러시아어 키보드가 설치된 경우 많은 랜섬웨어가 실행을 중단함(2021)

• 많은 랜섬웨어 변종은 Windows에 러시아어·우크라이나어 키보드가 설치돼 있으면 설치를 중단하는 안전장치를 두며, 동유럽발 악성코드에서 널리 보이는 회피 조건임
• DarkSide 같은 랜섬웨어 서비스는 러시아·우크라이나 등 동유럽 피해자를 만들지 않도록 감염 금지 지역을 두고, 현지 수사기관의 관심을 피하려 함
• Colonial Pipeline 공격 뒤 DarkSide는 “비정치적”이라고 주장했지만, 악성코드의 지역별 작동 조건 자체가 지정학적 제약을 반영함
• 러시아어 키보드나 관련 레지스트리 값을 추가하는 방식은 일부 러시아계 악성코드에 대한 무료 예방책이 될 수 있으나, 심층 방어와 안전한 사용 습관을 대체하지 못함
• 공격자가 언어 확인을 제거할 수는 있지만, Unit221B의 Allison Nixon은 그 경우 러시아 해커가 법적 보호 상실과 수익 손실 사이에서 선택해야 한다고 봄

---

랜섬웨어가 피하는 언어와 지역

• 많은 랜섬웨어 변종은 Microsoft Windows 시스템에 특정 가상 키보드가 설치돼 있는지 확인하고, 러시아어·우크라이나어 같은 언어가 감지되면 설치를 멈춤
• 악성코드 운영자는 자기 지역 안에서 피해자가 나오지 않도록 이런 실패 안전장치를 넣음
• 독립국가연합(CIS) 지역은 동유럽에서 나온 많은 악성코드의 감염 제외 목록과 대체로 겹침
• DarkSide에도 CIS 주요 회원국에 해당하는 국가들의 하드코딩된 설치 금지 목록이 있으며, Cybereason이 그 목록을 공개함

Colonial Pipeline과 DarkSide 사례

• 이 논의는 Colonial Pipeline 랜섬웨어 공격과 연결됨
  • 해당 공격은 이달 초 5,500마일 규모의 연료 파이프라인을 거의 1주일 동안 멈추게 함
  • 미국 전역의 주유소 공급 부족과 가격 상승으로 이어짐
  • FBI는 공격 주체가 DarkSide라고 밝힘
• DarkSide는 대기업만 노린다고 말하는 비교적 새로운 랜섬웨어-as-a-service 형태의 운영체임
• DarkSide와 다른 러시아어권 제휴 수익 프로그램은 오래전부터 러시아와 우크라이나를 포함한 동유럽 여러 국가의 컴퓨터에 악성코드를 설치하지 못하게 해 왔음

지역 회피가 쓰이는 이유

• 러시아에서는 국내 기업이나 개인이 공식 피해 신고를 하지 않으면, 당국이 자국민에 대한 사이버범죄 수사를 시작하지 않는 경우가 일반적이라고 알려져 있음
• 범죄자에게는 자기 나라에서 피해자가 나오지 않게 만드는 것이 국내 수사기관의 레이더에서 벗어나는 가장 쉬운 방법임
• DarkSide는 바이든 대통령의 사이버보안 행정명령에서 언급된 뒤 Colonial Pipeline 공격과 거리를 두려 함
  • 피해자 공개 블로그에서 자신들은 “비정치적”이라고 밝힘
  • 목표는 돈을 버는 것이며 사회에 문제를 만드는 것이 아니라고 주장함
  • 앞으로 파트너가 암호화하려는 회사를 검토해 사회적 결과를 피하겠다고 밝힘
• 그러나 DarkSide 같은 디지털 갈취 조직은 악성코드가 특정 지역에서만 작동하도록 설계돼 있어, 플랫폼 자체가 지역 정치 조건을 반영함

