🔒💰 LockBit (2019–) — 랜섬웨어를 '산업'으로 만든 RaaS: LockBit 2.0/3.0 Black · StealBit 이중 갈취 · 유출된 빌더 · Operation Cronos

1. 배경/역사 — '개인의 몸값 협박'에서 '프랜차이즈 범죄'로

2010년대 중반까지 랜섬웨어는 대체로 한 조직이 직접 만들고 직접 뿌리는 모델이었다. LockBit이 바꾼 것은 암호화 기술 자체보다 비즈니스 구조였다. 핵심 개발진은 코드와 인프라만 관리하고, 실제 침투는 실력 있는 외부 해커(제휴사)에게 맡긴다. 제휴사는 몸값의 대부분을 가져가고, 운영진은 '브랜드 사용료'를 챙긴다. 이 구조 덕분에 LockBit은 2020년대 초반 폭발적으로 사건 수를 늘렸고, 2022년에는 전 세계 랜섬웨어 사건의 약 44%를 차지한 것으로 추정됐다.

초기 이름은 암호화 후 붙이던 확장자에서 따온 .abcd였다. 2020년 1월 러시아어권 범죄 포럼에 'LockBit'이라는 이름이 등장하면서 브랜드가 만들어졌고, 2021년 6월 LockBit 2.0(LockBit Red)이 나오면서 판이 커졌다. 2.0의 핵심은 두 가지였다. 첫째, 데이터를 먼저 빼내는 전용 도구 StealBit을 기본 탑재해 이중 갈취를 표준화했다. 둘째, "업계에서 가장 빠른 암호화"를 마케팅 문구로 내세우며 제휴사를 모집했다. 2021년 10월에는 Linux-ESXi Locker를 내놓아 가상화 인프라까지 표적을 넓혔다.

2022년 상반기 LockBit 3.0(LockBit Black)은 랜섬웨어 업계 최초로 버그바운티를 도입했다. 보안 연구자에게 1,000달러에서 100만 달러까지 보상하겠다고 공개적으로 제안하며 "우리 코드의 취약점을 찾아달라"고 했다. 범죄 조직이 제품 품질 관리와 평판 경영을 시작한 순간이었다. 그러나 2022년 9월, 한 제휴사가 빌더(builder)를 유출하면서 상황이 꼬인다. 빌더는 암호화 프로그램을 설정값에 맞춰 찍어내는 도구로, 이것이 퍼지자 LockBit 브랜드와 무관한 범죄자들까지 손쉽게 변종을 만들 수 있게 됐다.

2023년 LockBit은 미국 재무부 제재 대상이 될 만큼 큰 사건들을 냈다. 중국 공상은행 미국 지점(ICBC Financial Services) 공격으로 미국 국채 시장 결제가 흔들렸고, 영국 Royal Mail의 국제 배송이 마비됐으며, Boeing·Continental·항공우주 공급망이 연달아 표적이 됐다. 2024년 2월 영국 국가범죄청(NCA)이 주도한 Operation Cronos가 다크웹 인프라를 압수하고 LockBit 3.0 복호화 도구를 무료 배포하면서 한 번 꺾이는 듯했다. 그러나 조직은 곧 재건을 선언했고, 2025년 5월에는 LockBit 인프라 자체가 해킹당해 내부 자료가 유출되는 굴욕을 겪었다. 같은 해 9월 LockBit 5.0이 등장해 Windows·Linux·ESXi용 페이로드를 갖춘 멀티플랫폼 조직으로 돌아왔다.

시기	사건	의미
2019.09	.abcd 최초 관측	LockBit의 전신
2020.01	러시아어 포럼에 LockBit 등장	RaaS 브랜드화
2021.06	LockBit 2.0 (Red)	StealBit·이중 갈취·고속 암호화
2021.10	Linux-ESXi Locker 1.0	가상화 인프라 표적
2022.03–06	LockBit 3.0 (Black)	버그바운티·개인화 협박
2022.09	빌더 유출	변종 생태계의 시작
2023.11	ICBC FS·Boeing 공격	금융·공급망 충격
2024.02	Operation Cronos	인프라 압수·무료 복호화 도구
2024.05	Khoroshev 기소·제재	수배금 1,000만 달러
2025.09	LockBit 5.0	Windows/Linux/ESXi 멀티플랫폼

2. 감염·전파 경로 — '문을 여는 사람'과 '방을 터는 사람'의 분업

LockBit 본체는 스스로 인터넷을 기어다니는 웜이 아니다. 대신 제휴사가 이미 뚫어 놓은 문을 통해 들어간다. 그래서 감염 경로를 이해하려면 '악성코드의 전파'가 아니라 초기 접근(initial access) 시장을 봐야 한다.

