Mac용 랜섬웨어 방어: 암호화가 시작될 때 막기

Mac에서 랜섬웨어가 하는 일

랜섬웨어는 macOS를 뚫을 필요가 없습니다. 사용자 권한으로 실행되며 사용자가 이미 가진 파일 접근 권한이면 충분합니다. 문서를 하나씩 열어 암호화된 사본으로 덮어쓰고, 파일 이름을 바꾸는 경우도 많으며(report.docx가 report.docx.locked가 됨), 폴더마다 HOW_TO_DECRYPT.txt 같은 이름의 파일로 몸값 요구 메모를 남깁니다.

새로운 랜섬웨어 프로그램에는 아직 시그니처가 없으므로, 알려진 악성 코드와 파일을 비교하는 백신은 첫날에는 놓칠 수 있습니다. 모든 랜섬웨어의 공통점은 파일에 하는 행동이며, Ransomware Protection이 감시하는 것이 바로 그것입니다.

Tidy My Mac이 랜섬웨어를 알아내는 방법

파일 하나가 바뀌었다고 해서 무엇이 증명되지는 않습니다. 파일 이름을 바꾸고, 앱이 저장하고, 백업이 쓰는 일은 항상 일어납니다. Ransomware Protection은 세 가지 징후를 살피고, 이것이 몇 초 사이에 많이 나타나면 조치합니다.

이름이 바뀐 파일 하나는 그저 특이한 일입니다. 열 개의 파일이 10초 안에 이런 징후를 보이면 어떤 프로그램이 폴더를 훑고 있는 것이며, 그때 방어 기능이 개입합니다.

또한 문서 사이에 숨겨진 미끼 파일을 몇 개 둡니다. 사용자가 쓰는 어떤 것도 이 파일을 열지 않으므로, 이를 다시 쓰는 프로그램은 거의 틀림없이 랜섬웨어이며, 방어 기능은 그것만으로 조치합니다.

프로그램을 찾아 멈추기

macOS는 앱에 어떤 파일이 바뀌었는지는 알려 주지만 누가 바꿨는지는 알려 주지 않습니다. 그래서 경보가 울리면 Tidy My Mac은 그 순간 실행 중인 프로그램을 살펴봅니다. 각 프로그램이 디스크에 얼마나 쓰고 있는지, 폴더의 어떤 파일을 열고 있는지, 어떤 미끼 파일을 건드렸는지를 봅니다. 쓰고 있는 프로그램은 함께 시작한 자신의 복사본과 함께 중지됩니다.

일부 프로그램은 절대 중지하지 않습니다. 없으면 Mac이 제대로 작동하지 않기 때문입니다. Finder, Spotlight, iCloud, Time Machine과 macOS 자체의 나머지 코드가 그렇습니다. 명령줄 셸과 openssl 같은 도구도 Apple의 것이지만 랜섬웨어 스크립트가 이를 이용해 실행되므로 예외 없이 감시합니다.

알림은 어떤 프로그램이 중지되었는지, 어떤 파일을 바꿨는지 알려 줍니다. 신뢰하는 도구, 예를 들어 일부러 많은 파일을 다시 쓰는 암호화, 동기화, 사진 처리 도구라면 Always Allow를 선택하세요. 허용한 프로그램은 개발자의 서명과 위치로 기억되므로 업데이트는 계속 허용되지만, 같은 위치에 놓인 다른 프로그램은 허용되지 않습니다. 서명되지 않은 프로그램은 코드의 지문으로 기억되며, 이는 어떤 수정에도 달라집니다.

백신과 함께 작동

Antivirus와 Ransomware Protection은 서로 다른 것을 잡아냅니다. 백신은 내려받은 파일을 검사하고 알려진 악성 코드를 실행 전에 인식합니다. Ransomware Protection은 행동을 감시하므로 아직 아무도 본 적 없는 프로그램도 시작된 뒤에 잡아낼 수 있습니다. 둘이 함께 있으면 무언가를 열기 직전과 직후를 모두 지켜 줍니다.

Mac에 남는 것

Ransomware Protection이 하는 모든 일은 Mac에서 이루어집니다. 파일을 감시하고, 어떤 프로그램이 쓰고 있는지 읽고, 하나를 멈추는 것까지 그렇습니다. 파일이나 프로그램에 관한 어떤 정보도 저희에게 전송되지 않습니다. 앱이 보내는 모든 요청은 개인정보 처리방침에 나와 있습니다.

전체 디스크 접근 권한

macOS는 데스크탑, 문서, 다운로드를 각각 별도의 권한으로 보호합니다. Ransomware Protection이 이를 감시하려면 전체 디스크 접근 권한이 필요하며, 이는 Tidy My Mac의 나머지 기능이 처음 실행할 때 요청하는 것과 같은 단일 권한입니다.