SomeNotes247

CVE-2020-0609, 0610 1.14일 마이크로소프트는 윈도우 서버 제품군에 있는 원격 데스크톱 게이트웨이(RD Gateway)의 취약점 3개를 패치했다. Windows Server 2012, 2016, 2019가 해당된다. 0609와 0610은 원격 코드 실행 취약점이다. 해커는 RD Gateway에 RDP(Remote Desktop Protocol)로 접속해, 특별하게 조작된 요청을 보내는 것만으로 임의의 코드를 실행할 수 있다. 이는 시스템의 완전한 제어로 이어지는데, 대표적으로 프로그램 설치, 데이터 보기 및 수정, 계정 생성 등이 가능하다. 이 해킹은 인증 단계 이전에 이루어지기 때문에, 해커는 로그인 자격증명을 전혀 필요로 하지 않는다. 또한 피해자 쪽의 어떠한 상호작용도 필요 없다. CVE-2020-0612 0612는 DOS(Denial of Service) 취약점이다. 악용 방법은 0609와 같이 특수한 요청을 보내기만 하면 된다. 악용에 성공하면 RD Gateway는 먹통이 된다. 해커에겐 DOS 공격용 프로그램이 필요하다. Remote Desktop Gateway Remote Desktop Gateway(RD Gateway, RDG)는 Windows Server 제품군에 있는 기능이다. VPN과 같은 역할을 하기 때문에, RD Gateway를 사용하면 별도로 VPN을 구성할 필요가 없다. RD Gateway는 외부 네트워크에 있는 사용자가, 마이크로소프트 애저 클라우드 서비스에 호스팅된 데스크탑과 응용 프로그램에 접근할 수 있는 관문이다. 통신은 SSL로 암호화된다. 참고 자료 CVE-2020-0609 | Windows Remote Desktop Gateway (RD Gateway) Remote Code Execution Vulnerability CVE-2020-0610 | Windows Remote Desktop Gateway (RD Gateway) Remote Code Execution Vu...

CVE-2019-0787 근래 윈도우의 자체 원격제어 기능인 원격 데스크톱을 이용한 해킹이 증가 추세이다. 그리고 주로 서버(server)를 표적으로, 취약한 암호를 공략하는 브루트포스 공격이 대부분이다. 참고로 원격 데스크톱과 관련해 여러 용어가 혼란스럽게 쓰인다. RDC(Remote Desktop Connection), RDS(Remote Desktop Service), RDP(Remote Desktop Protocol) 등이 그것이다. RDC는 원격 데스크톱용 앱을, RDS는 원격 데스크톱 기능 자체를 말하는 것이고, RDP는 원격 데스크톱 연결에 사용되는 통신 프로토콜이다. 게다가 BlueKeep이라 불리는, 원격 데스크톱 서버에 대한 자동화된(wormable) 공격 가능성이 알려지면서, WannaCry급의 위협으로 평가됐다. 블루킵은 처음엔 구형 윈도우에만 해당하는 것으로 알려졌지만, Windows 10을 비롯한 최신 윈도우 버전 역시 유사한 취약점을 갖고 있음이 밝혀졌다(관2). Reverse RDP attack 그런데 2019.2월 거꾸로 클라이언트(client)가 표적이 될 수 있다는 것이 입증됐다. 이런 역 RDP 공격에 대한 첫 보고서에서는 오픈소스 원격제어 앱들이 취약하다는 것이 밝혀졌지만, 윈도우는 비교적 견고한 것으로 평가됐다(관1). 그러나 해킹에 100% 안전한 것은 없다. Windows Remote Desktop Client에서도 취약점이 발견됐다. MS는 2019.9.10일 정기 보안 업데이트를 통해 이와 관련된 4개의 취약점을 패치했다. CVE-2019-0787, 0788, 1290, 1291이 그것이다. 이들은 원격코드 실행 취약점이다. 해커는 원격으로 임의의 코드를 실행할 수 있다. 대표적으로 프로그램 설치, 파일 보기/편집/삭제, 계정 생성 등을 예로 들 수 있다. 클라이언트의 취약점이므로 자동화(wormable)할 수는 없다. 해커는 표적이 악성 원격 데스크톱 서버에 접속하도록 유도해야 한다....