• 노출된 RDP(3389) 무차별 대입 — 가장 고전적이고 여전히 유효한 경로. 약한 로컬 관리자 계정, 재사용 비밀번호, 기본 포트 그대로 열린 서버가 표적이 된다.
• VPN·방화벽 자격증명 — 초기 접근 브로커(IAB)가 판매하는 계정, 피싱으로 탈취한 자격증명, 유출된 자격증명 재사용. Fortinet SSL VPN의 경로 순회 취약점(CVE-2018-13379)은 LockBit 계열에서 반복적으로 악용된 대표 사례다.
• 공개 서비스 취약점 — 2023년 말에는 Citrix NetScaler의 세션 토큰 탈취 취약점(Citrix Bleed, CVE-2023-4966)이 제휴사들의 대량 침투에 쓰였다. 패치가 늦은 경계 장비 하나가 수백 개 조직의 입구가 됐다.
• 피싱·악성 첨부 — 매크로 문서, 압축 파일, 악성 링크. 사람을 속여 실행하게 만드는 경로는 여전히 유효하다.
• 내부자 — Accenture 사건에서는 내부 협력 가능성이 제기됐다. 계정 권한을 가진 사람이 가장 빠른 길이다.

침투 후에는 '터널을 넓히는' 단계가 이어진다. 자격증명 탈취에는 Mimikatz와 LSASS 메모리 덤프가 쓰이고, 네트워크 구조 파악에는 Advanced Port Scanner 같은 스캐너가 동원된다. 횡적 이동은 PsExec, SMB 공유, 손상된 그룹정책(GPO), Cobalt Strike 비콘으로 이뤄진다. 원격 제어·C2에는 AnyDesk, Atera RMM, ScreenConnect, TeamViewer 같은 정상 원격관리 도구가 악용된다. 이 도구들은 백신이 '업무용 프로그램'으로 분류하기 쉬워 탐지를 피한다.

암호화 직전에는 백업과 흔적을 먼저 정리한다. 섀도 복사본 삭제(vssadmin delete shadows), 복구 기능 비활성화(bcdedit recoveryenabled No), 이벤트 로그 삭제(wevtutil cl), 휴지통 비우기, 백업·DB 서비스 중지가 그것이다. 즉 LockBit의 공격 체인은 "들어온다 → 권한을 넓힌다 → 백업을 지운다 → 훔친다 → 잠근다"의 5단 구조로 요약할 수 있다.

3. 동작 원리 상세 — 파일 하나에 열쇠 하나, 열쇠는 RSA로 봉인

3.1 실행 체인

1. 로더 실행 — 피싱 첨부, PsExec 원격 실행, GPO 배포, 스케줄드 태스크 등으로 본체가 실행된다. 명령줄 인자로 암호화 모드·비밀번호·경로·확산 옵션을 받는다.
2. 권한 상승·방어 무력화 — 관리자 권한을 확보하고, 보안 제품·백업 에이전트를 중지시키거나 언로드한다. Process Hacker·GMER 같은 도구로 분석 환경을 점검하기도 한다.
3. 백업 파괴 — 섀도 복사본과 복구 지점을 지우고, 백업 서비스와 DB 서비스를 멈춘다. 이 단계가 복구 시간을 몇 배로 늘린다.
4. 표적 열거 — 로컬 디스크와 네트워크 공유를 훑어 문서·DB·가상디스크 파일을 고른다. 파일 잠금을 피하기 위해 Windows Restart Manager API로 해당 파일을 점유한 프로세스를 찾아 종료시키는 기법도 사용된다.
5. 유출(선택) — StealBit류 도구로 데이터를 청크 단위로 외부에 전송하고 매니페스트를 남긴다. 협박의 '두 번째 카드'를 먼저 확보하는 단계다.
6. 암호화 — 파일마다 새 AES 키를 생성해 앞부분을 암호화하고, 그 키를 내장 RSA 공개키로 봉인해 파일 끝에 붙인다.
7. 협박 표면화 — 확장자 변경, 랜섬노트 생성, 바탕화면·아이콘 교체, 프린터 출력, 유출 사이트 등록.
8. 협상 — 다크웹 협상 채팅에서 금액·기한·데이터 삭제 약속을 협의한다. 실제로는 돈을 받아도 데이터를 지우지 않은 사례가 법집행 압수 자료에서 확인됐다.

