자가 금전을 갈취한 후 약속을 지킨다는 보장이 없으므로 요구에 응하지 않는다.

시만텍코리아 제품기술본부 윤광택 상무는 “금전을 목적으로 한 랜섬웨어는 PC, 모바일 기기로 공격대상을 넓혀가며 진화를 거듭하고 있으며, 커넥티드 환경의 확산에 따라 앞으로는IoT 기기를 겨냥할 것으로 전망된다”면서 “특히, 스마트폰과 연동된 웨어러블 기기를 사용한다면 랜섬웨어의 피해를 입지 않도록 사전에 보안 수칙을 꼼꼼히 확인하고 적용하는 것이 필요하다”고 조언했다.

랜섬웨어의 최신 동향과 전망에 대한 더 많은 정보는 시만텍 백서 ‘랜섬웨어의 진화(The evolution of ransomware)’에서 확인할 수 있다.