CVE-2019-1181, 1182 8.13일 마이크로소프트는 윈도우의 원격 데스크톱 서비스(RDS)에서 발견된 원격코드 실행 취약점을 패치했다. 이는 RDS를 실행 중인 PC에 특별하게 조작된 요청을 보내는 것만으로 임의의 코드를 실행할 수 있는 아주 위험한 것이다. 피해자의 어떠한 상호작용도 필요없기 때문에, 이를 악용한 악성코드는 웜(worm, 자가증식형 악성코드)처럼 네트워크를 타고 저절로 퍼질 수 있다(wormable). BlueKeep의 변종 5월에는 Windows 7 등 구형 윈도우의 RDS에서 원격코드 실행 취약점이 발견됐으며, 블루킵이라는 별명을 얻었다(관1). 이번 취약점은 내용, 악용 방법, wormable 특성 등 여러 가지 면에서 블루킵과 비슷하다. 다만 윈도우 10을 비롯한 최신 윈도우 버전에도 해당된다는 점이 다를 뿐이다. 대응책으로 NLA 활성화가 도움이 된다는 점도 같다. 관련 자료 BlueKeep, 구식 윈도우의 원격 데스크톱 위험하다 참고 자료 Patch new wormable vulnerabilities in Remote Desktop Services (CVE-2019-1181/1182)

CVE-2019-9510 인증 우회 취약점 최근 구형 윈도우의 RDS(원격 데스크톱 서비스)에서 심각한 해킹 취약점이 발견됐다. 쉽게 악용될 수 있고 파급력도 크기 때문에, 마이크로소프트는 거듭 패치를 권장하는 등 긴장하고 있다. 그리고 NLA(Network Level Authentication)는 이를 막을 수 있는 효과적인 수단으로 추천됐다(관1). NLA는 RDP(Remote Desktop Protocol, RDS에 연결하는 수단)에 접근하기 전에, 네트워크 수준에서 자격증명(credential)을 요구하는 것이다. 그런데 Windows 10 1803 버전 이상, Windows Server 2019 등 최신 윈도우에서 NLA 사용 시, 잠금 화면(lock screen)을 우회할 수 있는 취약점이 발견됐다. 이들 버전부터 NLA의 작동 방식을 변경했기 때문이다. 윈도우의 인증 방식 자체와 관련된 것이기 때문에, 2단계 인증 등 추가 보안 조치도 소용 없다. RDP의 세션은 local 세션과 마찬가지로 잠글 수 있다. RDP session이 잠기면 잠금 화면이 표시되며, 다시 이용하려면 암호를 입력해야 한다. RDP 연결이 비정상적으로 끊기면 자동으로 이전 세션이 복구된다. 즉 다시 연결된다. 이때 취약한 버전에서는 잠금이 풀린 상태로 복구된다. 끊기기 전에 RDP 세션을 잠근 경우에도 말이다. 예를 들면 다음과 같다. 혜린이 취약한 버전을 구동하는 원격 PC(서버)에 RDP로 접속한다. 사용을 마치고 무단 접속을 방지하려고, RDP 세션을 잠궈서 잠금 화면이 표시됐다. 그리고 자신의 PC(클라이언트)를 그대로 두고 자리를 비운다. 그 틈에 근처에 있던 해커가 네트워크 연결을 비정상적으로 끊는다. 랜 케이블을 뽑든가 공유기를 끄든가 해서 말이다. 그리고 다시 네트워크를 연결한 후 혜린의 PC를 사용한다. 그러면 RDP 세션의 잠금 화면이 풀린 채로(암호를 묻지 않고) 이전 세션이 복구된다. 암호 없이 자동 재연결 MS는 이에 대해 보...

