알약, 하루 평균 약 637건 랜섬웨어 공격 차단
올 2분기 랜섬웨어 동향 분석…공격 방식 더욱 정교히 진화

[보안뉴스 여이레 기자] 보안 전문 기업 이스트시큐리티가 2025년 2분기 ‘알약’의 행위기반 사전 차단 기능을 통해 총 5만8575건의 랜섬웨어 공격을 차단했다고 발표했다. 하루 평균 약 637건의 랜섬웨어 공격을 차단한 셈이다.


▲2분기 알약 랜섬웨어 행위기반 차단 건수 [자료: 이스트시큐리티]

이어 이스트시큐리티는 △국제 공조 기반 랜섬웨어 소탕 작전 확대 △랜섬허브 인프라 중단과 드래곤포스 급부상 △2분기 신규 랜섬웨어 다수 등장 △랜섬웨어 공격 방식의 고도화 등을 올 2분기 주요 랜섬웨어 동향으로 분석했다.

먼저 올해 2분기 국제 공조로 진행된 랜섬웨어 소탕 작전이 큰 성과를 얻었다. 국제 공조로 이루어지는 랜섬웨어 소탕작전은 단순 조직 검거를 넘어 핵심 인프라를 직접 무력화하는 방식으로 진화하고 있다.

2025년 5월 유로폴과 유로저스트 주도로 ‘엔드게임 2.0’이 진행됐다. 이는 2024년 5월에 진행된 엔드게임 작전의 후속 조치로 다나봇, 콕봇, 하이잭로더, 락트로덱투스, 웜쿠키 등 다시 새롭게 등장한 악성코드 그룹을 대상으로 300대 이상의 서버를 압수하고 650개 이상의 도메인을 무력화시켰다. 특히 다나봇은 이번 작전으로 인프라에 심각한 타격을 입어 정상화까지 상당한 시간이 소요될 것으로 예상된다.

이어 2024년 초 등장해 한 해 동안 전 세계를 대상으로 수백 건의 공격을 진행하며 급성장한 RaaS 조직 랜섬허브가 2025년 4월 1일 갑자기 인프라 중단 및 공식 활동 종료를 선언했다.

정확한 사유는 밝혀지지 않았으나, 경쟁 조직인 드래곤포스의 적대적 인수 시도에 따른 결과라는 분석이 제기되고 있다. 랜섬허브 활동이 중단된 이후 드래곤포스는 가장 공격적이고 영향력 있는 신규 RaaS로 빠르게 부상하고 있다. 실제로 며칠 후 드래곤포스는 랜섬허브 인프라를 장악했다고 주장하며 랜섬웨어 생태계에 큰 파장을 일으켰다.

드래곤포스는 2023년 12월 처음 등장한 RaaS 조직으로, 2025년 3월 스스로를 ‘랜섬웨어 카르텔’이라 부르며 기존 RaaS 모델을 넘어 분산형 생태계를 구축했다.

이 조직은 화이트라벨 서비스를 도입해 기존의 단일 브랜드가 아닌 여러 파트너들이 각자의 브랜드와 이름을 사용하여 공격할 수 있도록 암호화 모듈, 데이터 유출 사이트, 관리자 대시보드 등 다양한 기술 인프라를 제공한다. 또한 수익의 80% 배분이라는 파격 조건을 제시하며 파트너를 유치에 나서고 있다.

또 2025년 2분기 새로 등장한 랜섬웨어로는 건라, 사일런트, 제이그룹, 다이어울프, 아이엠엔 크루, 데이터캐리, 새턴록 등이 있다. 특히 건라는 콘티 랜섬웨어 기반으로 개발됐으며, 윈도우 관리 도구 WMI를 통해 섀도 복사본을 삭제하고 이중 갈취 방식을 사용한다.

이스트시큐리티에 따르면 랜섬웨어들의 공격방식은 더욱 파괴적이고 정교한 방식으로 진화하고 있다. 아누비스 랜섬웨어는 와이퍼 기능을 내장, 암호화와 파일 파괴를 동시에 수행한다. 이는 몸값을 지불하더라도 복구가 불가능하도록 제작되어 피해자와의 협상력 강화를 시도하고 있다.

세이프페이 랜섬웨어는 데이터를 암호화하기 전 선별 탈취 후, 일정 시간이 지나면 민감 데이터를 선공개 하는 형태로 진화했으며, 포그 랜섬웨어는 합법적 시스템 관리 도구와 오픈소스 모니터링 툴을 결합해 탐지 우회 및 자동 전파 메커니즘을 구현했다.

인터록 랜섬웨어는 가짜 캡차(CAPTCH)와 클릭픽스기법으로 IT 전문가들까지 공격 대상으로 삼았다.

이스트시큐리티 ESRC(시큐리티 대응센터) 관계자는 “랜섬웨어 생태계가 드래곤포스 같은 분산형 카르텔 모델로 변화하면서 공격 기법이 더욱 정교해지고 있다”며 “최신 보안 패치 적용, 사용자 접근 권한 관리 강화, 정기적 교육과 모니터링을 통한 사이버 공격 대응 체계 구축이 필요하다”고 강조했다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>