CryptoLocker는 2013년에 처음 등장한 컴퓨터 ransomware(랜섬웨어)의 일종이다. 주된 특징은 감염된 시스템의 파일을 강력한 암호화 알고리즘으로 암호화한 뒤, 복호화를 위해 비트코인(BTC) 등의 디지털 화폐 형태로 금전을 요구하는 방식이다.
개요
- 분류: 랜섬웨어 (Ransomware)
- 대상 운영체제: 주로 Microsoft Windows (특히 Windows XP, Vista, 7 등)
- 전파 경로: 스팸 이메일에 첨부된 악성 실행 파일(.exe) 혹은 악성 링크를 통해 유포되었다.
- 암호화 방식: 파일을 RSA 2048비트 공개키와 AES-128 비밀키를 이용해 암호화한다. 복호화키는 공격자가 운영하는 C&C 서버에 저장된다.
주요 사건 및 역사
- 출현 (2013년 9월)
- 최초 보고는 2013년 9월에 미국 사이버 보안 업체들과 법 집행기관에서 이루어졌다.
- 활동 기간
- 2013년 말까지 활발히 활동했으며, 약 250,000대 이상의 컴퓨터가 감염된 것으로 추정된다.
- 법 집행 대응
- 2014년 10월, 미국 연방수사국(FBI)와 국제 사법 협력이 결합된 ‘Operation Tovar’를 통해 CryptoLocker의 C&C 인프라가 차단되었다.
- 해당 작전으로 인해 암호화된 파일 복호화에 필요한 개인키를 확보한 뒤, 피해자들에게 복구 서비스를 제공하였다.
작동 메커니즘
- 감염
- 사용자가 스팸 이메일의 첨부 파일이나 악성 링크를 실행하면, 트로이목마 형태의 초기 페이로드가 시스템에 침투한다.
- 암호화
- 트로이목마가 관리자 권한을 획득하고, 지정된 파일 확장자(예: .doc, .xls, .pdf 등)를 대상으로 암호화를 수행한다.
- 요구 메시지 표시
- 암호화가 완료되면, 화면에 금전 요구 메시지와 복호화키를 제공받기 위한 비트코인 지불 주소가 나타난다.
- 지불 및 복호화
- 피해자가 비트코인으로 지불하면, 공격자는 복호화키를 제공한다. 실제로 지불 후 복호화키를 제공받은 사례는 일부 보고되었다.
피해 규모 및 대응
- 피해 규모: 추정 감염 대수는 250,000대 이상이며, 금전적 손실은 수백만 달러에 달하는 것으로 추정된다.
- 보안 권고:
- 최신 보안 패치를 적용하고, 의심스러운 이메일 및 첨부 파일을 열지 않을 것.
- 정기적인 데이터 백업을 수행하고, 백업본을 오프라인 또는 별도 네트워크에 보관할 것.
- 안티바이러스 및 안티랜섬웨어 솔루션을 최신 상태로 유지할 것.
법적 및 정책적 영향
- CryptoLocker는 랜섬웨어 위협에 대한 국제적인 법 집행 협력의 전형 사례로 인용된다.
- 해당 사건을 계기로 미국을 비롯한 여러 국가에서 사이버 범죄 대응 정책과 디지털 화폐 거래 감시 체계가 강화되었다.
참고 문헌
- United States Department of Justice, “FBI’s Takedown of CryptoLocker Ransomware,” 2014.
- Symantec Security Response, “CryptoLocker Ransomware Analysis,” 2013.
- Europol, “Internet Organised Crime Threat Assessment (IOCTA) 2014,” 2014.
위 내용은 공개된 보안 보고서와 법 집행 기관 발표 자료를 기반으로 객관적으로 정리한 것이다.
