랜섬웨어에 걸린 것 같은데 지금 당장 뭘 해야 하나요?
먼저 감염 PC의 랜선을 뽑고 와이파이를 끄세요. 전원은 끄지 마시고요 - 증거와 복구 단서가 사라질 수 있습니다. 다음으로 다른 PC에서 나스·공유폴더 접속을 멈추세요. 몸값 요구 화면은 사진으로 남긴 뒤 전문가를 부릅니다.
협박 금액을 보내도 복구된다는 보장은 없습니다. 한별시스템(053-588-7119)이 감염 범위 진단부터 스냅샷·백업 복원까지 처리합니다. 대구·경북은 당일 출동합니다.
왜 랜선은 뽑고 전원은 켜 두라고 하나
랜섬웨어는 감염된 PC 한 대에서 끝나지 않습니다. 그 PC에 연결된 네트워크 드라이브와 공유 폴더를 차례로 암호화합니다. 같은 망의 다른 PC로 번지려고도 하고요. 랜선을 뽑고 와이파이를 끄면 이 확산 경로가 끊깁니다. 암호화가 진행 중이던 파일도 거기서 멈춥니다.
전원을 끄지 말라는 이유는 두 가지입니다. 하나는 메모리에 남아 있는 흔적. 어떤 종류의 랜섬웨어인지, 어떤 경로로 들어왔는지가 메모리와 임시 파일에 남습니다. 드물게는 암호화에 쓴 키의 단서까지도요. 전원을 끄면 다 사라집니다. 다른 하나는 재부팅 자체가 위험할 수 있다는 점입니다. 일부 랜섬웨어는 재시작 시점에 남은 파일을 마저 암호화하도록 만들어져 있습니다. 화면을 그대로 둔 채 망만 끊는 것이 가장 안전합니다.
다른 PC와 NAS에서 바로 막아야 할 것
감염 PC를 격리한 다음에는 깨끗한 PC에서 NAS 관리 화면에 들어가 세 가지를 확인합니다. 먼저 공유 폴더의 파일 이름이 이상한 확장자로 바뀌어 있는지 봅니다. 바뀌어 있다면 NAS까지 번진 것입니다. 다음으로 감염 PC가 쓰던 사용자 계정을 즉시 비활성화합니다. 랜선을 뽑았더라도 그 계정 정보가 이미 새어 나갔을 수 있으니까요. 그리고 스냅샷은 절대 지우지 마세요. 감염 이전 상태로 가장 빠르게 되돌릴 수 있는 방법이 스냅샷입니다.
가장 놓치기 쉬운 것이 백업 작업입니다. NAS가 다른 NAS나 클라우드로 자동 백업을 돌리고 있다면 어떻게 될까요. 암호화된 파일이 정상 파일을 덮어쓰기 전에 백업 작업을 일시 중지해야 합니다. 세대별 보관을 켜 두었다면 이전 세대가 남습니다. 단순 동기화 방식이면 몇 시간 안에 멀쩡한 사본까지 사라져요. 감염 PC에 외장하드나 USB 백업을 꽂는 것도 금물입니다.
| 시점 | 할 일 | 이유 |
|---|---|---|
| 즉시 | 감염 PC 망 분리, 전원 유지 | 확산 차단, 증거 보존 |
| 10분 안 | 감염 계정 비활성화, 백업 작업 일시 중지 | NAS 확산과 백업 오염 방지 |
| 30분 안 | 몸값 화면·안내문 사진, 감염 시각 기록 | 종류 식별과 복원 시점 결정 |
| 전문가 도착 후 | 감염 범위 진단, 스냅샷 복원 | 정상 시점으로 되돌리기 |
하지 말아야 할 것과 남겨 둘 것
당황해서 하는 행동이 복구를 더 어렵게 만듭니다. 감염 PC를 포맷하거나 윈도우를 다시 설치하지 마세요. 암호화된 파일이 나중에 공개된 복호화 도구로 풀리는 경우가 있습니다. 지워 버리면 그 가능성까지 사라집니다. 인터넷에서 찾은 복구 프로그램을 감염 PC에 설치하는 것도 피하세요. 랜섬웨어를 가장한 2차 감염 프로그램이 섞여 있습니다.
남겨 둘 것은 세 가지입니다. 몸값 요구 화면과 안내문 파일에는 감염 식별 번호가 적혀 있어요. 어떤 종류인지 알아내는 데 필요합니다. 암호화된 파일 몇 개를 그대로 두면 종류 판별의 근거가 됩니다. 처음 이상을 알아챈 시각과 그 직전에 열었던 메일·파일도 메모해 두세요. 침입 경로를 찾는 시간이 크게 줄어듭니다. 한국인터넷진흥원 118 상담센터에도 신고할 수 있습니다.