CVE-2019-0708: RDS의 취약점 Windows 7을 비롯한 구식 윈도우의 RDS(Remote Desktop Service, 원격 데스크톱 서비스)에서 치명적인 취약점이 발견됐다. Window 8, 10 등 최신 윈도우는 해당되지 않는다. BlueKeep이란 별명을 얻었다. RDS는 예전에는 터미널(Terminal Service)이라고 불렸으며, RDP(Remote Desktop Protocol)를 통해 연결된다. 원격 데스크톱은 원격 제어의 일종으로, 재택 근무나 외근 등 인터넷을 통해 컴퓨터를 사용할 수 있는 기능이다. 이 취약점은 원격 코드 실행을 가능케 한다. 해커는 RDP를 통해 특별하게 조작된 요청을 RDS에 보내기만 하면 된다. 어떠한 인증이나 사용자의 상호 작용이 필요 없다. 따라서 웜(worm, 자가 증식형 악성코드)처럼 네트워크를 통해 자동으로 퍼지는 악성코드를 만들 수 있다. 해커는 원격 데스크톱 서비스를 실행 중인 서버에서 임의의 코드를 실행할 수 있다. 원격 데스크톱 사용자의 모든 권한을 행사할 수 있다. 예들 들어 프로그램 설치, 파일을 보고 변경하고 삭제하기, 새로운 계정 만들기 등이 가능하다. WannaCry급 위력 웜에 이용될 수 있다는 점에서, 2017년의 워너크라이 랜섬웨어 대란을 상기시키는 경고가 많이 나오고 있다. WannaCry는 윈도우의 SMB 취약점을 이용해, 네트워크를 통해 급속히 퍼져나갔다. 이때도 2달 전에 패치가 나왔지만, 많은 시스템이 업데이트를 하지 않아 피해를 입었다. 근본적인 대응책은 윈도우를 업데이트하는 것이다. 마이크로소프트는 지원이 중단된 Windows XP와 Windows 2003에 대해서도 패치를 내 놨다(참3). 또한 다음과 같은 팁을 제시했다. 원격 데스크톱 기능이 필요치 않다면 아예 꺼버린다. 사용하지 않는 기능은 꺼 두는 것이 잠재적인 위험을 줄이는 좋은 방법이다. NLA(Network Level Authentication)을 활성화한다. 이것은 ...

공급망 공격 위험 미국에 있는 3개 주요 보안 회사가 해킹당한 것으로 보인다. 3월에 Fxmsp라는 해커단은 이와 같이 주장하며, 보안 프로그램의 소스 코드와 보안 회사 네트워크에 대한 접근권을 암시장에서 판매하려고 시도하고 있다. Fxmsp는 최상위권의 해커단으로, 극도로 보안된 중요 조직의 네트워크에 침투하여 자료를 빼돌리는 데 특화돼 있다. 이들이 제시한 스크린샷 등 증거와 이 분야에서 오랫동안 쌓아온 악명을 고려할 때, 이 주장은 사실일 것으로 판단됐다. 이를 밝혀낸 보고서에서는 피해 회사의 이름을 공개하지는 않았다. Fxmsp는 RDP(원격 데스크톱)와 AD(액티브 디렉토리) 서버를 즐겨 노린다. 로그인 정보와 쿠키 등 credentials를 탈취하는 봇넷을 운영하기도 한다. 보안 회사 해킹은 많은 위험을 초래한다. 보안 회사는 기밀 정보 백업, 암호 관리 등 부가 서비스를 제공하기도 한다. 고객의 이런 개인 정보가 유출될 수 있는 것이다. 보안 프로그램의 소스 코드 유출은 악성코드 탐지 회피에 이용될 수 있다. 단기간에 프로그램을 완전히 수정할 수는 없으므로, 상당 기간 이들 회사의 제품은 경쟁력을 상실할 수 있다. 가장 큰 위험은 공급망 공격에 있다. 보안 프로그램 업데이트를 통해 악성코드가 설치된다고 생각해 보라. 끔찍한 일이다. 참고 자료 Top-Tier Russian Hacking Collective Claims Breaches of Three Major Anti-Virus Companies  