REvil·GandCrab과 감염 제외 목록

• 보안 전문가들은 DarkSide와 REvil, 즉 Sodinokibi 사이의 연결을 지적해 왔음
• REvil은 이전에 GandCrab으로 알려졌으며, GandCrab과 REvil은 모두 제휴자가 시리아 피해자를 감염시키는 것을 금지했음
• DarkSide의 제외 목록에도 시리아가 포함됨
• DarkSide는 이후 서버와 비트코인 자금이 압수됐다고 밝히며 영업 종료를 발표했고, 이 과정에서 REvil과의 연결이 드러남

러시아어 키보드 설치의 한계

• 러시아어 같은 언어를 설치한다고 Windows 컴퓨터가 모든 악성코드로부터 안전해지는 것은 아님
• 위치나 언어를 신경 쓰지 않는 악성코드도 많음
• 이 방법은 심층 방어와 온라인에서 위험한 행동을 피하는 습관을 대체하지 못함
• 단점은 크지 않지만, 실수로 언어 설정을 전환해 메뉴가 러시아어로 보일 수 있음
  • 이 경우 Windows 키와 스페이스바를 동시에 누르면 설치된 언어 사이를 빠르게 전환할 수 있음

공격자가 언어 확인을 바꿀 수 있는가

• 공격자는 수익성을 떨어뜨리는 방어책에 민감하게 반응하며, 언어 확인을 무시하도록 악성코드를 바꿀 수 있음
• 실제로 Mandiant가 분석한 최근 DarkSide 버전은 시스템 언어 확인을 수행하지 않았음
• Unit221B의 Allison Nixon은 언어 확인을 제거하면 공격자의 개인 안전과 재산에 무시할 수 없는 위험이 늘어난다고 봄
• Nixon에 따르면 러시아 해커들은 러시아의 독특한 법문화 때문에 자국 밖 피해자만 공격하도록 이런 확인 절차를 사용함
• 키릴 문자 키보드를 설치하거나 특정 레지스트리 항목을 RU로 바꾸는 것만으로도 일부 악성코드가 사용자를 러시아인으로 보고 공격 대상에서 제외할 수 있음

대규모 적용이 만들 수 있는 압박

• Nixon은 많은 사람이 이 방식을 쓰면 단기적으로 일부 사용자를 보호할 수 있다고 봄
• 장기적으로는 러시아 해커가 법적 보호를 잃을 위험과 수익을 잃을 위험 중 하나를 감수해야 함
• 러시아 해커도 서방 방어자가 겪는 문제와 비슷하게, 실제 국내 컴퓨터와 국내 컴퓨터처럼 가장한 해외 컴퓨터를 구별하기 어려워짐

VM 탐지 우회와 레지스트리 방식

• 일부 독자는 Windows 레지스트리에 가상 머신(VM)처럼 보이는 항목을 추가하는 방식도 제안함
• Unit221B의 Lance James는 VM 여부가 예전만큼 악성코드를 막지 못한다고 봄
  • 많은 조직이 일상 업무에 가상 환경을 사용하게 됐기 때문임
  • 현재 관찰되는 많은 랜섬웨어는 VM에서도 실행됨
• James는 CIS 국가 목록의 언어를 추가하는 아이디어를 지지하며, Windows PC가 러시아어 키보드를 설치한 것처럼 보이게 하는 두 줄짜리 배치 스크립트를 만들었음
• 이 스크립트는 Microsoft에서 추가 스크립트 라이브러리를 내려받지 않고도, 악성코드가 확인하는 특정 Windows 레지스트리 키에 러시아어 참조를 추가함

Windows 10에서 언어를 추가하는 방법

• Windows 10에서 직접 다른 키보드 언어를 설치하려면 Windows 키와 X를 누른 뒤 Settings를 선택함
• 이어서 “Time and Language”를 선택하고, Language 메뉴에서 다른 문자 세트를 설치하는 옵션을 고름
• 언어는 다음 재부팅 때 설치됨
• 언어를 전환해야 할 때는 Windows+Spacebar 조합을 사용함

[GN⁺]

