이미 랜섬웨어에 걸렸습니다. NAS 자료를 살릴 수 있나요?

지금 할 일 순서

감염된 PC를 네트워크에서 분리합니다(랜선 뽑기, 와이파이 끄기). 다른 PC들도 NAS 연결을 잠시 끊습니다. NAS 전원은 함부로 끄지 마세요. 상태 확인이 어려워집니다. 그다음 053-588-7119로 연락 주시면 상태부터 확인합니다.

살릴 수 있는 경우

스냅샷이 켜져 있었다면 감염 이전 시점으로 되돌려 대부분 살립니다. 스냅샷도 백업도 없었다면 어렵습니다. 그래서 사고 난 뒤보다 나기 전이 훨씬 쌉니다. 지금 쓰시는 NAS에 스냅샷이 켜져 있는지 확인해 두세요.

왜 스냅샷은 살아남고 일반 사본은 같이 잠기나

랜섬웨어는 감염된 PC에서 보이는 모든 드라이브와 공유 폴더를 차례로 암호화합니다. 네트워크 드라이브로 연결해 둔 NAS 폴더, 꽂아 둔 외장하드, 동기화 중인 클라우드 폴더는 PC 입장에서 그냥 폴더이므로 원본과 같이 잠깁니다. 사본을 여러 벌 두었어도 전부 PC에서 쓰기가 가능한 위치였다면 소용이 없습니다.

NAS 스냅샷은 다릅니다. 스냅샷은 NAS 운영체제가 내부에서 관리하는 읽기 전용 시점 기록이라 PC의 공유 폴더로는 보이지 않고, PC 계정 권한으로 지우거나 덮어쓸 수 없습니다. 그래서 공유 폴더가 전부 암호화된 뒤에도 스냅샷을 열면 감염 전 파일이 그대로 있습니다. 다만 NAS 관리자 계정까지 탈취당해 스냅샷을 직접 삭제한 경우나, 스냅샷 보관 기간이 짧아 감염 전 시점이 이미 지워진 경우는 예외입니다.

되돌리기 전에 반드시 끝내야 할 것

감염 전 시점으로 되돌리는 작업 자체는 오래 걸리지 않습니다. 문제는 되돌린 직후 다시 암호화되는 경우입니다. 감염 PC를 켜 둔 채, 또는 유출된 계정 비밀번호를 그대로 둔 채 복구하면 같은 일이 반복됩니다.

순서는 이렇습니다. 첫째, 감염 경로로 의심되는 PC는 초기화하거나 검사가 완전히 끝날 때까지 네트워크에 다시 붙이지 않습니다. 둘째, NAS 관리자 계정과 직원 계정 비밀번호를 전부 바꾸고, 쓰지 않는 계정은 비활성화합니다. 셋째, 외부에서 NAS로 열려 있던 포트가 있는지 확인하고 닫습니다. 넷째, 그다음에 스냅샷을 되돌립니다. 되돌린 뒤에는 암호화된 파일이 남아 있지 않은지 확장자와 수정 시각으로 다시 훑어봅니다.

어느 시점까지 멀쩡한지는 파일 수정 시각으로 대략 알 수 있습니다. 감염 시각 직전의 스냅샷을 고르면 잃는 작업량이 가장 적습니다. 서두르다 너무 이른 시점을 고르면 며칠 치 작업이 사라지므로, 어느 스냅샷을 쓸지 정하는 데 시간을 들이는 편이 낫습니다.

돈을 내고 푸는 방법은 마지막에 두십시오

스냅샷도 백업도 없을 때 복호화 비용을 내는 선택을 고민하시게 됩니다. 돈을 내도 복호화 키를 받지 못하거나, 받은 키로 일부만 풀리는 경우가 흔히 보고됩니다. 한 번 낸 곳은 다시 표적이 되기도 쉽습니다. 먼저 해당 랜섬웨어 종류에 공개된 복호화 도구가 있는지 확인하고, 암호화된 파일은 지우지 말고 그대로 보관해 두는 것이 순서입니다. 시간이 지나 복호화 도구가 공개되는 경우가 있기 때문입니다.

복구가 끝난 뒤에는 같은 일이 다시 생기지 않게 스냅샷 주기와 보관 기간을 정하고, NAS와 분리된 두 번째 사본을 두는 3-2-1 구성을 잡아 두는 것이 실질적인 마무리입니다. 한별시스템은 NAS 구축과 함께 3-2-1 백업 컨설팅을 합니다.