랜섬웨어로부터 Linux를 보호하는 방법: 7가지 이상의 팁과 전략

이 블로그 글의 AI 요약으로 바로 가기

주요 내용

Linux 시스템도 랜섬웨어로부터 안전하지 않습니다. - 특히 서버, 클라우드 환경 및 엔터프라이즈 인프라에 대한 공격이 증가하고 있습니다.
Linux 랜섬웨어는 종종 표적화된이중 갈취 및 서비스 중단과 같은 영향력이 큰 전술을 사용하므로 강력한 방어 전략 없이는 복구가 복잡합니다.
다음과 같은 도구 커널케어 엔터프라이즈 와 같은 도구는 중요한 보안 격차를 실시간으로 해소하여 공격 중요한 보안 격차를 실시간으로 해소하여 공격 표면을 크게 줄입니다.

"전투 전에는 공물, 전투 후에는 몸값"이라고 불렀습니다.

영국 작가 T.H. 화이트의 이 유명한 명언은 사이버 공격자를 막는 데 필요한 미묘한 균형을 나타냅니다. 회사는 보안 직원, IT 부서 및 맬웨어 방지 공급업체에 최대한 많은 비용을 지불하여 Linux 서버의 보안을 유지합니다.

한편, 범죄자들은 거액의 돈을 벌기 위한 목표를 달성하기 위해 회사를 표적으로 삼습니다. 정찰이 이루어지고, 네트워크 전반에 걸쳐 나쁜 일이 발생하며, 데이터가 유출되고, 예상치 못한 수단에 의해 Linux 시스템이 침입당하는 것을 발견할 때까지 데이터가 유출됩니다. 데이터가 암호화되고 몸값을 지불해야 한다는 랜섬 메시지가 표시됩니다.

이 문서에서는 랜섬웨어, 특히 리눅스 기반 시스템을 공격하는 랜섬웨어의 독특한 방식에 대해 살펴봅니다.

Linux 랜섬웨어에 대한 간략한 개요

Linux 랜섬웨어는 Linux 기반 시스템을 표적으로 삼아 암호 해독을 위해 몸값을 요구하는 멀웨어의 일종입니다.

강화 및 권한 계층은 사용자가 시스템 전체 데이터에 영향을 미치는 작업을 수행하는 것을 방지하지만, Linux 네트워크에 대한 랜섬웨어 공격은 보다 파괴적인 수단을 통해 실행된다는 점을 아는 것이 중요합니다. Windows 기반 시스템에 대한 공격과는 다릅니다.

대신, 공격자들은 웹 서버와 같은 Linux 시스템의 구성 요소에 취약점이 있는지 조사합니다. 이러한 취약점을 악용하기 위한 맞춤형 코드를 개발하여 최종적으로 Linux 커널이나 공유 라이브러리와 같은 구성 요소를 공격하는 것이 이들의 표적 접근 방식입니다.

Linux 사용자가 랜섬웨어 공격에 대해 걱정해야 하는 이유

데이터의 안전과 보안은 알 수 없는 공격자가 비트코인으로 지불을 요구할 경우 조직이 재정적, 평판상의 피해를 입게 되며, 범죄자는 돈을 받고도 '수치심의 벽' 등에 데이터를 전쟁 트로피처럼 전시할 수 있기 때문에 조직이 피해를 입게 될 수 있습니다.

2024년 평균 몸값은 2023년에 보고된 40만 달러에 비해 500% 증가한 무려 200만 달러로 급증했습니다. 또한 2024년 몸값 요구의 약 63%가 100만 달러 이상이었으며, 매출 5천만 달러 미만의 조직 중 거의 절반(46%)이 7자리 숫자의 몸값 요구에 직면했습니다.(Sophos)

이미지 출처: Akamai

Linux 랜섬웨어는 기업의 재정적, 지적, 물리적 피해를 입히고 평판과 이미지를 손상시킵니다. 직원과 고객은 암호화된 파일을 사용할 수 없어 생산성과 수익원이 감소하고, 몸값을 지불하면서 재정적 타격을 입게 됩니다. 지적 재산이 포함된 파일이 공개적으로 공개되어 GDPR 및 HIPAA와 같은 규정을 준수하지 않을 위험이 발생할 수 있습니다.

암호화된 파일뿐만 아니라 사람의 생명에도 위협이 될 수 있습니다.