3.2 암호화 구조 — 왜 '열쇠를 봉인'하는가

LockBit 계열은 하이브리드 암호화를 쓴다. 대칭키(AES)는 빠르지만 키를 안전하게 전달하기 어렵고, 공개키(RSA)는 안전하지만 느리다. 그래서 파일마다 AES 키를 새로 만들어 데이터를 암호화하고, 그 AES 키만 RSA 공개키로 감싼다. 공개키는 악성코드 안에 들어 있으므로 공격자는 개인키 없이도 암호화할 수 있지만, 피해자는 개인키 없이는 어떤 파일도 복구할 수 없다. 파일마다 키가 다르므로 일부 파일의 키가 노출돼도 전체가 무너지지 않는다.

┌─────────────────────────────────────────────────────────────┐
│  파일 F ──► AES-256 키 K_F (파일마다 새로 생성)              │
│              │                                              │
│              ├─► F의 앞부분(수 KB)만 AES로 암호화  ──► C_F  │
│              │                                              │
│              └─► K_F를 내장 RSA-2048 공개키로 봉인 ──► E(K_F)│
│                                                             │
│  저장 형식: [marker][nonce][C_F][E(K_F)] + [암호화 안 한 나머지] │
└─────────────────────────────────────────────────────────────┘
  복구 조건: RSA 개인키 보유 (피해자에게는 없음)
  속도 비결: 파일 전체가 아니라 앞부분만 암호화 + 다중 스레드

'부분 암호화'는 성능과 탐지 회피를 동시에 노린 설계다. 수 GB짜리 DB 파일을 전부 암호화하면 시간이 오래 걸리고 I/O 급증으로 EDR에 걸리기 쉽다. 앞부분 수 KB만 잠가도 파일은 열리지 않고, 사용자 입장에서는 '전부 잠겼다'고 느낀다. 공개 분석에서는 파일 종류·크기에 따라 암호화 범위를 달리하는 최적화가 보고됐다.

3.3 StealBit과 이중 갈취 — '잠그기 전에 훔친다'

LockBit 2.0부터 기본 탑재된 StealBit은 표적 네트워크 안에서 파일을 모아 외부로 빼내는 전용 도구다. 암호화는 '가용성'을 인질로 잡고, 유출은 '기밀성'을 인질로 잡는다. 피해 조직이 백업으로 시스템을 살려도, 유출된 데이터가 공개될 위험은 남는다. 이 구조가 몸값 지불률을 끌어올렸고, 다른 랜섬웨어 조직들이 너도나도 따라 했다.

유출 사이트는 단순한 게시판이 아니라 평판·압박 인프라다. 피해 조직명, 유출량, 카운트다운, 일부 샘플 파일을 공개해 "돈을 안 내면 다음은 전체 공개"라는 신호를 보낸다. 협상 채팅에서는 기한 연장과 금액 할인을 반복하며 심리전을 건다. 병원을 공격했다가 여론이 나빠지자 사과하고 무료 복호화 도구를 준 사례(SickKids)는 이 '평판 관리'가 범죄 조직에도 작동한다는 것을 보여준다.

3.4 크로스 플랫폼 — ESXi와 LockBit 5.0

2021년 10월의 Linux-ESXi Locker는 랜섬웨어의 표적이 PC에서 가상화 호스트로 옮겨가는 분기점이었다. ESXi 호스트를 잠그면 그 위의 수십~수백 개 가상머신이 한꺼번에 멈춘다. 백업 VM까지 같은 스토리지에 있으면 복구가 사실상 불가능해진다. 2025년 9월의 LockBit 5.0은 Windows·Linux·ESXi용 페이로드를 각각 갖추고, 로그 삭제·ETW 패칭·난독화를 강화했으며 XChaCha20 + Curve25519 암호화 루틴을 도입한 것으로 분석됐다. 이는 2024년 압수 이후에도 개발이 멈추지 않았음을 보여준다.

