모두
모두콘텐츠
서버 장애를 접수하다 보면 “랜섬웨어복구툴부터 돌려야 하나요?”라는 말을 종종 듣습니다. 그런데 감염된 서버에서 도구부터 실행하면 파일이 계속 암호화되거나, 나중에 복구에 쓸 원본을 잃을 수 있습니다. 복구 가능성을 높이려면 먼저 확산을 멈추고 자료를 보존해야 합니다.
서버를 격리하고 암호화된 파일을 보존한다
VPS나 전용 서버라면 우선 외부 연결을 차단합니다. 관리 콘솔에서 네트워크를 끊거나 방화벽으로 통신을 막고, 같은 계정의 다른 서버와 백업 저장소에도 이상이 없는지 확인합니다. 공유 호스팅이라면 서버 전체를 직접 격리할 수 없으므로 호스팅 업체에 즉시 감염 범위 확인과 계정 차단을 요청해야 합니다. 웹사이트만 접속되지 않는 상황이라면 랜섬웨어로 단정하지 말고 디스크 사용량, 웹서버와 데이터베이스 상태도 함께 봅니다.
암호화된 파일, 몸값 요구 문서, 웹서버·시스템 로그는 지우지 않습니다. 가능하면 감염 시점의 디스크 이미지를 떠 두고, 암호화된 파일도 별도 저장소에 복사합니다. 한국인터넷진흥원은 복구도구를 사용하기 전에 암호화된 파일을 따로 백업하라고 안내합니다. 운영 서버에 남은 유일한 파일을 시험 대상으로 삼지 않는 이유입니다.
여기서 스냅샷은 유용하지만 안전한 백업과 같은 뜻은 아닙니다. 감염된 디스크의 현재 상태를 보존할 수는 있어도, 스냅샷 자체에 악성 파일이나 이미 암호화된 데이터가 들어 있을 수 있습니다. 복구 작업용 복사본과 증거 보존용 원본을 구분해 두는 편이 낫습니다.
파일 확장자만 보지 말고 변종을 확인한다
랜섬웨어복구툴은 범용 파일 복원 프로그램이 아닙니다. 특정 랜섬웨어의 특정 버전에서 발견된 암호화 결함이나 확보된 키를 이용하는 경우가 많습니다. 이름이 같은 계열이어도 버전이 다르면 작동하지 않을 수 있습니다. 확장자가 같다는 이유만으로 도구를 고르면 시간을 낭비하기 쉽습니다.
우선 암호화된 파일의 이름과 크기, 요구 문서의 문구, 감염이 시작된 시각을 기록합니다. 같은 원본의 정상 파일이 다른 곳에 남아 있는지도 찾습니다. 일부 도구는 암호화된 파일과 정상 원본 한 쌍이 있어야 키를 찾을 수 있습니다. 요구 문서에 적힌 연락처를 확인할 수는 있지만 공격자에게 접속하거나 답장을 보내는 작업과는 구분해야 합니다.
변종 식별에는 노모어랜섬의 크립토 셰리프 같은 서비스를 쓸 수 있습니다. 다만 샘플 파일을 올리기 전에는 개인정보나 고객 데이터가 들어 있는지 살펴야 합니다. 민감한 파일밖에 없다면 보안 담당자나 사고 대응 업체와 제출 범위를 먼저 정하는 게 안전합니다. 식별 결과가 나오더라도 도구의 지원 버전과 필요한 입력 파일을 다시 확인합니다.
복구도구는 복사본에서 작은 범위로 시험한다
도구는 한국인터넷진흥원, 노모어랜섬, 보안 업체의 공식 배포처에서 찾습니다. 검색 결과에 나온 파일이나 ‘모든 랜섬웨어 즉시 복구’ 같은 유료 광고를 그대로 실행하지 않습니다. 무료 도구가 제공되는 변종도 있고, 해당 변종을 지원하는 도구가 아직 없는 경우도 있습니다. 돈을 냈다고 복호화 키가 생기는 구조는 아닙니다.
- 감염 서버에서 악성 프로그램이 더 실행되지 않도록 격리 상태를 유지합니다.
- 암호화된 파일과 요구 문서를 보존하고, 작업용 복사본을 만듭니다.
- 도구 설명서에서 지원 변종, 버전, 원본 파일 쌍의 필요 여부를 확인합니다.
- 중요도가 낮은 파일 몇 개를 복사본에서 먼저 복호화합니다.
- 열리는지만 보지 말고 내용과 파일 크기를 확인한 뒤 범위를 넓힙니다.
예를 들어 이미지 한 장이 열렸다고 데이터베이스 백업까지 정상이라는 뜻은 아닙니다. 압축 파일은 내부 파일 목록을 검사하고, 데이터베이스 덤프는 별도 환경에서 실제로 읽히는지 확인해야 합니다. 일부 복구도구는 암호화된 파일을 보존하는 옵션을 제공하니 기본 설정도 살핍니다. 실패하거나 출력 파일이 손상됐을 때 다시 시도할 원본이 필요합니다.
도구가 “지원하지 않는 변종”이라고 표시하면 다른 도구를 무작정 연달아 실행하지 않습니다. 노모어랜섬도 모든 유형에 복호화 수단이 있는 것은 아니며, 같은 계열이라도 확보된 키가 일부에만 해당할 수 있다고 설명합니다. 이때는 암호화된 파일을 보관하고 백업 복원 가능성을 따져야 합니다.
웹사이트 복구는 파일보다 계정과 백업 시점이 중요하다
웹사이트는 파일만 되살려서는 끝나지 않습니다. 데이터베이스, 업로드 파일, 설정 파일의 백업 시점이 서로 맞아야 합니다. 이를테면 새벽 2시 데이터베이스와 전날 밤 업로드 폴더를 섞으면 게시물 기록은 있는데 첨부파일이 없는 상태가 됩니다. 백업 목록에서 마지막 정상 시점을 찾고, 별도 서버에 복원해 게시물 조회와 파일 다운로드를 시험합니다.
서버를 다시 열기 전에는 침입 경로도 확인해야 합니다. 관리 계정의 새 로그인, 원격 접속 기록, 낯선 예약 작업, 웹 루트에 추가된 실행 파일, 백업 저장소 접근 기록을 봅니다. 비밀번호와 접근 키는 깨끗한 기기에서 교체합니다. 미국 사이버보안·인프라보안국도 감염 시스템을 격리하고 증거를 보존한 뒤, 깨끗한 환경에서 서비스를 복구하도록 안내합니다. 감염된 서버의 파일을 그대로 운영 환경에 덮어쓰면 재감염을 막기 어렵습니다.
복구 시간도 용량으로 가늠해야 합니다. 80GB를 초당 100Mb 연결로 옮기는 데만 이론상 약 1시간 47분이 걸리고, 실제로는 저장장치 속도와 검증 시간까지 더 듭니다. 작은 사이트라면 비싼 상시 서버보다 분리된 백업과 복원 연습에 돈을 쓰는 편이 장애 시간을 줄일 때가 많습니다. 랜섬웨어복구툴은 가능한 선택지 하나지만, 결국 사이트를 살리는 건 보존된 원본과 검증된 복구 절차입니다.