병원이 가장 먼저 표적이 되는 이유는 의료 시설의 보안 프로토콜이 취약한 것으로 알려진 업계에 병원이 존재하기 때문입니다. 한 연구에 따르면 보안 침해가 발생하면 심장마비로 인한 사망률이 증가한다고 합니다. 한 공격으로 인해 독일의 한 병원이 긴급 치료가 필요한 환자를 입원시키지 못해 환자가 사망한 사례도 있었습니다.

랜섬웨어 표적: 어떤 리눅스 디바이스가 위험에 노출되어 있나요?

취약한 Linux 시스템은 모두 랜섬웨어의 표적이 될 수 있지만, 특정 유형의 디바이스는 기능과 일반적인 보안 취약점으로 인해 더 높은 위험성을 내포하고 있습니다:

엔터프라이즈 서버: 데이터베이스, 애플리케이션, 스토리지용 Linux 기반 서버를 운영하는 기업이 주요 공격 대상입니다. 공격자는 SSH 취약점, 패치되지 않은 소프트웨어, 잘못된 구성을 악용합니다.

클라우드 환경: Linux에서 실행되는 가상 머신, 컨테이너 및 클라우드 스토리지 서비스는 특히 적절한 액세스 제어가 없는 경우 자주 표적이 됩니다.

웹 호스팅 서버: 많은 웹사이트와 온라인 서비스가 Linux에서 실행됩니다. 랜섬웨어는 손상된 CMS 플랫폼, 오래된 플러그인 또는 취약한 관리자 자격 증명을 통해 확산될 수 있습니다.

NAS(네트워크 연결 스토리지) 장치: NAS 장치는 리눅스 기반 OS를 실행하고 중요한 백업을 저장하는 경우가 많기 때문에 중요한 공격 대상이 됩니다.

IoT(사물 인터넷) 기기: 기존의 서버 및 클라우드 인프라 외에도 점점 더 많은 Linux 기반 IoT 디바이스도 잠재적인 공격 대상이 되고 있습니다.

일반적인 Linux 랜섬웨어

Linux 랜섬웨어의 환경은 지속적으로 진화하고 있으며, 다양한 제품군이 고유한 공격 벡터를 사용하고 Linux 환경의 특정 측면을 표적으로 삼고 있습니다. 다음은 서버, 클라우드 환경 및 비즈니스에 영향을 미치는 가장 주목할 만한 랜섬웨어 중 일부입니다.

RansomEXX

RansomEXX는 Linux 서버를 대상으로 하는 유명한 랜섬웨어 제품군입니다. 처음에는 Windows에 대한 위협이었지만, 지금은 Linux로 확장되어 탈취된 SSH 자격 증명 또는 패치되지 않은 취약점을 통해 시스템에 침투합니다. 일단 시스템에 침투하면 중요한 파일을 잠그고 정부 시스템부터 클라우드 인프라까지 모든 것을 마비시킵니다. 코니카 미놀타와 텍사스 교통부 등이 대표적인 피해자입니다.

이미지 출처: SecureList

LockBit

락빗은 리눅스 서버를 대상으로 하는 서비스형 랜섬웨어(RaaS)로, 기업에 대한 자동화된 공격에 자주 사용됩니다. 이 랜섬웨어는 계열사가 랜섬웨어를 배포하는 프랜차이즈 모델입니다. SSH, 손상된 자격 증명 또는 피싱 이메일에 대한 무차별 대입 공격을 통해 확산됩니다. LockBit의 빠른 암호화 알고리즘은 백업 없이는 데이터 복구가 거의 불가능합니다.

다크사이드

다크사이드 랜섬웨어 그룹은 대기업과 중요 인프라를 공격하는 것으로 주목을 받았습니다. 원격 액세스 취약점을 통해 Linux 시스템에 침투하여 암호화하기 전에 데이터를 유출하는 이중 갈취 방식을 사용합니다. 피해자는 몸값을 지불하거나 공개 데이터 유출의 위험을 감수해야 하는 압박에 직면하게 됩니다.

Hive

하이브 랜섬웨어는 고효율 암호화 기술을 사용하여 Linux 및 클라우드 기반 환경을 표적으로 삼습니다. 공격자는 취약한 VPN, RDP 서비스 및 노출된 관리자 패널을 악용합니다. 다크사이드와 마찬가지로 하이브는 민감한 데이터를 암호화하기 전에 훔쳐서 피해자에게 데이터 노출의 위협을 감수하고 금전을 지불하도록 합니다.

릴록(릴루)

Lilocked는 주로 Linux 기반 웹 서버를 대상으로 하며, 파일을 암호화하고 .lilocked 확장자를 사용합니다. 오래된 소프트웨어와 잘못 구성된 관리자 패널을 악용하여 확산되며 이커머스 플랫폼, 블로그, 기업 웹사이트에 영향을 미칩니다. 시스템 파일을 암호화하지 않기 때문에 OS는 계속 작동하지만 웹사이트 데이터는 잠깁니다.

