카스퍼스키, ‘비트로커’ 악용 새로운 랜섬웨어 확인

핵심 요약

카스퍼스키는 라틴아메리카 기업을 대상으로 윈도우 OS의 기본 디스크 암호화 기능인 비트로커(BitLocker)를 악용하고 프린터를 통해 몸값 요구서를 출력하는 새로운 랜섬웨어 공격 방식을 확인했습니다. 이 공격은 별도의 악성코드 배포 없이 정상적인 윈도우 기능을 활용하여 데이터를 암호화하고, 기업 내부 시스템과 장비를 이용해 금전 요구 메시지를 전달하는 특징을 보입니다. 이는 기존 랜섬웨어 공격과 달리 탐지 및 방어가 어려울 수 있으며, 시스템의 정상 기능을 악용하는 T1486 Data Encrypted for Impact 전술에 해당합니다. IT 감사인은 조직 내 윈도우 시스템의 비트로커 설정 및 관리 현황을 점검하고, 비인가 암호화 행위 탐지 및 대응 체계의 실효성을 평가하여 데이터 손실 및 서비스 중단 리스크를 최소화해야 합니다.

💡 개선 권고안

• ✔기술적 조치윈도우 운영체제의 비트로커(BitLocker) 설정에 대한 그룹 정책(GPO)을 강화하여, 비인가된 사용자가 임의로 비트로커를 활성화하거나 설정을 변경할 수 없도록 통제해야 함을 권고함.
• ✔기술적 조치엔드포인트 탐지 및 대응(EDR) 솔루션의 탐지 규칙을 고도화하여, 비트로커와 같은 정상 시스템 기능을 악용한 비인가 암호화 행위 또는 대량 파일 암호화 시도를 실시간으로 탐지하고 차단할 수 있도록 적용해야 함을 권고함.
• ✔관리적 조치비트로커 복구 키를 안전하게 관리하고, 비상 시 복구 절차를 포함한 데이터 백업 및 복구 계획을 수립하여 정기적으로 테스트할 것을 권고함.
• ✔관리적 조치내부 네트워크에 연결된 프린터 등 출력 장치에 대한 보안 정책을 수립하고, 비정상적인 대량 출력 또는 특정 키워드를 포함하는 문서 출력에 대한 모니터링 및 경고 시스템을 구축하여 비인가 메시지 전달 시도를 탐지하고 대응할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 정상 시스템 기능 악용 공격(Living Off The Land) 및 랜섬웨어 공격의 최신 동향에 대한 보안 교육을 강화하여, 의심스러운 활동을 인지하고 보고할 수 있도록 인식 수준을 향상할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문