Hacker News 의견들

• 머신을 악성코드 실행 샌드박스처럼 보이게 만들면, 많은 악성코드가 분석을 피하려고 종료됨
  이런 건 결국 고양이와 쥐의 게임의 일부임

  • 정교한 악성코드는 PC의 CPU 코어 수, 하드디스크 용량을 확인하고, 일부는 하드웨어 온도나 디버거 존재 여부까지 봄
    Windows 악성코드는 지난 30년 동안 꽤 정교해졌음
  • 요즘 Windows 서버는 대부분 가상화되어 있어서, 이 방법이 아직 통할지는 잘 모르겠음
    다만 다른 지표를 볼 수는 있음
  • 펌웨어에 VirtualBox 문자열을 넣어두면 됨 :)
  • 다른 프런트페이지 글에서도 나온 내용이고, 아마 이 제출도 여기서 나온 듯함: https://news.ycombinator.com/item?id=44413185

• 이게 Petya 같은 랜섬웨어나 Fancy Bear, Cozy Bear, Conti 같은 그룹에 통했다는 근거가 있음
  대체로 러시아 정부가 대상이 러시아가 아니면 비공식적으로 면책을 보장하기 때문임
  또한 자신이 러시아인이라고 밝히거나 채팅·메일에서 러시아어로 쓰면, 시스템을 무료로 복호화해 주기도 함

  • AI 번역 시대에는 그게 어떻게 작동할지 궁금함
    완전히 같은 얘기는 아니지만, 러시아인에게 무료 라이선스를 주던 러시아 셰어웨어 개발자가 있었던 기억이 남
  • 그렇게 단순하지는 않다고 봄
    러시아인은 어디에나 많고 피해 회사에도 일하고 있을 수 있으니, 몸값이 수백만 달러라면 러시아인이라는 것만으로는 부족할 것임
    회사가 러시아 소유라거나, 아버지가 FSB에서 일한다거나 하는 식으로 납득시켜야 할 듯함
  • 여기서 핵심을 짚었음
    텐트 안에서 오줌 싸지 말라는 정책은 거의 모든 러시아 그룹이 잘 이해하고 있음
  • 러시아인을 공격하지 않으려는 이유는 피해자가 경찰에 신고하면 경찰이 수사를 시작할 수밖에 없기 때문이라고 봄
    외국인은 그런 면에서 문제를 만들지 않음
    특별한 면책 같은 게 있다고 생각하진 않음
    다만 외국인도 가끔 문제를 만들 수 있음
    최근에는 Joe Biden의 신고로 시작된 수사 뒤에 여러 사이버 전문가가 유죄 판결을 받았음

• 2000년대 후반에 기술에 익숙하지 않은 학교 친구들 컴퓨터에서 winlocker를 많이 지웠던 러시아인으로서는 동의하기 어려움 :D
  다만 그런 것들은 덜 정교했을 것임
  파일을 암호화하지는 않았고, 닫을 수 없는 창을 띄워 결제를 요구했음
  가끔 “성인 사이트 빠른 접근 위젯을 설치해 주셔서 감사합니다” 같은 웃긴 문구도 있었음

• 키릴 문자 키보드가 켜진 시스템만 노리는 악성코드가 없다면 오히려 놀랄 듯함

  • 키릴 문자 키보드는 종류가 많음
    불가리아인은 공격하지 말아 주세요 :)
  • 당연히 CIA 같은 기관은 자기 표적을 구분해야 함

• 어떤 Windows 버전이든 최고의 악성코드 방어는 매일 쓰는 기본 계정을 관리자 계정이 아닌 계정으로 만드는 것이었음
  별도의 전체 관리자 계정도 만들어야 하고, 로컬 계정이어도 됨
  비밀번호는 반드시 다르게 써야 함
  무언가를 설치하거나 PowerShell/CMD를 관리자 권한으로 실행해야 할 때마다 관리자 계정의 별도 로그인을 요구하는 팝업이 뜸
  이는 기본적으로 Linux의 sudo 방식과 같고, 제대로 된 전문 IT 부서가 Windows를 운영하는 방식이기도 함
  직접 유발하지 않았는데 관리자 권한 상승 팝업이 뜨면 뭔가 잘못됐다는 걸 알 수 있고, 대부분의 악성코드는 설치되지 못함
  또 일반 계정에는 비교적 평범하지만 너무 짧지는 않은 비밀번호를 쓰고, 관리자 로그인에는 훨씬 복잡한 비밀번호를 둘 수 있음
  특히 “할머니 PC”처럼 잘못 클릭할 위험이 높은 사람에게 좋음