Linux에서 랜섬웨어를 방지하는 방법

랜섬웨어를 예방하려면 사전 예방적 보안 조치가 필요합니다. 다음은 랜섬웨어 공격으로부터 Linux 시스템을 보호하기 위한 몇 가지 필수 팁입니다:

소프트웨어 업데이트 및 패치 유지

랜섬웨어는 종종 Linux 배포판의 패치되지 않은 취약점을 악용하여 침입하고 권한을 상승시킵니다. 따라서 잠재적인 공격을 줄이려면 정기적인 시스템 업데이트와 취약점 패치가 중요합니다.

배포판의 패키지 관리자를 사용하여 업데이트를 적용할 수 있습니다.

Debian 기반 배포의 경우 사용할 수 있습니다:

sudo apt 업데이트 && sudo apt 업그레이드 -y

RHEL 기반 배포의 경우 다음을 사용할 수 있습니다:

sudo dnf update -y

또한 보안 업데이트가 자동으로 설치되도록 하세요. KernelCare Enterprise와 같은 도구는 시스템을 재부팅할 필요 없이 Linux 커널의 취약성 패치를 자동화하는 데 도움이 됩니다.

강력한 비밀번호 정책 및 SSH 보안 구현하기

모든 사용자 계정, 특히 관리자 권한이 있는 계정에 대해 강력하고 고유한 비밀번호를 적용하세요. 비밀번호 기반 SSH 로그인을 비활성화하고 인증에 SSH 키를 사용합니다. 필요한 사용자로만 SSH 액세스를 제한하고 포트 노킹 또는 다단계 인증(MFA) 과 같은 기타 보안 수단을 사용하여 액세스를 더욱 제한하세요.

사용자 권한 제한

중요한 명령을 실행할 수 있는 사용자를 제한하세요. 최소 권한 원칙(PoLP)을 사용하여 필요한 사용자만 루트 또는 sudo 액세스 권한을 갖도록 하세요. 이렇게 하면 계정이나 애플리케이션이 랜섬웨어에 의해 손상될 경우 잠재적인 피해를 제한할 수 있습니다.

다음 명령을 사용하여 사용자 권한을 검토할 수 있습니다:

sudo cat /etc/sudoers

보다 세분화된 제어를 위해 각 도구가 무단 작업을 제한하는 방법을 이해하려면 SELinux와 AppArmor의 차이점에 대해 자세히 알아보세요.

정기적으로 데이터 백업

데이터를 백업하고 백업 버전을 변경하여 이전 버전을 복구에 사용할 수 있도록 합니다.

안전하고 격리된 백업을 자주 수행하면 몸값을 지불하지 않고도 파일을 복구할 수 있습니다. Linux 시스템에서 직접 액세스할 수 없는 별도의 위치에 오프라인으로 백업을 저장하는 것이 좋습니다.

또한 가능하면 백업을 자동화하고 정기적으로 복원 절차를 테스트하여 필요할 때 작동하는지 확인하세요. 감염된 경우에는 즉시 예약된 백업을 중지하여 불량 데이터가 정상 복원 지점을 덮어쓰는 것을 방지하세요.

네트워크 세분화 구현

네트워크를 격리된 세그먼트로 분할하여 랜섬웨어의 측면 이동을 제한하세요. 한 세그먼트가 손상된 경우 세그먼테이션을 통해 감염이 인프라의 다른 중요한 부분으로 확산되는 것을 방지할 수 있습니다.

Linux와 Windows 랜섬웨어: 차이점은 무엇인가요?

랜섬웨어의 위협은 Linux와 Windows 시스템 모두에 존재하지만 공격 환경, 공격 대상 및 결과는 상당히 다릅니다. Linux 랜섬웨어는 일반적으로 서버와 클라우드 인프라에 집중하는 반면, Windows 랜섬웨어는 개별 디바이스와 기업 엔드포인트에 영향을 미치는 광범위한 범위를 가지고 있습니다.

공격 벡터

Windows 랜섬웨어는 일반적으로 피싱 이메일, 악성 다운로드 및 익스플로잇 키트를 통해 개인 사용자 디바이스와 기업 워크스테이션을 공격 대상으로 삼아 광범위한 사용자 및 조직이 취약한 상태로 노출되는 광범위한 공격 표면을 가지고 있습니다.

