[보안 가이드] 랜섬웨어 유형

잠금(Locker) 랜섬웨어란?
랜섬웨어 유형과 감염 경로, 방어 전략

Locker Ransomware · Reveton · WinLock

랜섬웨어 유형

랜섬웨어는 다양한 유형의 공격 패턴을 가지고 있습니다. 대표적으로 암호화 랜섬웨어(Crypto Ransomware), 이중협박 랜섬웨어(Double Extortion Ransomware), 잠금 랜섬웨어(Locker Ransomware), 파일리스 랜섬웨어(Fileless Ransomware), 랜섬웨어 서비스(Ransomware as a Service, RaaS) 등이 있습니다. 이번에는 세 번째 유형인 잠금 랜섬웨어를 소개해 드립니다.

랜섬웨어 유형(Ransomware Types): 암호화 · 이중협박 · 잠금 · 파일리스 · 랜섬웨어 서비스(RaaS)

잠금 랜섬웨어(Locker Ransomware)란?

잠금 랜섬웨어는 암호화 랜섬웨어와 달리 파일 자체를 암호화하지 않고, 시스템 전체 또는 사용자 인터페이스를 잠가 정상적인 컴퓨터 사용을 불가능하게 만드는 공격 방식입니다. 파일을 변경하거나 암호화하는 대신 화면을 완전히 잠그거나 로그인, 데스크톱, 특정 애플리케이션 접근을 차단하여 사용자 인터페이스를 마비시키고, 피해자가 즉각 금전을 지불하도록 유도합니다.

잠금 랜섬웨어 감염 경로 및 동작 원리

잠금 랜섬웨어의 동작 원리는 비교적 단순하지만 피해는 매우 치명적입니다. 공격자는 피싱 이메일, 악성 웹사이트, 취약한 원격 접속(RDP) 등을 통해 랜섬웨어를 피해 시스템에 감염시킵니다. 초기에는 사용자의 의심을 사지 않도록 설계된 스크립트나 실행 파일이 배포되며, 실행되자마자 화면과 사용자 인터페이스를 제어하는 프로세스가 동작합니다. 이 과정에서 운영체제 구성 요소나 그래픽 인터페이스를 조작해 사용자가 로그인 후에도 정상적인 작업 환경을 사용할 수 없게 만듭니다.

잠금 랜섬웨어는 보통 화면에 랜섬노트를 띄우는 방식으로 작동합니다. 랜섬노트에는 ▲금전 요구 사항과 함께, 정해진 시간 내에 지불하지 않으면 ▲시스템 접근이 영구히 차단되거나 ▲중요 데이터 접근 권한이 복구되지 않을 것이라는 경고가 담깁니다. 암호화폐 결제 정보와 지불 기한, 그리고 지불 후에도 복구가 보장되지 않는다는 불확실성까지 더해 피해자의 불안을 극대화합니다.

이 방식은 암호화 연산 부하가 없어 파일 암호화 공격보다 빠르게 실행되며, 감염 즉시 피해가 나타납니다. 또한 파일을 변조하지 않기 때문에 전통적인 백신이나 파일 무결성 검사 도구로는 탐지가 어렵습니다. 따라서 사용자 인터페이스의 비정상적인 변화나 시스템 프로세스의 급격한 동작 변화를 감지하는 행위 기반 탐지 안티랜섬웨어로 보안을 보완할 필요가 있습니다.

여러 보안 보고서와 실제 사례에서 잠금 랜섬웨어가 중소기업과 공공기관, 일부 대기업까지 공격 대상으로 삼고 있음이 확인되고 있습니다. RDP 취약점을 이용한 사례에서는 공격자가 네트워크 내부에 접속한 뒤 빠르게 시스템 화면을 잠그고 금전 요구 메시지를 띄워 업무 중단과 심각한 운영 장애를 초래했습니다. 이처럼 잠금 랜섬웨어는 시스템 전체를 마비시켜 복구에 드는 시간과 비용을 더욱 가중시킵니다.

잠금 랜섬웨어 공격 피해 사례

① 레베톤 랜섬웨어 (Reveton Ransomware)

경찰·정부 기관을 사칭해 공포를 조성한 초기 잠금 랜섬웨어

Reveton은 2012년 초 확산된 초기 잠금 랜섬웨어로, 주로 일반 사용자를 대상으로 경찰이나 정부 기관을 사칭하는 메시지로 공포 분위기를 조성했습니다. 피싱 이메일, 악성 광고, 가짜 웹사이트 등을 통해 악성 링크나 첨부파일이 실행되면서 감염됩니다.

