이스트시큐리티 ESRC, 보안 취약점 악용 랜섬웨어 공격 꾸준히 발생... SW 정기 업데이트 통한 사전 예방 당부

[보안뉴스 이소미 기자] 보안 전문기업 이스트시큐리티(대표 정진일)는 2024년 2분기 ‘알약’의 랜섬웨어 행위기반 사전 차단 기능으로 총 71,416건의 랜섬웨어 공격을 차단했다고 발표했다. 이는 하루 평균 793건의 랜섬웨어 공격이 차단된 셈이다.


▲2분기 알약 랜섬웨어 행위기반 차단 건수[이미지=이스트시큐리티]

이스트시큐리티는 24년 2분기 주요 랜섬웨어 동향으로 △우후죽순 등장하는 RaaS 서비스 △ 정크건(Junk Gun)의 등장 △랜섬웨어의 공격 지속 △ESXi 타깃 랜섬웨어 공격 패턴 공개를 선정했다.

조사 결과에 따르면, 전 세계적으로 악명을 떨친 락빗(LockBit) 랜섬웨어 조직과 블랙캣(Black Cat) 랜섬웨어 조직이 국제 사법기관들의 공조 및 파트너사의 신뢰를 저버리는 행위 등을 이유로 영향력이 크게 약화된 것으로 나타났다. 이 두 조직은 RaaS(Ransomware as a Service) 산업에서 가장 큰 영향력을 발휘하던 그룹이었으나, 입지가 약화되던 사이 △랜섬허브(RansomHub) △킬섹(KillSec) △캐시(Cash) 랜섬웨어 △엘도라도(Eldorado) 등 다양한 RaaS들이 우후죽순 등장했다.

새로 등장한 RaaS 서비스 중 랜섬허브(RansomHub) RaaS는 Go언어와 C++언어로 제작된 멀티플랫폼(윈도우·리눅스·ESXi) 서비스다. 랜섬허브 RaaS는 파트너사에게 많은 제휴사 유치를 위해 높은 커미션을 제시한 것으로 보인다. 실제로 매우 빠른 속도로 성장하고 있으며 일각에서는 코드 및 난독화 기술 등의 유사성을 언급하며 랜섬허브가 나이트(Knight) 랜섬웨어의 리브랜딩 버전이라는 의견도 있다.

해커그룹 킬섹(KillSec)이 킬섹(KillSec) RaaS를 공개했다. 이 서비스는 Tor 네트워크를 사용하며 통계·채팅·빌드 기능 등 사용자들을 위해 다양한 편의성을 제공한다고 홍보하고 있다. 뿐만 아니라 향후 △DDoS △통화기능 △정보탈취 기능 등이 업데이트될 예정이라고 밝혔다.

보안업체 소포스(Sophos)는 가격이 저렴하고 낮은 수준의 ‘정크건’(Junk Gun) 랜섬웨어에 대해 공개했다. 이 랜섬웨어들은 기존의 파트너 기반의 구독형 RaaS와는 다르게 독자적으로 운영되며 저렴한 가격이 특징이다. 소포스는 23년 6월부터 24년 2월까지 수집한 19가지 종류의 정크건 랜섬웨어 정보를 공개했다. 이는 기존의 RaaS들과 비교했을 때 정교함과 기술력은 뒤떨어지지만 그에 반해 평균 가격 400달러로 공격 성공 시 얻은 수익의 전부를 가져간다는 점에서 많은 초보 해커들의 환영을 받고 있다고 전했다.

또한 CVE-2023-22518 취약점을 악용한 케르베르(Cerber) 랜섬웨어의 리눅스 변종이 배포되고 있다. 이 취약점은 아틀라시안 컨플루언스 데이터센터(Atlassian Confluence Data Center) 및 서버에 존재하며, 공격자들은 해당 취약점을 악용해 관리자 계정을 생성하고 웹 셸을 통해 랜섬웨어를 실행한다. CVE-2023-22518 취약점 패치가 공개됐지만, 여전히 패치되지 않은 시스템을 타깃으로 공격이 지속되고 있는 만큼 보안담당자들의 빠른 패치가 필요하다.

사용자들이 가짜 소프트웨어를 내려받도록 유도하는 캠페인도 발견됐다. 공격자들은 검색엔진에서 특정 소프트웨어 검색 시 정상 Putty 및 WinSCP 프로그램 다운로드 페이지처럼 위장한 광고 페이지를 띄워 사용자로 하여금 가짜 소프트웨어를 내려받도록 유도한다. 이 설치 패키지 내부에는 정상 exe 파일과 함께 악성 python311.dll이 포함돼 있으며, 사용자가 셋업 파일 실행 시 DLL 사이드로딩(DLL Sideloading)을 통해 악성 dll이 실행되고 최종적으로 랜섬웨어 배포를 시도한다. 이런 공격방식은 블랙캣·알프브이(BlackCat/ALPHV) 랜섬웨어를 배포한 공격 캠페인과 유사하지만, 랜섬웨어와 관련된 자세한 정보는 공개되지 않았다.

VMware ESXi 시스템을 타깃으로 하는 랜섬웨어 공격이 지속되고 있는 가운데, 보안전문가들이 ESXi 시스템을 타깃으로 하는 랜섬웨어 공격 패턴에 대해 공개했다. 주로 피싱·악성파일 다운로드·취약점 등을 통해 최초 공격이 시도된다. 최초 공격이 성공하면 부르트 포스(brute force) 공격이나 기타 방식을 이용해 ESXi 호스트 또는 vCenter에 접근을 위한 권한 상승을 시도하며, 이후 백업 시스템을 파괴하거나 암호화하고 데이터를 탈취한다. 데이터 탈취 후에는 랜섬웨어를 실행시켜 ESXi 파일 시스템의 ‘/vmfs/volumes’ 하위 디렉토리를 암호화하고, 가상화되지 않은 워크스테이션과 서버에 랜섬웨어를 확산시킨다고 밝혔다.

이스트시큐리티 ESRC는 “보안 취약점을 이용한 랜섬웨어 공격이 끊임없이 발생하고 있다”면서, “주요 소프트웨어의 정기적인 업데이트를 통해 보안 취약점을 악용한 랜섬웨어 공격을 사전에 최대한 방지할 것을 당부드린다”고 전했다.

한편, 이스트시큐리티는 보안뉴스·시큐리티월드가 선정한 2023 Global Security TOP 100 기업이다. Global Security TOP 100은 물리보안 분야와 사이버보안 분야를 모두 포함해 2023년 한 해 동안 국내외에서 △매출 △성장 속도 △기술력 △혁신성 △지속가능성 등에서 우수한 평가를 받아 선정됐다.
[이소미 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>