3.5 왜 '산업'이 됐나 — 빌더 유출의 장기 효과

2022년 9월 유출된 LockBit 3.0 빌더는 이후 생태계의 '공통 조상'이 됐다. 2025년 발견된 SuperBlack은 LockBit Black 코드를 기반으로 브랜딩을 지우고, 랜섬노트를 바꾸고, 자체 유출 모듈을 붙인 변종이다. 법집행이 LockBit 인프라를 압수한 뒤에도 유출된 빌더를 가진 범죄자들은 계속 공격을 이어갔고, 일부는 Akira·RansomHub 같은 경쟁 조직으로 이동했다. 한 조직을 없애도 도구가 남으면 범죄는 계속된다는 것이 이 사건의 가장 중요한 교훈이다.

4. 피해 규모/영향 — 숫자로 보는 LockBit

지표	수치	출처/기준
미국 내 공격 건수	약 1,700건	2020.01–2023.05, 미 정부 합동 성명
미국 내 지불된 몸값	약 9,100만 달러	같은 기간
세계 랜섬웨어 사건 점유율	약 44%	2023년 초 추정
확인된 제휴사	188명 이상	Operation Cronos 압수 자료
압수된 비트코인 주소	30,000개 / 2,200 BTC(약 1.12억 달러)	Operation Cronos
2024년 FBI 집계	미국 핵심 인프라 대상 가장 많이 신고된 랜섬웨어	FBI 2024 Internet Crime Report
Cisco Talos 점유율	전체 공격의 약 16%	2024년 분석

개별 사건의 파급력은 숫자보다 크다. ICBC Financial Services(2023.11) 공격은 미국 국채 시장의 결제 흐름을 흔들어 당국이 수동 결제를 검토하게 만들었다. Royal Mail(2023.1)은 해외 배송이 수 주간 막혔고, Boeing(2023.11)은 부품·유통 부문이 영향을 받았다. Continental은 5,000만 유로, TSMC는 7,000만 달러의 몸값 요구를 받았고, 나고야 항만(2023.7)은 컨테이너 하역이 중단됐다. 자그레브 대학병원(2024.6)은 "종이와 연필로 50년 전으로 돌아갔다"고 표현할 정도로 진료가 마비됐다. 병원·학교·지방정부처럼 다운타임이 생명·안전과 직결되는 조직이 반복적으로 표적이 됐다.

5. PoC — 동작 원리를 '우리 실습실'에서 재현하기

PoC 1 — 부분 암호화 + RSA 키 봉인 + 복원 왕복

파일마다 AES-256 키를 만들고 앞 4KB만 암호화한 뒤, 그 키를 RSA-2048 공개키로 봉인합니다. 개인키가 있어야만 원본 복원이 가능하다는 것을 왕복 검증으로 보여줍니다.

# lab_partial_crypto.py — 로컬 샌드박스 전용 (발췌)
from pathlib import Path
from cryptography.hazmat.primitives.ciphers.aead import AESGCM
from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import hashes
import hashlib, secrets

LAB  = Path("/tmp/lockbit_lab/victim")
HEAD = 4096          # 실제 '부분 암호화'의 축소 모델
MARK = b"MOCKLB1"

def encrypt_file(path, key):
    data = path.read_bytes()
    head, tail = data[:HEAD], data[HEAD:]
    nonce = secrets.token_bytes(12)
    ct = AESGCM(key).encrypt(nonce, head, None)
    path.write_bytes(MARK + nonce + ct + tail)

def decrypt_file(path, key):
    blob  = path.read_bytes()
    nonce = blob[len(MARK):len(MARK) + 12]
    ct    = blob[len(MARK) + 12:]
    enc   = HEAD + 16                      # GCM 인증 태그 포함
    return AESGCM(key).decrypt(nonce, ct[:enc], None) + ct[enc:]

priv = rsa.generate_private_key(public_exponent=65537, key_size=2048)
pub  = priv.public_key()
sealed = {}
for p in sorted(LAB.iterdir()):
    key = AESGCM.generate_key(bit_length=256)
    sealed[p.name] = pub.encrypt(key, padding.OAEP(
        mgf=padding.MGF1(hashes.SHA256()),
        algorithm=hashes.SHA256(), label=None))
    encrypt_file(p, key)
    print(f"[enc] {p.name:14s} {p.stat().st_size:6d}B  sealed={len(sealed[p.name])}B")