  • 악성코드는 “설치” 없이도 많은 일을 할 수 있음
    권한 없는 사용자로 실행되더라도 그 사용자가 접근 가능한 파일 시스템에는 무엇이든 할 수 있고, 대부분의 일반 설정에서는 외부 인터넷 연결도 제한 없이 가능함
    즉 이런 권한 분리는 데이터 유출, 사용자 중요 파일을 대상으로 한 랜섬웨어, 단순 훼손을 막아주지 못함
  • 2000년대 초부터 2012년쯤까지는 동의했을 것임
    Vista 이후 악성코드는 UAC에 적응했고, 이제 모든 악성코드는 일반 사용자 권한에서도 잘 작동함
    일반 사용자가 접근할 수 있는 데이터는 로컬이든 원격 CIFS 서버든 랜섬웨어의 대상이 됨
    관리자 권한을 제한해도 악성코드가 데이터에 접근하는 걸 막지는 못함
    지속성 확보도 사용자별, 비관리자 방식으로 옮겨갔음
    사용자가 IT 부서를 우회하려고 소프트웨어를 찾다가 설치하는 온갖 준악성 맞춤형 Chromium도 같은 방식으로 동작함
    그래도 일상용 Windows 사용자에게 관리자 권한을 주지 말아야 한다고 봄
    다만 악성코드에는 별 도움이 되지 않음
    가장 민감한 활동, 주로 은행 업무에는 물리적으로 분리된 장비를 사용하지만, 별도의 비관리자 Windows 로그인을 두고 랜섬웨어에 잡히면 안 되는 데이터 접근을 구획화해도 거의 비슷한 효과를 낼 수 있음
    Windows의 서로 다른 사용자 계정 간 격리는 실제로 꽤 괜찮으니, 계정들이 공통으로 접근할 수 있는 데이터를 제한하면 됨
    개인적으로는 Qubes를 써서 물리적으로 분리된 머신을 그만 쓰고 싶었지만, 그 특유의 장치를 익힐 시간을 내지 못했음
    수정: Chrome이 아니라 “준악성 맞춤형 Chromium”이라고 했어야 함
  • 방금 설명한 건 Windows Vista, 즉 2006년부터 사용자 계정 컨트롤(UAC) 이 해오던 일처럼 들림
  • 보통 개인은 조직범죄 랜섬웨어 공격의 표적이 아님
    회사는 데이터를 되찾기 위해 훨씬 큰돈을 내는 경우가 많고, Petya 랜섬웨어가 좋은 예임
    그래도 침입자가 어떤 머신에서 일반 사용자 권한을 갖고 있으면, 그 머신과 네트워크에서 관리자 계정을 능동적으로 찾고 세션을 훔칠 수 있음
    최종 목표는 Domain Admin 권한을 얻는 것임
    그 외에도 데이터를 삭제·암호화하거나 소프트웨어를 실행·숨기는 데 관리자 권한이 꼭 필요하지는 않음
    세션 탈취 외에도 패치되지 않은 소프트웨어, 부적절한 사용자 권한, 제로데이, 사회공학 등 관리자 권한을 얻는 방법은 많음
    사용자가 설치하고 싶어 하는 유용한 소프트웨어에 악성코드나 랜섬웨어를 묶어 넣는 것도 흔한 방식임
  • 어떤 Windows 버전에서든 최고의 악성코드 방어는 Windows를 쓰지 않는 것임

• “이 단순하고 무료인 예방 조치를 취하는 데 단점이 있나? 내가 보기엔 없다”에 대해, 바로 떠오르는 단점은 사용자가 실수로 키보드를 바꾸면서 지원 비용이 늘어나는 것임
  키보드 전환 단축키는 대개 실수로 누르기 어렵지 않고, 특히 미국 사용자 대부분은 자신이 뭘 했는지나 되돌리는 방법을 잘 모를 것임

  • Windows 사용자는 아니지만, 시스템 관리자가 이 키보드는 켜되 전환 단축키는 끌 수 없나?