Reverse RDP Attack RDP(Remote Desktop Protocol)은 원격 제어, 원격 데스크톱 등으로 불린다. 재택 근무처럼, 멀리 떨어진 PC에 접속해 그 시스템 자원과 파일을 사용해 작업하는 것이다. 이때 회사의 PC는 서버, 직원의 PC는 클라이언트가 된다. RDP는 잘 방어하지 않으면 해킹의 통로가 될 수 있다. 나 몰래 누군가가 내 PC에 접속해서 파일을 훔쳐본다고 생각해 보자, 이런 경우가 전형적인 RDP 해킹의 예이고, 따라서 보안 측면에서도 거의 RDP 서버 쪽에 초점을 맞춰왔다. 그런데 Check Point Research에서 역으로, 악성 RDP 서버에 의해 클라이언트가 해킹 당할 수 있음을 증명했다. 이것을 reverse RDP attack(역 RDP 공격)이라고 불렀다. 예를 들어, 해커가 IT 서비스 직원에게 거짓으로 자신의 PC를 점검해 달라고 요청한 후, 서비스 직원의 PC를 해킹해 악성코드를 심는 경우를 생각해 볼 수 있다. RDP를 구현하는 프로그램은 많이 있는데, 이번 연구에서는 대표적인 3개를 대상으로 취약점을 분석했다. Windows에 기본 내장된 마이크로소프트의 RDC(Remote Desktop Connection), 오픈소스인 FreeRDP와 rdesktop이다. FreeRDP와 rdesktop에서는 원격 코드 실행 취약점이 수두룩하게 발견됐다. 사실상 클라이언트를 완전히 제어할 수 있는 치명적인 것이다. 이들의 취약점은 개발자에 보고되어 패치가 나온 상태다. 클립보드 공유 주의 윈도우의 원격 데스크톱 연결은 상당히 견고했다. 이렇다 할 틈을 발견하지 못했지만, 클립보드를 통해 악성코드를 설치할 수 있는 방법을 찾아냈다. 서버의 파일을 복사하여 클라이언트로 가져올 때, 다른 파일을 임의의 경로에 저장할 수 있었다. 예를 들어, 내가 서버에서 good.txt를 복사했는데, 그 틈에 해커가 bad.exe를 내 PC의 시작 프로그램 폴더에 떨굴 수 있다. 이렇게 되면 부팅 시마다 악...

무료 VPN 믿을 수 없다 나는 그동안 무료 VPN에 대해 제한적으로 권장하는 입장이었다. 중요한 용도에 사용하기에는 부족하지만, 가끔씩 간단히 사용하기에는 괜찮다고 생각했다. 그러나 이제 입장을 바꿔, 무료 VPN은 사용하지 않기를 권한다. 여기서 무료 VPN이라 함은 마이크로소프트, 구글, 애플 등 앱 스토어에 있는 무료 앱과 그 유료 버전을 모두 포함한다. 프리미엄 버전 즉 유료 버전은 속도, 트래픽 한도, 기능 등에서 향상된 점은 있지만, 프로그램 근본 구조는 똑같기 때문이다. VPN을 사용하려면 공신력있는 전문 보안업체의 것을 이용하고, 그렇지 않으면 아예 사용하지 않는 편이 낫다. VPN은 모든 인터넷 트래픽이 통과하는 관문으로, 상당히 중요하다. 엉성한 것은 없느니 만도 못하다. 과도한 권한이 문제 VPN 정보 사이트 TOP10VPN은 2018.11월에 개인정보 보호 정책을 중심으로 앱 스토어들의 VPN 앱을 심층 조사했다. 그 결과 많은 것들이 엉터리 수준임이 드러났다. 이번에는 Google Play에 있는 150개 앱에 대해 기능과 권한을 중심으로 조사했는데, 역시나 잠재적인 위험성이 높은 것으로 나타났다. 20%는 VirusTotal 검사 결과 악성코드로 분류됐다. 물론 바이러스토털의 특성상 반드시 악성코드라고 단정할 수는 없다. 25%는 DNS leaks(DNS 누출) 등 프라이버시 보호 기능에 버그가 있었다. 원래 VPN은 DNS 쿼리와 응답도 암호화해 보호해야 하는데, 이것을 그대로 ISP(통신 사업자)에 노출시킨 것이다. 이렇게 되면 제3자가, 사용자가 방문하는 사이트들을 알 수 있게 된다. 85%는 과도한 기능과 권한으로 악용될 가능성이 있었다. 위치 추적, 기기 정보 수집, 카메라와 마이크 사용, SMS 전송 등이 대표적인 예다. 도대체 VPN이 왜 카메라를 사용하는가. 기가 막힌다. 공유기 보안이 중요 VPN은 DNS 하이재킹 방어, 공공 와이파이 안전 사용, RDP 보호 등 많은 효과가 있다....