# 공개키만으로는 AES 키를 풀 수 없다 → 개인키 없이는 복구 불가
# (개인키 보유자인 '운영자'만 복원 가능)
for p in sorted(LAB.iterdir()):
    key = priv.decrypt(sealed[p.name], padding.OAEP(
        mgf=padding.MGF1(hashes.SHA256()),
        algorithm=hashes.SHA256(), label=None))
    p.write_bytes(decrypt_file(p, key))
    print(f"[dec] {p.name:14s} restored=True")

실행 결과 (실제 로컬 실행):

[enc] db_dump.sql    size= 12035  sealed_key=256B
[enc] notes.txt      size=  9035  sealed_key=256B
[enc] report.docx    size=  5035  sealed_key=256B
[key ] 공개키 객체에는 decrypt()가 없다 → 봉인 해제 불가 (= 개인키 없이는 복구 불가)
[note] 가상의 랜섬노트: 'lockbit_readme.txt' (여기서는 생성하지 않음)
[dec] db_dump.sql    restored=True sha256=14fc7d0614ee4c4d…
[dec] notes.txt      restored=True sha256=78bd367073786b59…
[dec] report.docx    restored=True sha256=0786f809f430e419…
[done] 부분 암호화 → 키 봉인 → 개인키 복원 왕복 검증 완료 (실습실 밖 실행 금지)

핵심은 암호문 옆에 붙은 봉인 키입니다. 피해자는 암호문과 봉인 키를 둘 다 갖고 있지만, 봉인을 풀 RSA 개인키가 없습니다. 실제 사고에서 복구가 가능한 경우는 ① 공격자가 개인키를 넘겨준 경우, ② 법집행이 인프라에서 키를 확보한 경우(Operation Cronos), ③ 구현 결함이나 키 재사용으로 키가 노출된 경우뿐입니다.

PoC 2 — RaaS '빌더 설정'이 노출하는 것들

빌더는 코드를 새로 짜는 도구가 아니라, 이미 만들어진 암호화 엔진에 설정값을 주입해 변종을 찍어내는 도구입니다. 아래는 공개 분석에서 언급된 항목을 축소 재구성한 읽기 전용 검증기입니다.

# lab_builder_config.py — 설정 검증만 수행 (암호화/확산/삭제 미구현)
CONFIG = {
    "extension": ".lockbit",
    "ransom_note": "lockbit_readme.txt",
    "wallpaper": True,
    "self_delete": True,
    "encrypt_mode": "partial",      # full | partial | fast
    "partial_bytes": 4096,
    "threads": 8,
    "spread_gpo": False,            # 그룹정책을 통한 도메인 확산
    "kill_services": ["backup", "sql"],
    "exfil": {"tool": "stealbit_like", "chunk_mb": 32},
}

DANGEROUS = {
    "spread_gpo":    "도메인 전체로 확산 (GPO)",
    "self_delete":   "실행 흔적 자기 삭제",
    "kill_services": "백업/DB 서비스 중지 → 복구 지연",
    "wallpaper":     "바탕화면 협박 메시지",
}

for k in ("extension", "ransom_note", "encrypt_mode", "partial_bytes", "threads"):
    print(f"  {k:14s}: {CONFIG.get(k)}")
print("  탐지 회피/확산 스위치:")
for k, why in DANGEROUS.items():
    if CONFIG.get(k):
        print(f"    - {k:14s} → {why}")

== 빌더 설정 dry-run ==
  extension     : .lockbit
  ransom_note   : lockbit_readme.txt
  encrypt_mode  : partial
  partial_bytes : 4096
  threads       : 8
  탐지 회피/확산 스위치:
    - self_delete    → 실행 흔적 자기 삭제
    - kill_services  → 백업/DB 서비스 중지 → 복구 지연
    - wallpaper      → 바탕화면 협박 메시지
[!] 이 스크립트는 설정을 '읽기'만 한다. 암호화·확산·삭제 동작은 구현하지 않음.

이 작은 설정 파일이 LockBit의 '제품화'를 상징합니다. 확장자·노트 문구·암호화 범위·스레드 수·GPO 확산 여부·자기 삭제 여부를 바꾸면 같은 엔진이 전혀 다른 브랜드의 랜섬웨어가 됩니다. 2022년 빌더 유출이 위험했던 이유도 이것입니다. 도구 하나가 수십 개의 범죄 브랜드로 복제될 수 있기 때문입니다.