• Brian Krebs가 2021년에 전 세계에 공개한 뒤에도 이게 여전히 실제로 통하는지 궁금함

  • 원래부터 그랬고 앞으로도 계속 그럴 것임
    러시아와 북한은 랜섬웨어를 정당한 경제 활동으로 봄
    하이브리드 전쟁 전략의 일부임
  • 그렇다, 확실히 그렇음
    이건 주로 법적·집행상의 판단임
    러시아 당국을 피하면, 그들도 당신을 피함
    또한 러시아는 미국만큼 비옥한 표적지가 아님
    미국에는 업무용 이메일 침해(BEC) 에 속아 AP 결제 정보를 기꺼이 업데이트할 저임금 초급 사무직이 많음
    2024년 BEC 손실은 27.7억 달러로 가장 수익성 높은 범주였고, 미국 전체 손실은 859,532건의 신고에서 160억 달러였음
    내가 참여했던 한 조사에서는 중국의 위협 행위자가 사회공학으로 미국 회사의 직원 계정을 만들게 했음
    설득력이 너무 강해서, 특정 지점에서 새 직원 계정을 만들 때의 신원 워크플로 승인 과정에 자신들의 계정을 관리자처럼 끼워 넣는 데도 성공했음
    목적은 직원에게 제공되는 할인 혜택을 빼돌리는 것뿐이었고, 이를 재판매해 몇 년에 걸쳐 약 100만 달러의 손실을 냈음
    https://www.fbi.gov/contact-us/field-offices/elpaso/news/fbi...

• 사이버 공격의 출처를 어느 정도 확신을 갖고 추정할 수 있는 방법이 궁금함
  “사용된 기법이 러시아 그룹의 알려진 기법이라 러시아인인 걸 안다”는 식으로 말하는 경우가 있는데, 그런 기법이 특정 그룹이나 국가 출신을 그렇게 명확히 가리킨다면 오히려 그 기법을 흉내 내서 그들이 한 것처럼 보이게 만들기 쉽지 않나?
  러시아 국기를 단 전함이 미국 함선을 쏘고 달아났는데 잡히지 않았다면, 국기만 보고 “100% 러시아가 맞다”고 하는 건 어리석어 보임
  문자 그대로 거짓 깃발 작전일 수도 있고, 요즘은 그런 일을 할 정치적 동기도 매우 큼

• 러시아어 키보드가 있으면 NSA 악성코드에는 매력적인 표적이 됨

  • 러시아, 중국 등은 군이나 민감한 정부 직원 장비에서 Windows 사용을 금지함
    자체 Linux 배포판을 씀

• 러시아어 키보드를 쓰는 입장에서도, 사이버보안의 기본을 알기 전에는 바이러스에 꽤 많이 걸렸음
  전체적으로 이 방식이 실제로 얼마나 널리 통하는지, 아니면 글에서 과장된 건지 궁금함

  • 표적형·캠페인 공격과 관련된 얘기라고 봄
    rar 파일에 섞여 퍼지는 일반적인 바이러스 전파는 충분히 범용적임
    반대로 CIS 국가에서 활동하는 조직이라면 내부 보안 기관의 표적이 되지 않기 위해 당연히 신중히 확인하는 게 논리적임
    예를 들어 봇넷을 만들어 임대하면 다른 그룹이 그걸로 제대로 큰 피해를 낼 수 있으니, 그냥 해외에 호스팅하는 편이 더 안전함