복구할 수 있으면 돈을 낼 이유가 없습니다
랜섬웨어 조직에게 백업은 협상을 무너뜨리는 변수입니다. MITRE ATT&CK에 시스템 복구 방해(Inhibit System Recovery, T1490)가 별도 기법으로 올라가 있고 사례 목록이 긴 것도 그래서입니다. 볼륨 섀도 복사본 삭제, Windows 백업 카탈로그 삭제, 부팅 복구 옵션 끄기가 전형이고, ESXi에서 VM 스냅숏을 지우거나 클라우드에서 백업 정책과 버전 관리를 끄는 행위도 같은 기법으로 분류됩니다.
CISA와 FBI 등이 함께 낸 Akira 랜섬웨어 권고문(AA24-109A)은 2025년 11월 13일 개정판에서 이 흐름을 구체적으로 적었습니다. 라우터를 거쳐 내부로 들어온 공격자가 패치되지 않은 Veeam Backup & Replication 서버의 취약점(CVE-2023-27532, CVE-2024-40711)을 악용했다는 내용입니다. 백업 서버가 지우기 대상이면서 권한 상승의 발판으로도 쓰인 셈입니다. 같은 개정판에는 2025년 6월 사고에서 Nutanix AHV 가상머신 디스크 파일까지 암호화했다는 내용도 들어 있습니다. 하이퍼바이저와 백업이 같은 관리망에 있다면 둘이 함께 넘어갈 수 있다는 뜻입니다.
Windows 호스트에서 먼저 볼 명령
T1490 행위는 대부분 운영체제 기본 도구로 실행됩니다. 실행 파일 이름만으로는 정상 작업과 구분이 안 되니 명령줄 인자까지 수집해야 합니다. Sysmon 이벤트 ID 1이나 Windows 보안 이벤트 4688에 명령줄이 남는지부터 확인하세요. 4688의 명령줄 기록은 그룹 정책에서 따로 켜야 해서 빠져 있는 경우가 흔합니다.
| 명령 | 하는 일 |
|---|---|
vssadmin.exe delete shadows /all /quiet | 볼륨 섀도 복사본 전체 삭제 |
wmic shadowcopy delete | 같은 일을 WMI로 |
wbadmin delete catalog -quiet | Windows 백업 카탈로그 삭제 |
bcdedit /set {default} recoveryenabled no | 자동 복구 끄기 |
# 예시: Sigma 형식 탐지 규칙 초안 (환경에 맞게 조정이 필요합니다)
title: Shadow copy or backup catalog deletion
logsource:
category: process_creation
product: windows
detection:
sel_vss:
Image|endswith: '\vssadmin.exe'
CommandLine|contains|all: ['delete', 'shadows']
sel_wmic:
Image|endswith: '\wmic.exe'
CommandLine|contains|all: ['shadowcopy', 'delete']
sel_wbadmin:
Image|endswith: '\wbadmin.exe'
CommandLine|contains|all: ['delete', 'catalog']
sel_bcdedit:
Image|endswith: '\bcdedit.exe'
CommandLine|contains: 'recoveryenabled'
condition: 1 of sel_*
level: high
백업 소프트웨어가 정상 작업 중에 섀도 복사본을 정리하는 경우가 있습니다. 처음 2주 정도는 알림만 받으면서 부모 프로세스가 백업 에이전트인 건을 예외로 걸러 내고, 그다음에 자동 격리 같은 대응을 붙이는 편이 안전합니다. 이 규칙이 울렸다면 이미 암호화 직전 단계일 가능성이 높으니 통보 기준은 가장 높은 등급으로 둡니다.
백업 서버 자체를 지키는 일
Veeam을 쓰신다면 Akira 권고문에 나온 두 취약점의 조치 상태부터 확인하세요.
| CVE | 내용 | 조치 |
|---|---|---|
| CVE-2023-27532 | Veeam.Backup.Service.exe(기본 TCP 9401) 취약점. CVSS 7.5 | v12는 12.0.0.1420 P20230223, v11a는 11.0.1.1261 P20230227 이상 (Veeam KB4424) |
| CVE-2024-40711 | 신뢰할 수 없는 데이터 역직렬화로 인증 없이 원격 코드 실행. CVSS 9.8 | 12.2.0.334 이상 (Veeam KB4649) |
KB4424는 원격 구성 요소가 없는 단일 서버 구성이라면 패치 전 임시 조치로 백업 서버 방화벽에서 TCP 9401 외부 접속을 막으라고 안내합니다. 패치와 별개로 백업 서버는 업무용 Active Directory 도메인에 넣지 않는 편이 낫습니다. 도메인 관리자 계정을 빼앗기면 백업 콘솔도 함께 넘어가기 때문입니다. 관리 포트는 백업 전용 네트워크 안에서만 열고 콘솔 로그인에는 MFA를 겁니다.
지워지지 않는 사본을 하나 두기
CISA의 #StopRansomware 가이드는 중요한 데이터를 오프라인에 암호화해 백업하고, 재해 상황을 가정해 백업의 가용성과 무결성을 정기적으로 시험하라고 권합니다. 많은 랜섬웨어가 접근 가능한 백업을 찾아 지우거나 암호화한다는 이유에서입니다. 같은 가이드는 클라우드 업체의 불변(immutable) 스토리지도 언급하면서, 규제 요건과 충돌할 수 있고 설정을 잘못하면 비용이 커질 수 있다는 점을 함께 적었습니다.
백업 구성을 볼 때 저희가 확인하는 질문은 이렇습니다.
- 사본 중 하나는 운영 계정으로 지울 수 없는가. 객체 잠금(Object Lock), 테이프, 별도 계정의 스토리지 중 무엇이든 됩니다.
- 백업 관리자 계정이 업무 도메인 계정과 분리돼 있는가.
- 보존 기간이 공격자가 내부에 머무는 기간보다 긴가. 몇 주 머문 뒤 암호화하면 최근 사본이 모두 오염돼 있을 수 있습니다.
- 복구를 실제로 해 봤는가.
마지막 질문에서 가장 많이 막힙니다. 백업 작업은 매일 성공으로 찍히는데 막상 복구해 보면 백업 암호화 키나 복구 절차서가 같은 도메인의 파일 서버에 있어서 함께 잠기는 일이 생깁니다. 복구 훈련 날짜와 걸린 시간을 기록해 두면, 사고가 났을 때 경영진에게 복구 예상 시간을 근거 있게 말할 수 있습니다.
참고 자료
- Inhibit System Recovery, Technique T1490, MITRE ATT&CK
- #StopRansomware: Akira Ransomware (AA24-109A), CISA 외, 2025.11.13 개정
- #StopRansomware Guide, CISA
- KB4424: CVE-2023-27532, Veeam
- KB4649: Veeam Security Bulletin (September 2024), Veeam