Linux 랜섬웨어는 SSH 취약성, 패치되지 않은 소프트웨어, 잘못 구성된 클라우드 서비스를 악용하여 중요한 데이터와 서비스를 보관하는 엔터프라이즈 서버 및 호스팅 플랫폼과 같은 고가치 표적에 집중합니다.

암호화 대상

Windows 랜섬웨어는 일반적으로 모든 사용자 파일을 암호화하여 개인 데이터, 문서 및 애플리케이션을 잠급니다. 또한 많은 변종이 시스템 복구 옵션을 비활성화하여 암호 해독을 더 어렵게 만듭니다.

Linux 랜섬웨어는 전략적으로 중요한 시스템 파일, 웹 서버 구성 및 데이터베이스 디렉터리에 집중하여 개별 사용자 워크플로보다는 필수적인 비즈니스 운영을 방해합니다. 일부 랜섬웨어 변종은 특히 Docker 및 Kubernetes 환경을 표적으로 삼습니다.

몸값 지불 및 갈취 방법

Windows 랜섬웨어는 종종 광범위하게 확산되며 많은 피해자에게 소액의 몸값을 요구합니다. 그러나 정교한 Windows 랜섬웨어 그룹은 수백만 달러의 몸값을 요구하는 대기업을 표적으로 삼기도 합니다.

Linux 랜섬웨어는 공격자가 데이터를 암호화하기 전에 데이터를 훔쳐서 몸값을 지불하지 않으면 민감한 정보를 유출하겠다고 협박하는 이중 갈취를 통해 더 많은 표적과 비용이 드는 경우가 많습니다.

복구 도구의 가용성

보안 연구자와 법 집행 기관의 노력 덕분에 일부 변종에 대한 Windows 랜섬웨어 암호 해독 도구가 존재합니다. Windows 시스템 복원 지점은 일부 사용자가 특정 상황에서 데이터를 복구하는 데 도움이 됩니다.

그러나 Linux 랜섬웨어에는 공개적으로 복호화할 수 있는 도구가 거의 없습니다. 따라서 Linux 랜섬웨어 공격으로부터의 복구는 거의 전적으로 강력하고 정기적으로 테스트된 백업 및 재해 복구 전략을 마련하는 데 달려 있습니다.

기존 랜섬웨어와 신종 랜섬웨어의 주요 차이점

카스퍼스키 시큐리티리스트닷컴의 연구 결과에 따르면 오늘의 버전은 다음과 같습니다. 랜섬웨어 2.0, 우리가 알고 있는 오래된 위협과 오늘날의 새로운 위협을 구분하는 중요한 차이점입니다.

오래된 랜섬웨어는 강력한 알고리즘을 사용하여 시스템의 데이터를 악의적으로 암호화하고 공격자가 제어하는 시스템에 암호 해독 키를 저장합니다. 그런 다음 공격자는 데이터에 대한 액세스 권한을 되찾기 위해 몸값을 요구합니다.

현재 랜섬웨어 버전("2.0")은 내부 시스템에서 데이터를 유출하고 데이터 액세스 대가로 금전을 갈취하며, 공격자가 모든 데이터를 온라인에 게시하지 못하도록 피해자에게 돈을 지불하도록 압력을 가합니다.

현재 버전은 커널, 공유 라이브러리 또는 사용자 영역 애플리케이션의 취약점을 악용하여 Linux 서버의 기존 멀웨어 방지 기능을 우회할 것으로 예상됩니다.

플랫폼 전반으로 공격 벡터 확장

공격자들은 또한 하이브리드 네트워크 내에서 윈도우와 리눅스 시스템 사이를 이동할 수 있는 크로스 플랫폼 기능에 집중하고 있습니다.

또 다른 우려는 특정 기업을 공격하기 위해 맞춤 제작된 고도로 표적화된 랜섬웨어의 개발입니다. 연구원들은 이러한 상황이 오픈 소스 소프트웨어의 숨겨진 취약점을 어떻게 노출시키는지 조사하고 있습니다.

새로운 랜섬웨어 변종에 감염된 대부분의 기업과 정부 기관은 최신 바이러스 백신 프로그램을 실행하고 있으며, 이는 최신 버전의 엔드포인트 보호로도 새로운 위협을 방지하기에 충분하지 않다는 사실을 증명합니다.

Linux 랜섬웨어 공격에 대응하는 방법

Linux 시스템이 랜섬웨어에 감염된 경우, 속도와 정확성이 매우 중요합니다. 다음 단계는 피해를 억제하고 증거를 보존하며 가능한 경우 데이터를 복구하는 데 도움이 됩니다.

