협박을 테마로 한 공격 기술인 랜섬웨어가 빠르게 진화하는 중이다. 특히 협박의 가짓수가 꾸준히 늘어나고 있다는 게 방어자들에게는 압박으로 다가온다. 랜섬웨어에 대한 대응은 점점 국가의 몫으로 넘어가는 듯하다.

[보안뉴스 문가용 기자] 데이터를 암호화 해서 협박하는 것만으로 충분치 않다고 느꼈는지 랜섬웨어 공격자들은 협박의 가짓수를 계속해서 늘려가는 중이다. 데이터를 미리 빼돌리고 돈을 내지 않으면 공개하겠다고 협박하는 ‘이중 협박’이 크게 유행하더니 이제는 삼중, 사중의 협박 전략까지 등장하는 중이다.


[이미지 = utoimage]

보안 업체 트렌드 마이크로(Trend Micro)가 발표한 바에 의하면 데이터 탈취는 물론 디도스 공격을 이용한 협박과 고객과 주주들을 직접 겨냥하는 협박 행위가 지난 6개월 동안 빠르게 증가했다고 한다. 6월 중순까지 트렌드 마이크로가 발견한 ‘이중 협박’ 랜섬웨어 패밀리는 최소 35개였다고 한다. 참고로 이중 협박 전략은 2019년 메이즈(Maze)라는 랜섬웨어 그룹이 크게 유행시켜 지금은 대세로 자리 잡고 있다.

여기에 디도스라는 요소를 하나 더 섞어 넣은 공격들도 증가 중에 있다고 한다. 이러한 전략을 제일 먼저 활용한 건 선크립트(SunCrypt)와 라그나로커(RagnarLocker)라는 랜섬웨어 패밀리를 사용하는 공격자들로 알려져 있다. 지난 해 말부터 이런 움직임이 눈에 띄기 시작했는데 지금은 꽤나 많은 랜섬웨어 운영자들이 이 기법을 모방하고 있다. 그래서 아바돈(Avaddon), 클롭(Cl0p), 다크사이드(DarkSide)와 같은 그룹들도 디도스를 섞는 것이 발견되기도 했다. 이 때 공격자들은 이메일이나 콜센터를 통해 피해자 조직과 직접 교섭을 시도한다.

그 다음 랜섬웨어 생태계에서 눈에 띄는 현상은 서로 다른 주특기를 가진 사이버 범죄자들 간의 협업이 활발히 이뤄지고 있다는 것이다. 특히 최초 침투에 특기를 가진 자들(그러므로 특정 조직의 네트워크에 침투하도록 도와주는 서비스를 제공하는 운영자들)과 랜섬웨어 페이로드를 만들어 대여하는 자들 사이의 연합이 활발해지는 중이라고 트렌드 마이크로는 설명한다.

그 외에 피해자의 내부자를 포섭하여 공격을 효과적으로 실행하고 수익금까지 그 내부자와 나누는 랜섬웨어 그룹과, 고객과 주주들에게 직접 연락을 해 회사가 지금 곤란한 상황에 있음을 알리는 그룹들도 나타났다. 다각도로 피해 기업에 압박을 가함으로써 옴짝달싹 못하게 하고 냉정한 생각을 하지 못하도록 하는 것이다.

트렌드 마이크로의 부회장인 존 클레이(Jon Clay)는 “협박이 중첩되면 될수록 피해자는 돈을 안 내기가 힘들어질 수밖에 없다”며 현재 방향으로의 랜섬웨어의 변천은 이미 예견된 것이라고 설명한다. “랜섬웨어가 탐지되는 횟수 자체는 줄어들었습니다. 하지만 이는 오픈소스처럼 공개된 워너크라이(WannaCry)로부터 파생된 각종 위협들을 패치로 대응해가고 있기 때문에 그런 것이지 현재 실제 위협이 되고 있는 레빌, 클롭, 콤티와 같은 유명 랜섬웨어들은 크게 증가했습니다. 이들의 수법과 증가 추이, 진화 과정을 보면 국가 차원의 대응만이 답인 것으로 보입니다.”

트렌드 마이크로는 2021년 상반기 동안 총 409억 건의 악성 이메일과 악성 파일, 악성 URL을 차단했다고 한다. 그런데 이 중 랜섬웨어가 차지하는 비율이 심각할 정도로 높다고 한다. 409건은 상당히 높은 숫자로 작년에 동 기간에 비해 40.9% 증가한 수치다. 팬데믹 이후 증가한 사이버 범죄 활동 때문인 것으로 분석된다. 랜섬웨어 외에는 BEC 공격과 암호화폐 채굴 관련 공격이 많았다.

3줄 요약
1. 랜섬웨어, 이제 이중, 삼중, 사중 협박까지 시도해 피해자 압박하는 중.
2. 랜섬웨어 공격자들은 끊임없이 부유해지고 시장도 커져 국가 차원의 대응이 필요한 시점.
3. 랜섬웨어 다음으로는 BEC 공격과 암호화폐 채굴 공격이 많은 상황.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>