원격 데스크톱 이용한 해킹 증가 추세 IC3(Internet Crime Complaint Center)가 RDP(Remote Desktop Protocol, 원격 데스크톱)를 이용한 해킹에 대해 주의보를 내렸다. 최근 이를 이용한 해킹과 악성코드가 급증하는 추세이기 때문이다(관련 자료 2~4). 원격제어는 회사 PC에서 하던 업무를 집에서 처리하는 등 유용하게 사용할 수 있다. 반면 해커가 접속하게 되면 PC를 완전히 제어할 수 있게 되는 위험성도 있다. 원격 데스크톱을 안전하게 이용하는 방법은 다음과 같다. RDP 서버를 인터넷에 직접 노출시키지 않는다 서버라고 해서 거창하게 생각할 필요는 없다. 개인이 2대의 PC를 가지고 PC A에 있는 자료를 PC B에서 처리하면, A는 서버(server)이고 B는 클라이언트(client)이다. Windows 10 Home edition은 서버 기능을 지원하지 않는다. 해커는 쇼단 같은 검색 툴을 이용해 RDP 포트가 열린 기기를 탐색하여 공격 대상으로 삼는다. 따라서 인터넷에 직접 노출되지 않도록 VPN이나 방화벽을 통해 연결한다. 여기서 말하는 방화벽은 PC에 설치된 소프트웨어 방화벽이 아니라, PC 앞에 있는 라우터(공유기)나 하드웨어 방화벽을 말한다. 이렇게 VPN이나 방화벽 뒤에 숨기면, 쉽게 탐색되지 않을 뿐더러 VPN이나 내부 네트워크에 접속할 수 있는 사람만이 RDP에 접근할 수 있다. 따라서 브루트 포스 공격을 할 수도 없다. RDP는 보통 3389 포트를 사용하는데, 다른 포트를 사용하도록 설정하면 해커를 살짝 귀찮게 할 수 있다, 그러나 해커 역시 다른 포트들도 탐색을 하므로 큰 효과를 기대할 수는 없다. 강력한 암호와 2단계 인증을 설정한다 해커는 보통 원격 접속을 위해 Brute force 공격을 한다 따라서 원격 데스크톱 접속에 필요한 로그인 암호를 강력하게 설정한다. 조직이라면 2단계 인증을 도입하면 더 좋다. 잘 알려진 조직의 로그인 정보는 암시장에서 거래...

다르마 랜섬웨어의 새로운 변종이 발견됐다. 암호화된 파일에 brrr이라는 확장명을 덧붙이는 게 특징이다. 다른 Dharma ransomware family의 악성코드와 마찬가지로, 원격 데스크톱(RDP)을 이용해 수동으로 감염시킨다. 랜섬웨어류의 악성코드가 하는 일은 대동소이하므로 생략하고, 감염 경로를 파악하여 예방하는 게 중요하다. 원격 데스크톱(RDP)으로 감염 Remote Desktop Protocol을 이용해 감염되는 악성코드가 늘어나고 있다. RDP는 PC를 완전히 제어할 수 있고, 정상적인 이용과 악용을 기계적으로 구별하기가 쉽지 않기 때문이다. 해커는 쇼단(Shodan) 같은 검색 툴을 이용해 인터넷에 직접 연결된 RDP를 찾는다. RDP는 보통 TCP와 UDP의 3389 포트를 이용하므로, 이 포트를 집중적으로 검색하지만 다른 비표준 포트도 검색하기도 한다. 인터넷에 직접 노출된 RDP 포트를 발견하면 Brute force 공격으로 접속을 시도한다. 암시장에서 이미 유출된 로그인 정보를 구입하기도 한다. 원격 데스크톱을 지키는 방법은 다음과 같다. RDP 계정에 강력한 암호를 설정한다. RDP를 사용하는 PC는 인터넷에 직접 연결하지 말고 VPN 뒤에 숨긴다. 즉 VPN을 통해 연결한다. 이렇게 하면 해당 VPN 계정을 가진 사람만이 RDP에 접근할 수 있다. RDP 사용 권한이 있는 사람을 제한한다. Brute force 공격을 피하기 위해서이다. 네트워크 공유도 공격 네트워크로 공유된 파일도 암호화한다. 매핑된 네트워크 드라이브, 공유된 가상 머신, 기타 매핑되지 않은 네트워크 공유가 그 대상이다. 따라서 Network share에는 강력한 암호를 설정하고, 접근 권한을 제한할 필요가 있다. 관련 자료 샘샘(SamSam), 600만불의 랜섬웨어 신종 키패스(KeyPass) 랜섬웨어 참고 자료 New Brrr Dharma Ransomware Variant Release RDP ...