PoC 3 — StealBit류 '청크 분할 + 매니페스트' 유출 준비

이중 갈취의 첫 단계인 유출 스테이징을 모사합니다. 네트워크 전송은 하지 않고, 로컬에 조각과 해시 목록만 만듭니다. 실제 사고에서는 이 매니페스트가 "무엇을 얼마나 훔쳤는지"를 협상 테이블에 올리는 증거가 됩니다.

# lab_exfil_manifest.py — 전송 단계 없음 (dry-run)
from pathlib import Path
import hashlib, json

SRC, STAGE = Path("/tmp/lockbit_lab/victim"), Path("/tmp/lockbit_lab/stage")
CHUNK = 4 * 1024        # 실제 도구는 수 MB~수십 MB 단위

manifest = []
for f in sorted(SRC.glob("*")):
    data  = f.read_bytes()
    parts = [data[i:i + CHUNK] for i in range(0, len(data), CHUNK)]
    for idx, part in enumerate(parts):
        name = f"{f.name}.part{idx:03d}"
        (STAGE / name).write_bytes(part)
        manifest.append({"file": f.name, "part": name,
                         "bytes": len(part),
                         "sha256": hashlib.sha256(part).hexdigest()[:16]})
    print(f"[stage] {f.name:14s} {len(data):6d}B → {len(parts)} chunk(s)")

(STAGE / "manifest.json").write_text(json.dumps(manifest, indent=2))
print(f"[stage] manifest.json: {len(manifest)}개 조각")
print("[dry-run] 전송 단계 생략 — 실제 유출은 수행하지 않는다.")

[stage] db_dump.sql     12000B → 3 chunk(s)
[stage] notes.txt        9000B → 3 chunk(s)
[stage] report.docx      5000B → 2 chunk(s)
[stage] manifest.json: 8개 조각, 총 26000B
[dry-run] 전송 단계 생략 — 실제 유출은 수행하지 않는다.

실제 StealBit은 압축·분할·재시도·병렬 전송을 자동화하고, 전송이 끝나면 매니페스트를 협상 서버에 올린다. 방어자 입장에서 중요한 것은 대량 업로드의 흔적입니다. 평소보다 큰 아웃바운드 전송, 늦은 시간의 클라우드 스토리지 업로드, RMM 도구의 비정상 사용은 암호화 이전에 잡을 수 있는 마지막 신호다.

PoC 4 — 방어: 행위 상관 탐지 (모의 로그)

LockBit은 단일 파일 시그니처보다 행위의 순서로 잡는 것이 효과적입니다. 백업 무력화 → 복구 비활성화 → 로그 삭제 → 대량 확장자 변경 → 랜섬노트 생성이 짧은 시간에 이어지면 점수를 누적해 경보합니다.

# lab_detect_lockbit.py — 모의 EDR 이벤트에 대한 상관 탐지 (발췌)
EVENTS = [
    {"t": "...21:01:02", "host": "LAB-FS01", "event": "process",
     "cmd": r"C:\Windows\System32\vssadmin.exe delete shadows /all /quiet"},
    {"t": "...21:01:07", "host": "LAB-FS01", "event": "process",
     "cmd": r"bcdedit /set {default} recoveryenabled No"},
    {"t": "...21:01:12", "host": "LAB-FS01", "event": "process",
     "cmd": r"wevtutil cl System"},
    {"t": "...21:01:30", "host": "LAB-FS01", "event": "file_rename",
     "count": 412, "ext": ".lockbit"},
    {"t": "...21:01:33", "host": "LAB-FS01", "event": "file_create",
     "path": r"D:\share\lockbit_readme.txt"},
    {"t": "...21:02:10", "host": "LAB-DC01", "event": "process",
     "cmd": r"PsExec.exe \\LAB-FS02 -s cmd.exe /c lockbit.exe"},
]

