APT·랜섬웨어와 기본 대응 | 정보보안기사 필기

1. APT의 의미

APT(Advanced Persistent Threat)는 충분한 능력과 자원을 가진 위협 주체가 특정 조직이나 정보를 목표로 여러 수단을 사용하며 장기간 반복적으로 공격하는 위협이다.

목표와 환경에 맞춰 피싱, 취약점, 유효 계정, 악성코드, 정상 관리도구 등 여러 수단을 조합하고 바꿀 수 있다.

한 번의 공격 성공이 아니라 목표 달성을 위해 장기간 접근을 유지하고 실패 후에도 다시 시도할 수 있다.

의도와 능력을 가진 위협 주체가 존재한다.

APT가 반드시 제로데이 취약점만 사용하거나 특정 국가 조직만을 의미하는 것은 아니다.

공격은 고정된 한 줄 순서로만 진행되지 않지만 다음 흐름으로 이해할 수 있다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

정보수집
→ 최초 접근
→ 악성코드 실행 또는 유효 계정 사용
→ 거점 유지
→ 권한 확대·자격정보 탈취
→ 내부 시스템 탐색·이동
→ 목표 정보 수집·외부 반출
→ 흔적 은폐 또는 추가 영향

APT는 악성 파일만 사용하는 것이 아니다.

따라서 “정상 프로그램이 실행됐다”는 사실만으로 정상 행위를 확정하지 않는다. 사용자, 시간, 장치, 부모 프로세스, 실행 인자, 접근 대상, 전송량을 함께 본다.

IOC(해시·도메인·IP 등)는 유용하지만 쉽게 변경될 수 있다. 계정·행위·맥락을 함께 보는 탐지가 필요하다.

파일 하나 삭제하거나 비밀번호 하나만 변경해서는 남은 세션·서비스·예약 작업 때문에 침해가 지속될 수 있다.

랜섬웨어는 파일·시스템을 암호화하거나 사용하지 못하게 만들고 복구 대가를 요구하는 악성코드·공격 형태다. 최근 공격은 암호화 전에 데이터를 훔쳐 공개를 협박하기도 한다.

대표 행위:

랜섬웨어 감염은 단일 PC에서 시작될 수도 있지만, 탈취 계정과 관리 도구를 통해 서버·백업 환경으로 확산할 수 있다.

백업이 존재한다는 사실만으로 복구 가능성이 보장되지는 않는다. 공격자가 삭제할 수 없는 위치에 보관되고 실제 복원이 검증돼야 한다.

전원 종료는 확산 차단에 도움이 될 수도 있지만 메모리와 세션 같은 휘발성 정보가 사라질 수 있으므로 상황에 따라 판단한다.