원격 데스크톱(RDP) 기능 조심해야 키패스라는 신종 랜섬웨어(ransomware)가 퍼지고 있다. 파일을 .keypass라는 확장명으로 암호화하고 랜섬 노트에 keypass라는 이름과 메일 주소가 있다. 해외 커뮤니티 사이트들에 감염 사례가 보고되고 있는데, 20개 국 이상에서 피해자가 발생했다. 감염 경로는 아직 밝혀지지 않았다. KMSpico 같은 크랙을 다운로드한 후에 감염됐다는 사람도 있고, 별 이유없이 저절로 감염됐다는 경우도 있다. 제로데이 취약점이나 원격 데스크톱 이용이 의심된다. 크랙(crack)이란 유료 소프트웨어를 무료로 쓸 수 있도록 한 해적판을 말하는데, 옛날부터 악성코드 감염의 주된 통로이므로 절대 피해야 한다. Windows, Office, 게임 등의 크랙이 특히 많다. 원격 데스크톱 기능(RDP, Remote Desktop Protocol)의 사용도 주의해야 한다. RDP를 구동하는 컴퓨터는 인터넷에 직접 연결하지 말고, VPN 뒤에 숨기라고 한다. 즉 VPN 계정으로 로그인한 사람만 접근할 수 있도록 하라는 것이다. 최근의 예로, 원격 데스크톱으로 침투하는 악성코드로는 샘샘(SamSam) 랜섬웨어가 대표적이므로 참고 바랍니다. 보안상 이유로 Windows 10의 경우 Home 버전에서는 원격 데스크톱을 지원하지 않는다. Pro 이상에서 지원한다. Home edition에서 원격 데스크톱을 이용할 수 있도록 봉인을 해제하는 RDP Wrapper라는 유틸리티가 있다. 그러나 이런 건 일종의 루팅(rooting, 운영체제를 임의로 변경하는 것)이므로 쓰지 않는 것이 좋다. 크롬 브라우저의 확장 프로그램을 이용하는 게 더 좋다고 생각한다. 단, 크롬 확장으로 원격 데스크톱을 이용하려면 반드시 구글에서 만든 것을 다운로드해야 한다. 원격제어는 악용되면 위험이 크므로 절대적으로 신뢰할 수 있는 프로그램만 써야 한다. 관련 자료 샘샘(SamSam), 600만불의 랜섬웨어 참고 자료 New KeyPass...

랜섬웨어(ransomware) 중에서 가장 유명하고 널리 퍼진 것은 워너크라이(WannaCry)와 낫페트야(NotPetya)일 것이다. 그러나 요란스럽게 주목받지 않으면서도 알차게 수익을 챙긴 것은 샘샘 랜섬웨어이다. 소포스의 새로운 연구에 의하면, 샘샘 랜섬웨어가 처음 유포된 2015년 12월 이래로 거둔 수익은 총 600만 달러 가량 된다. 연구팀은 랜섬 노트에 표시된 비트코인 지갑을 추적해서 이런 결과를 내놨다. 반면 피해자는 233명에 불과했다. 또한 수익은 매달 30만 달러 정도의 속도로 지금도 늘어나고 있다. 이런 특이한 점은, 샘샘은 무차별적으로 배포하지 않고 표적을 선별해서 공격했으며, 다른 랜섬웨어들과는 달리 자가증식하지 않고 해커의 수동 공격으로 퍼졌다는 것이다. 그리하여 불필요하게 이목을 끌거나 통제불능으로 퍼져 나가는 등의 부작용을 피할 수 있었다. 샘샘은 처음에는 RDP(Remote Desktop Protocol, 원격 데스크톱 프로토콜)을 통해 침투한다. 원격 데스크톱에 접속하려면 로그인 정보가 필요하다. 윈도우의 원격 데스크톱에는 마이크로소프트 계정, 크롬의 원격 데스크톱 확장 기능에는 구글 계정이 필요하다. 이런 로그인 정보는 brute force 공격이나 암시장에서 사옴으로써 해결했다. 이렇게 일단 교두보를 확보한 후에는 네트워크를 통해 다른 컴퓨터의 취약점을 이용해 공격했다. 전체 네트워크 시스템을 감염시킨 후에는 주요 데이터를 암호화 시킨 다음, 암호 해독을 빌미로 돈을 뜯어내는 것이다. 샘샘은 대형 표적도 많이 공격했다. 애틀랜타시 정부, 콜로라도 운송부, 몇몇 병원과 미시시피 밸리 주립대학 같은 교육기관이 그 예다. 여기서 배울 점은 원격 데스크톱을 잘 지켜야 한다는 것이다. 쓰지 않을 때는 이 기능을 꺼두는 것이 좋으며, 계정 암호는 강력하게 설정해야 한다. 참고 자료 SamSam Ransomware Attacks Extorted Nearly $6 Million