1단계: 감염된 시스템을 즉시 격리하기

감염된 컴퓨터를 네트워크에서 분리하여 랜섬웨어가 다른 장치로 확산되는 것을 방지하세요. Wi-Fi를 비활성화하거나 이더넷 케이블을 분리하거나 네트워크 인터페이스를 종료합니다(예, sudo ip link set eth0 down, sudo ifconfig wlan0 down).

파일을 재부팅하거나 삭제하면 포렌식 증거가 파괴되고 복구 옵션이 제한될 수 있으므로 재부팅하지 마세요.

2단계: 공격 범위 평가하기

어떤 시스템, 파일, 서비스가 영향을 받았는지 파악하세요. 파일 암호화 징후(예: 비정상적인 확장명 또는 랜섬노트)를 찾고 로그에서 의심스러운 활동이 있는지 확인합니다:

sudo journalctl -xe

또한 사고 보고 및 향후 분석에 필요한 모든 내용을 문서화하세요. 일부 포렌식 증거는 변동성이 있으므로 철저한 조사가 계획되어 있다면 신속하게 캡처해야 한다는 점에 유의하세요.

3단계: IT 및 보안 팀에 알리기

내부 이해관계자 및 사고 대응팀에 알립니다. 기업이라면 법무팀과 규정 준수팀도 참여시켜야 합니다.

또한 랜섬웨어 대응을 전문으로 하는 사이버 보안 회사에 문의하는 것도 고려하세요. 민감한 데이터가 관련된 경우 규제 기관이나 영향을 받은 고객에게 침해 사실을 보고해야 할 수도 있습니다.

4단계: 몸값 지불하지 않기

돈을 지불한다고 해서 데이터를 돌려받을 수 있는 것은 아니며, 오히려 범죄 활동에 자금을 제공할 수 있습니다. FBI는 다음과 같이 조언합니다. 반대 몸값을 지불하지 말 것을 권고합니다. 대신 다음과 같이 신고하세요:

현지 FBI 현장 사무소 또는 이에 상응하는 법 집행 기관에 문의하세요.
온라인으로 팁을 제출하세요.
인터넷 범죄 신고 센터(IC3)에 신고하세요.

5단계: 백업에서 복원 및 재구축

백업을 사용할 수 있는 경우, 데이터를 복원하기 전에 감염된 시스템을 지우고 OS를 새로 설치합니다. 백업이 감염이 발생하기 전의 백업인지 확인하고 재감염을 방지하기 위해 가능하면 백업 파일을 검사하세요.

그런 다음 업데이트되고 강화된 구성으로 서비스를 재구성합니다. 재구축 후에는 포괄적인 보안 검사를 수행하여 멀웨어의 잔여물이나 새로운 취약점이 없는지 확인합니다.

6단계: 사고 후 전체 검토 수행

복구가 완료되면 근본 원인 분석을 수행합니다:

랜섬웨어는 어떻게 침입했나요?
어떤 취약점(예: 패치되지 않은 소프트웨어, 취약한 자격 증명, 잘못된 구성)이 악용되었나요?
보안 정책을 준수했나요?

조사 결과를 바탕으로 보안 태세를 개선하고 향후 공격을 예방하세요. 또한, 사이버 방어 체계에서 가장 취약한 고리는 사람이므로 보안 인식을 일상 생활의 일부로 삼으세요.

TuxCare로 랜섬웨어로부터 Linux 시스템 보호

랜섬웨어는 이제 리눅스 시스템, 특히 기업 운영, 클라우드 인프라 및 웹 서비스를 구동하는 시스템을 적극적으로 표적으로 삼고 있습니다. 이 가이드에 설명된 예방 전략을 실행하는 것은 위험을 최소화하는 데 매우 중요합니다.

그러나 포괄적인 방어를 위해서는 패치되지 않은 취약점을 노리는 위협을 비롯한 새로운 위협에 대한 실시간 보호도 필요합니다. TuxCare의 KernelCare Enterprise는 Linux 커널에 대한 자동 라이브 패치를 제공하여 중단 없이 재부팅할 필요 없이 서버의 보안을 유지합니다.

KernelCare는 시스템이 패치되지 않는 시간을 줄여 공격 창을 효과적으로 좁히고 랜섬웨어에 감염되는 비율을 낮춥니다. 몸값을 피하기 위한 작은 대가입니다.

Linux 시스템을 취약한 상태로 두지 마세요. Linux 취약성 관리를 위한 TuxCare의 솔루션을 살펴보고 지금 바로 Linux 및 방어를 강화하기 위한 사전 조치를 취하세요.

요약