RULES = [
    ("백업 무력화",     lambda e: "vssadmin" in e.get("cmd","") and "delete shadows" in e.get("cmd",""), 40),
    ("복구 비활성화",   lambda e: "recoveryenabled" in e.get("cmd","").lower(), 25),
    ("로그 삭제",       lambda e: "wevtutil cl" in e.get("cmd","").lower(), 20),
    ("대량 확장자 변경", lambda e: e.get("event")=="file_rename" and e.get("count",0) > 200, 35),
    ("랜섬노트 생성",   lambda e: "lockbit_readme" in e.get("path","").lower(), 40),
    ("원격 실행(PsExec)", lambda e: "psexec" in e.get("cmd","").lower(), 20),
]

score = 0
for e in EVENTS:
    for name, test, weight in RULES:
        if test(e):
            print(f"[{e['t']}] {e['host']:9s} {name} (+{weight})")
            score += weight
print("CRITICAL — 즉시 격리" if score >= 80 else "HIGH" if score >= 40 else "LOW")

== LockBit 행위 상관 탐지 (모의 로그) ==
  [2026-10-17T21:01:02] LAB-FS01  백업 무력화 (+40)
  [2026-10-17T21:01:07] LAB-FS01  복구 비활성화 (+25)
  [2026-10-17T21:01:12] LAB-FS01  로그 삭제 (+20)
  [2026-10-17T21:01:30] LAB-FS01  대량 확장자 변경 (+35)
  [2026-10-17T21:01:33] LAB-FS01  랜섬노트 생성 (+40)
  [2026-10-17T21:02:10] LAB-DC01  원격 실행(PsExec) (+20)

  누적 점수: 180 → CRITICAL — 즉시 격리
  대응: 호스트 네트워크 격리 → 백업 오프라인 확인 → 포렌식 이미지 → 복구는 검증된 백업에서

실무에서는 이 로직을 SIEM 상관 규칙이나 EDR 행위 룰로 옮깁니다. 중요한 것은 개별 이벤트가 아니라 시간 창(window)과 호스트 간 연쇄입니다. vssadmin 한 번은 정상 관리 작업일 수 있지만, 30초 뒤 .lockbit 대량 변경이 뒤따르면 이야기가 달라집니다.

6. Operation Cronos — 압수, 기소, 그리고 '재건'

2024년 2월 19–20일, 영국 NCA를 중심으로 유럽연합 조정 아래 11개국 법집행 기관이 LockBit의 다크웹 인프라를 장악했다. 이 작전의 이름이 Operation Cronos다. 결과는 상징적이면서 실질적이었다.

• 서버·소스코드·협상 인프라 압수, 다크웹 사이트를 법집행 메시지로 교체
• 피해자 복구용 LockBit 3.0 복호화 도구를 확보해 No More Ransom을 통해 무료 배포
• 제휴사 188명 이상, 비트코인 주소 30,000개(약 2,200 BTC, 1억 1,200만 달러 상당) 확인
• 우크라이나·폴란드·미국에서 체포, 러시아 국적자 2명 지명
• 2024년 5월, 관리자·개발자로 지목된 Dmitry Khoroshev 기소·제재, 수배 보상금 1,000만 달러
• 2025년, 개발자 Rostislav Panev 미국으로 인도

그러나 작전은 '끝'이 아니었다. 압수 직후에도 LockBit 암호화는 계속 돌았고, 조직은 새 사이트를 열어 FBI·병원·지방정부를 피해자 목록에 올리며 재건을 과시했다. 2025년 5월에는 LockBit 인프라가 다시 해킹당해 내부 채팅·지갑 주소·제휴사 정보가 유출됐고, 9월에는 5.0이 등장했다. 법집행은 조직을 크게 흔들었지만, 유출된 빌더와 범죄 경제는 남았다. 이 사건은 "테이크다운은 필요조건이지 충분조건이 아니다"라는 것을 보여준다.

7. 방어 방법/교훈 — '문'과 '백업'을 동시에 지켜라

7.1 초기 접근 차단

• RDP를 인터넷에 노출하지 않는다. 불가피하면 VPN·제로트러스트 게이트웨이 뒤에 두고, MFA·계정 잠금·출처 IP 제한을 건다.
• 경계 장비를 최신 상태로 유지한다. Fortinet CVE-2018-13379, Citrix Bleed CVE-2023-4966처럼 '한 번 뚫리면 대량 침투'로 이어지는 취약점은 패치가 곧 방어다. CISA KEV 카탈로그를 패치 우선순위의 기준으로 삼는다.
• VPN·관리자 계정에 피싱 저항형 MFA를 적용하고, 유출된 자격증명 재사용을 차단한다.
• 초기 접근 브로커(IAB)의 표적이 되는 '의미 없는 계정'을 정리한다. 퇴사자 계정, 테스트 계정, 공유 계정은 공격자의 첫 발판이다.