공격 기법: 신뢰할 수 있는 기관의 경고를 가장한 이메일이나 웹사이트로 악성코드 실행을 유도합니다. Windows API를 후킹해 키보드와 마우스 입력을 가로채고, Alt+Tab, Ctrl+Alt+Del 등의 단축키를 무력화하여 프로세스 강제 종료나 복구 모드 사용을 막습니다. 또한 전체 화면 잠금 창(fullscreen overlay)으로 작업 관리자와 복구 도구 접근을 차단한 채 사칭 협박 메시지를 계속 보여주며, 레지스트리 수정과 시스템 복원 기능 비활성화로 백업 데이터와 복구 지점 접근까지 막아 피해자가 스스로 복구할 수 없게 만듭니다.

Reveton 랜섬웨어 Windows API 후킹: 마우스·키보드 입력 가로채기, 단축키 무력화 → 프로세스 강제 종료 차단, 복구 모드 사용 불가

공격 피해: 감염된 사용자는 화면 전체가 잠겨 정상적인 작업을 할 수 없게 됩니다. 위협 메시지로 심리적 압박을 받은 많은 사용자가 금전을 지불해 문제를 해결하려 했습니다. 결과적으로 데이터 접근 불가와 업무 마비, 시스템 재설치 등 큰 경제적·심리적 피해가 발생했습니다.

② 윈락 랜섬웨어 (WinLock Ransomware)

시스템 오류·보안 경고를 가장해 Windows 환경을 잠금

WinLock은 Windows 운영체제를 주요 표적으로 하는 잠금 랜섬웨어입니다. Windows 사용자 인터페이스를 잠가 시스템 접근 자체를 막으며, 겉으로는 시스템 오류나 보안 경고를 가장해 사용자를 속이는 것이 특징입니다.

공격 기법: 악성 첨부파일, 감염된 소프트웨어 다운로드, 가짜 웹사이트 방문 등으로 시스템을 감염시킵니다. 감염 후 Windows API를 후킹해 키보드와 마우스 입력을 차단하고, 작업 관리자나 안전 모드 진입 단축키를 무력화합니다. 또한 특정 레지스트리 키를 수정해 재부팅 후에도 자동 실행되도록 설정합니다. 전체 화면 잠금 창에 “정해진 기한 내 금전 지급이 없으면 데이터가 삭제된다”는 랜섬노트를 띄우고, 백업 파일·시스템 복원 기능·복구 파티션 접근을 차단해 자체 복구를 막습니다. 레거시 보안 솔루션의 탐지를 피하기 위해 코드 난독화와 우회 기법도 함께 사용합니다.

WinLock 랜섬웨어: Windows API 후킹(입력 차단, 단축키 무력화) · 레지스트리 키 수정(재부팅 후 자동 실행)

공격 피해: 전체 화면이 잠겨 파일 접근, 애플리케이션 실행, 데이터 수정 등 모든 작업이 불가능해지고, 사용자는 금전을 지불한 뒤 복구를 기대할 수밖에 없는 상황에 놓입니다. 이는 단순한 불편을 넘어 시스템 재구축과 긴급 복구 비용 증가로 이어지며, 장기적으로 기업·기관의 평판 손상과 생산성 저하를 가져옵니다.

③ 산업별 잠금 랜섬웨어 피해

잠금 랜섬웨어는 다양한 산업 분야를 노리고 있습니다.

이처럼 잠금 랜섬웨어는 여러 산업 분야에 심각한 경제적 피해를 입히고 있으며, 기업과 기관은 평판 하락과 신뢰도 저하라는 피해까지 감당해야 하는 상황입니다.

잠금 랜섬웨어 예방 및 대응 전략

잠금 랜섬웨어는 단순히 화면을 잠그는 데 그치지 않고, 백그라운드에서 시스템 깊숙이 침투해 다른 보안 취약점을 악용할 가능성도 있습니다. RDP 취약점이나 취약한 소프트웨어를 통해 자동으로 감염되는 사례도 보고되고 있으며, Reveton처럼 경찰이나 FBI를 사칭해 벌금을 요구하는 사례에서는 많은 사용자가 불필요한 공포에 휩싸여 금전을 지불했습니다.

예방을 위해서는 정기적인 백업, 최신 보안 패치, 강력한 비밀번호와 다단계 인증 등의 조치가 필요하며, 의심스러운 이메일·링크·광고에 각별히 주의해야 합니다. 또한 백신과 함께 랜섬웨어를 행위로 탐지·차단하는 안티랜섬웨어를 설치하고 실시간 모니터링으로 이상 징후를 사전에 탐지하는 것이 최근 보안 트렌드이자 효과적인 대응책입니다.

결론적으로 잠금 랜섬웨어는 화면이나 시스템 전체를 잠가 정상적인 접근을 막고, 금전 요구로 사용자에게 큰 심리적 압박을 줍니다. 피해를 최소화하려면 평소 랜섬웨어에 대한 경각심을 갖고, 사용자와 기업·기관 모두가 기본 예방 수칙과 보안 교육을 통해 잠금 랜섬웨어 위협에 능동적으로 대응해야 합니다.