■  Ransomware Arsenal: 주요 랜섬웨어 전략과 대응 전략 키노트

‍

최신 랜섬웨어 공격에 사용되는 기법, 도구, 자산 등 다양한 공격 전략을 담은 'Ransomware Arsenal'보고서를 발행했습니다. 1부에서는 주요 랜섬웨어의 트렌드 및 종류를 살펴보겠습니다.

‍

1️⃣ 취약점을 악용한 랜섬웨어 활동

2️⃣ 대형 그룹의 쇠퇴로 변화하는 랜섬웨어 생태계

3️⃣ 공격 대상 플랫폼의 확대

4️⃣ 탐지 회피를 위한 랜섬웨어 트렌드

5️⃣ 랜섬웨어 그룹의 공격 단계 및사용 기술

6️⃣ 랜섬웨어의 피해를 경감시키기 위한 전략적 완화

‍

■ 랜섬웨어 그룹의 활동 양상과 배경

‍

랜섬웨어 그룹들의 평균 지속 시간은 약 295일로 확인되며, 이는 지속 시간이 길수록 더 많은 피해자를 발생시킬 수 있음을 보여줍니다. 오랜 활동 기간에 비해 적은 수의 피해자를 게시한 그룹으로는 Lorenz, RagnarLocker,ArvinClub, 0mega 등이 있으며, 이들은 서비스형 랜섬웨어를 제공하지 않고 단일그룹으로 활동한 영향으로 보입니다. 반면, Cuba, Donut,Daixin, MedusaLocker 등 일부 그룹들은 중요 인프라에 집중 공격하면서도 피해자 수는 비교적 적었습니다.

대부분의 랜섬웨어 그룹들은 오랜 기간 활동하면서 다수의 피해자를 게시하고 있으며, 리브랜딩을 통해 지속성을 유지하려는 경향을 보입니다. 리브랜딩은 버전 업데이트 등의 이유 외에도 수사 기관의 압박을 피하기 위한 목적으로 주로 진행됩니다. 이번에는 랜섬웨어 그룹들의 활동 양상은 어떠했으며, 그 배경은 무엇인지 자세히 알아보겠습니다.

1️⃣ 대부분의 신생 랜섬웨어 그룹이 활동 기간이 짧은 이유

랜섬웨어가 사이버 범죄에서 금전적인 이득을 취하기 쉬운 형태로 발전하고 있어, 신생 랜섬웨어 그룹이 계속해서 발견되고 있는데요. 이들은 대형 그룹을 모방하거나 유출된 빌더 혹은 공개된 소스 코드를 사용하거나, 랜섬웨어 인프라 구매 등으로 랜섬웨어 공격을 수행합니다. 이러한 그룹들은 모방, 미흡한 기술력, 운영 중 실수로 인해 쉽게 체포되거나 수사기관의 압박을 견디지 못하고 소멸합니다.

2️⃣ 대형 랜섬웨어 그룹들이 오래 활동할 수 있는 이유

장기간 활동으로 많은 피해자를 게시한 랜섬웨어 그룹들은 대부분 세분화되고 조직적인 모습을 보입니다. 활동 기간이 길어지고 다수의 피해자를 게시할수록 수사 기관의 압박을 피하기 어려운데, 이때 대형 그룹들은 리브랜딩을 통해 수사망에서 벗어나려 합니다. Royal 그룹은 259일 동안 데이터를 게시했지만, 리브랜딩된 BlackSuit 그룹과 연계해 760일 이상 지속되며 현재까지 활동하고 있고, Vice Society 그룹은 758일 동안 피해자를 게시한 뒤 사라졌지만 이후 Rhysida로 리브랜딩 후 현재까지 활동하고 있습니다.

3️⃣ 랜섬웨어 그룹이 활동을 중단하는 이유

각 국가와 기관의 국제적 협력으로 랜섬웨어 그룹을 압박하고 있기 때문입니다. 체포될 수 있다는 심리적 압박감에 소스 코드, 인프라 등을 판매 후 사라지거나 공격 행위를 중단하는 사례도 존재하는데요. 실제로 국제 수사 기관의 공조를 통해 오랜 수사를 거쳐 체포되는 경우도 많아졌습니다.

대표적으로는 2020년 이후 올해까지 가장 활발한 활동을 보인 LockBit 그룹이 있습니다. LockBit 그룹으로 인해 약 1,500일 동안 2,790개 이상의 피해자가 발생했는데요. 국제 수사 기관의 공조 작전을 통해 올해 초 인프라가 잠시 중단되고 일부 관계자가 체포되기도 했습니다. 5일 만에 활동을 재개했지만, 수사 기관의 압박으로 인해 피해자를 게시하는 횟수가 크게 감소하고, 많은 계열사가 이탈한 것으로 확인됩니다.

‍

■ 주목할만한 활동을 보이는 랜섬웨어 그룹

‍

다음으로 단기간에 많은 피해자를 유발하거나, 가장 활발한 활동을 보이는 등 주목할 만한 활동을 보이는 랜섬웨어 그룹의 3가지 형태를 알아보겠습니다.

‍

‍

1️⃣ 단기간 내 많은 피해자를 게시한 그룹
짧은 시간에 가장 많은 피해자를 게시한 그룹은 Malas 그룹으로, 하루 동안 무려 171건의 피해자를 게시하기도 했습니다.

2️⃣ 가장 오래 활동한 그룹
가장 오래 활동한 그룹은 Snatch, Clop, LockBit, Cuba, Everest 그룹 등이 있습니다. Snatch, Cuba 랜섬웨어 그룹은 최근 활동 이력이 없으며,LockBit과 Clop, Everest 그룹은 최근 게시되는 피해자가 줄고 있어 영향력이 감소한 것으로 보입니다.