7.2 권한·횡적 이동 억제

• 티어링(tiered administration): 도메인 관리자 계정을 업무용 PC에서 쓰지 않는다. 관리자 계정은 전용 점프 호스트에서만 사용한다.
• LSASS 보호·Credential Guard로 Mimikatz류 자격증명 덤프를 막고, LAPS로 로컬 관리자 비밀번호를 호스트마다 다르게 관리한다.
• PsExec·RMM 도구 통제: 업무상 필요한 도구를 화이트리스트로 관리하고, 도메인 컨트롤러에서의 원격 실행을 경보한다. AnyDesk·Atera·ScreenConnect의 비정상 설치·실행도 탐지 대상이다.
• SMB 세그멘테이션·SMB signing: 파일 공유를 업무 단위로 분리해 랜섬웨어의 확산 반경을 줄인다.

7.3 백업 — 마지막 방어선을 '지워지지 않게'

• 3-2-1-1-0: 복사본 3개, 매체 2종, 오프사이트 1개, 오프라인/불변(immutable) 1개, 복구 검증 오류 0.
• 백업 자격증명 분리: 운영 계정으로 백업 저장소를 삭제할 수 없게 한다. 백업 서버는 별도 도메인·별도 관리 경로에 둔다.
• 복구 훈련: 실제로 복원해 보지 않은 백업은 백업이 아니다. 분기별로 '랜섬웨어 시나리오' 복구 훈련을 한다.
• 섀도 복사본·복구 파티션 보호: vssadmin delete shadows, bcdedit recoveryenabled No, wevtutil cl 실행을 실시간 경보한다.

7.4 탐지·대응

• 행위 기반 탐지: 짧은 시간 내 백업 무력화 + 대량 파일 변경 + 랜섬노트 생성의 조합을 상관 규칙으로 만든다(PoC 4).
• 유출 조기 경보: 대량 아웃바운드 전송, 클라우드 스토리지 업로드, RMM 도구의 야간 사용을 모니터링한다. 암호화보다 유출이 먼저 일어난다.
• 인시던트 대응: 감염 호스트를 네트워크에서 격리하고, 메모리·디스크 이미지를 확보한다. 성급한 재부팅은 메모리 증거와 복구 단서를 지운다.
• 복호화 도구 활용: No More Ransom의 LockBit 3.0 복호화 도구처럼 법집행이 확보한 키 기반 도구를 확인한다. 몸값 지불은 재공격을 부추기고 제재 위험도 있다.
• 협상·신고: 지불 여부와 무관하게 수사기관·CISA·관할 당국에 신고해 침해 지표를 공유한다.

7.5 교훈 — LockBit이 남긴 것

• 랜섬웨어는 제품이다. 버그바운티·제휴사 프로그램·고객 지원까지 갖춘 서비스 산업으로 진화했다. 방어도 '악성코드 하나'가 아니라 범죄 공급망을 상대로 설계해야 한다.
• 빌더가 유출되면 조직을 잡아도 끝나지 않는다. 코드·도구의 확산을 막는 것이 조직 검거만큼 중요하다.
• 백업 파괴가 공격의 본체다. 암호화 자체보다 '복구 불가능하게 만드는 것'이 목표다. 백업을 지키지 못하면 몸값 협상밖에 남지 않는다.
• 경계 장비의 패치 지연은 대량 침해로 직결된다. Citrix Bleed·Fortinet 사례는 '한 곳의 미패치'가 수백 곳의 입구가 됨을 보여준다.
• 법집행은 결정적이지만 유일한 해법은 아니다. Cronos는 피해자에게 무료 복호화 도구를 줬지만, 범죄 생태계는 재편됐다. 예방·탐지·복구 역량이 기본이고, 법집행은 그 위에 얹히는 것이다.

출처 및 함께 읽기

• CISA — #StopRansomware: LockBit 3.0 (AA23-165A) — 제휴사 TTP·ATT&CK 매핑·완화책
• CISA StopRansomware — 랜섬웨어 대응 가이드
• No More Ransom — 복호화 도구 (LockBit 3.0 포함)
• Wikipedia — LockBit — 연표·사건·법집행 경과
• 함께 읽기: WannaCry · NotPetya · MOVEit/Cl0p · CryptoLocker

← 목록으로 돌아가기