Unit221B와 Krebs, 랜섬웨어 자체의 러시아 금지 규칙을 무료 PC '백신'으로 전환하다

2021년 5월 Colonial Pipeline을 마비시킨 DarkSide 공격 당시, Krebs는 거의 모든 러시아 랜섬웨어 계열이 러시아어 또는 우크라이나어 키보드가 설치된 Windows 컴퓨터에는 설치를 거부한다는 점을 지적했다. 이는 범죄자들이 자국 법 집행 기관으로부터 자신을 보호하기 위한 내장 안전장치였다. 독자들은 일반 사용자가 이 규칙을 악용할 수 있는지 알고 싶어 했다.

악성코드 자체의 국가 제외 목록을 백신으로 활용하자: 모든 Windows PC를 러시아나 우크라이나처럼 보이게 만들어 러시아 랜섬웨어의 설치 금지 검사를 통과시키는 것이다.

KrebsOnSecurity는 방법을 설명했다: CIS 국가 키보드 배열을 설치하거나, Unit221B의 Lance James가 만든 클릭 가능한 두 줄짜리 Windows 배치 스크립트를 실행하는 것이다. 이 스크립트는 마이크로소프트 언어 파일을 다운로드하지 않고도 악성코드가 검사하는 특정 레지스트리 키에 러시아어 참조를 추가한다. Allison Nixon은 이 트릭을 전략적으로 규정했다: 충분히 많은 사람이 실행하면 러시아 해커들은 자국 영역을 피함으로써 얻는 법적 보호를 잃거나 수입을 잃는 것 중 하나를 선택해야 한다는 것이다.

이 설명 글은 2021년 5월 가장 많이 논의된 보안 게시물 중 하나가 되었으며 — Hacker News에서 604점과 278개 댓글, 사이트 자체에서 147개 댓글을 기록했다 — James의 스크립트는 이 수정책의 무료 일단계 버전으로 퍼졌다. Nixon은 대규모 채택이 범죄자들에게 자체 법적 방패를 약화시키거나 손실을 감수하도록 강제할 것이라고 주장했으며, 이 글은 이 방어가 CIS 제외 조항이 있는 악성코드에만 효과가 있고 Mandiant가 분석한 최근 DarkSide 변종은 언어 검사를 완전히 건너뛰었다는 점을 분명히 밝혔다.

2021년 5월, DarkSide 랜섬웨어 조직이 5,500마일에 달하는 Colonial Pipeline을 마비시키고 미국 연료 가격을 끌어올리던 때, Brian Krebs는 범죄 경제의 한 가지 특이점을 지적했다: 거의 모든 러시아어 랜섬웨어는 러시아어 또는 우크라이나어 키보드 배열이 있는 Windows 컴퓨터에는 설치를 거부한다. 제외 목록은 독립국가연합(CIS)을 포함하며, 이는 조직원들이 자국 — 경찰이 현지 피해자의 신고가 있을 때만 수사하는 곳 — 에 피해자를 만들지 않도록 하기 위해 존재한다.

Krebs의 창의적인 발상은 그 규칙을 방어자들에게 되돌려주는 것이었다: 악성코드가 러시아처럼 보이는 컴퓨터를 스스로 제외한다면, 모든 컴퓨터를 러시아처럼 보이게 만들면 된다. 그의 기사는 독자들에게 CIS 국가 키보드를 설치하는 방법을 보여주었고, Unit221B의 Lance James는 악성코드가 검사하는 정확한 레지스트리 키에 러시아어 참조를 추가하는 두 줄짜리 배치 스크립트를 내놓았다. Allison Nixon은 이를 '백신'이라고 불렀으며 그 진정한 가치는 전략적인 데 있다고 했다: 대규모 채택은 러시아 해커들에게 국내 컴퓨터를 피함으로써 법적 보호를 유지하거나, 검사를 포기하고 기소 위험을 감수하는 것 중 하나를 선택하도록 강제할 것이다.

이 게시물은 그 달 가장 많이 읽힌 보안 기사 중 하나가 되었다 — Hacker News에서 604점과 278개 댓글, 기사 자체에서 147개 — 독자들은 배열을 설치하고 스크립트를 공유하며 범죄자들이 적응할지 논쟁했다. 주의 사항도 제안의 일부였다: 이 트릭은 CIS 제외 조항이 없는 악성코드에는 아무 효과가 없고, 심층 방어를 대체하지 못하며, Mandiant는 최근 DarkSide 변종이 이미 언어 검사를 제거했다는 것을 발견했다. 그래도 무료 2분짜리 단계로서, 일반 사용자에게 실질적인 방어를 제공하고 공격자들이 모든 우회 방법에 대가를 치르게 했다.

이 백신은 새로운 보안 제품이 필요 없다: 범죄자들의 코드에 이미 존재하는 자체 감염 금지 목록을 무기화한 것이다.

두 줄짜리 레지스트리 스크립트는 이 수정책을 극히 쉽게 채택할 수 있게 만들어, 영리한 아이디어를 누구나 그날 오후에 실행할 수 있는 것으로 바꾸었다.

Colonial Pipeline 맥락이 이 트릭에 적기를 제공했다: 수년 만에 가장 눈에 띄는 랜섬웨어 공격이 무료 방어 생활 꿀팁을 즉시 뉴스 가치가 있게 만들었다.

전략적 구도 — 범죄자들이 법적 보호를 수입과 맞바꾸도록 강제하는 것 — 는 이 트릭을 개인 위생 이상의 것으로 만들어 집단적 행동으로 만들었다.

정직한 주의 사항(모든 악성코드가 검사하지는 않음, 변종들은 이미 검사를 제거함)은 회의적인 보안 청중 사이에서 퍼질 만큼 조언의 신뢰성을 유지했다.

적의 안전 규칙은 통제 지점이다: 범죄자들은 현지 경찰을 피하기 위해 자국 영역을 벗어나지 않으므로, 그 영역을 위장하는 방어자들은 공격자들이 방패를 약화시키거나 수입을 잃도록 강제한다.

이 트릭은 Colonial Pipeline 이후 이어진 랜섬웨어 논쟁에서 기준점이 되었다: DarkSide는 서버와 비트코인이 압수된 후 폐업을 발표했고, 언어 검사 방어는 방어자들이 그 한계를 논하는 동안 무료 임시방편으로 퍼졌다. 댓글 작성자들은 약점을 파고들었다 — 어떤 키보드가 활성화되어 있는지 확인하기, 배열이 언제 설치되었는지 감시하기, 검사를 완전히 제거하기 — Nixon은 이를 백신이 강제하도록 설계된 맞교환이라고 규정했다. 이 게시물은 계속 게시되고 댓글이 달리며, 범죄자의 지리적 규칙이 어떻게 누구나의 방어가 되었는지에 대한 오래 남는 설명이 되었다.