3️⃣ 가장 활발한 활동을 보이고 있는 그룹
과거에는 LockBit의 피해자가 가장 많았다면, 올해 6월부터는 RansomHub 그룹이 가장 위협적으로 평가받고 있습니다. RansomHub는 올해 2월에 등장했음에도 2024년 전체 랜섬웨어 피해 중 15%를 차지할 정도로 활발한 활동을 보이고 있는데요. 이들은 미국의 통신 회사 ‘FrontierCommunications’를 공격해 75만 명의 개인정보를 유출했으며 국내 기업도 한차례 공격한 이력이 있습니다.

■ 최근 랜섬웨어의 트렌드는?

‍

랜섬웨어의 최근 활동 양상을 보면 트렌드는 크게 7가지로 나눠볼 수 있습니다.

‍

‍

1️⃣ 서비스형 랜섬웨어RaaS(Ransomware-as-a-Service) 모델 출현

과거 랜섬웨어 그룹은 전문성을 강조한 공격으로 고착화된 전략과 전술을 사용하는 것이 일반적이었습니다. 기술력을 지닌 랜섬웨어 그룹들은 점차 대형 그룹으로 성장했으며, 수익창출을 위해 서비스형 랜섬웨어인 RaaS(Ransomware-as-a-Service) 모델을 제공하게 되었습니다.

2️⃣ IAB와 협업하는 랜섬웨어

기업처럼 조직화된 랜섬웨어 그룹은 IAB에게 침투 방법 및 계정을 구매해 랜섬웨어 공격을 수행하는 모습이 확인되었습니다.

3️⃣ 0-day 및 공개된 취약점 악용

기술적 역량이 충분한 그룹은 랜섬웨어 공격을 위한 침투 방법으로 0-day취약점을 모색했으며, 최근에는 0-day 취약점을 직접 찾지 않고 공개된 취약점을 악용한 공격이 다수 발생하고 있습니다.

4️⃣ 공격 대상 플랫폼 확대

윈도우 운영체제를 대상으로 공격이 이뤄지고 있는 가운데, ESXi 서버나리눅스/유닉스 등의 플랫폼으로 공격 범위를 늘리고 있습니다.

5️⃣ 보안 이슈를 재악용한 공격

랜섬웨어 그룹은 가짜 윈도우 업데이트 같은 이슈를 악용해 랜섬웨어를 퍼트리는 등, 보안 이슈를 통해 불특정 다수를 공격하는 형태로 공격을 일삼고 있습니다.

6️⃣ LotL(Living Off the Land), RMM(Remote Monitoring andManagement) 도구 악용

공격자는 탐지 회피를 위해 시스템에 존재하는 도구, 정상적인소프트웨어, 원격 연결 관리 도구 등을 악용하고, 이를 통해 랜섬웨어 공격을 수행하고 있습니다.

7️⃣ 유포 방식의 다양화

MS Office의 매크로 기능을 악용해 사용자가 매크로를 실행하도록 유도하거나, 설치 패키지 파일(.msi), 악성 링크 파일(.lnk), 윈도우 도움말 파일(.chm) 등을 이용해 랜섬웨어를 유포하고 있습니다.

‍

■ 단계별 랜섬웨어 전략 및 사용 도구 분석 등 심층적인 내용이 궁금하다면?

‍

랜섬웨어 그룹은 여러 산업 분야에 걸쳐서 공격을 수행하며, 그로 인한 피해는 꾸준히 증가하고 있습니다. 초기 랜섬웨어는 복구를 빌미로 단순히 금전을 요구한 반면, 최근 그 기법이 점차 발전하고 있는데요. 최근에는 개인 정보나 기밀 문서를 탈취한 뒤 해킹 포럼에서 판매하거나, 데이터 유출을 빌미로 금전적 이득을 취하는 2중 협박으로 발전했습니다. 이에 더해 서비스를 마비시키는 DDoS 공격 등 다양한 방법으로 피해자들을 3중 협박하는 모습도 보입니다.

이외에도 단계별 랜섬웨어 전략, TTPs 단계별 사용 도구 분석, 단계별 랜섬웨어 전략 Mitigation 등의 심층적인 내용이 더 궁금하다면 보고서 전문을 확인해 보세요!

‍

 'Ransomware Arsenal: 주요 랜섬웨어 전략과 대응 전략' 자세히 읽기

‍

■ 원스톱 솔루션, SK쉴더스 랜섬웨어 대응센터

‍

‍

SK쉴더스는 트렌드마이크로, 지니언스, 맨디언트, 베리타스, 캐롯손해보험, 법무법인 화우 등 총 7개 기업으로 구성된 민간 랜섬웨어 대응 협의체인 KARA(Korean AntiRansomware Alliance, 카라)는 랜섬웨어 최신 트렌드, 피해 실태 등을 담은 KARA 랜섬웨어 동향 보고서를 분기마다 발간하며 랜섬웨어에 대비할 수 있는 예방 활동을 펼치고 있습니다.

또한 사고 접수, 대응, 복구, 대책까지 랜섬웨어 원스톱 솔루션을 제공하는 SK쉴더스 랜섬웨어 대응센터(1600-7028)를 운영하고 있습니다. SK쉴더스 랜섬웨어 대응센터를 통해 고도화되는 랜섬웨어 공격을 예방해 보세요!

‍

 2부-랜섬웨어 공격 및 대응 전략이 궁금하다면?

‍

‍