AI 기반 랜섬웨어 등장은 사이버 보안 변곡점
학습하고 적응하며 자율적으로 진화하는 위협 맞서야…전통적 방어 조치 의존 안 돼

[보안뉴스 김형근 기자] AI 기반 랜섬웨어가 등장하면서 전례 없이 정교하고 자동화된 해킹 공격의 시대가 열렸다.

MIT 슬론 경영대학원 과 보안 기업 세이프시큐리티(Safe Security)가 최근 발간한 보고서에 따르면, 랜섬웨어 공격 중 80%가 이미 인공지능(AI)을 활용하고 있다.

이는 기존의 악성코드 운영 방식에서 벗어나, 실시간으로 진화하고 보안 조치를 우회하는 자율적이고 적응적인 위협으로 진화하는 근본적 변화가 일어났음을 의미한다고 사이버시큐리티뉴스가 보도했다.


[자료: 게티이미지뱅크]

전례 없는 위협, AI 기반 랜섬웨어 지능화
지난 8월 보안 기업 ESET 연구진은 AI 기반 랜섬웨어 ‘프롬프트락’(PromptLock)을 발견했다. 다행히 이것은 뉴욕대학교 연구진이 만든 AI 랜섬웨어 개념 증명(PoC)을 소프트웨어였다.

프롬프트락은 대규모 언어 모델(LLM)이 전체 랜섬웨어 캠페인을 자율적으로 조율할 수 있음을 보였다. 미리 작성된 코드에 의존하지 않고, 자연어 프롬프트를 사용해 악성 루아(Lua) 스크립트를 동적으로 생성했다. 이는 개별 공격을 각각 고유하게 만들어 탐지하기 매우 어렵게 만든다.

이 악성코드는 공개된 언어 모델 API에 연결해 파일 시스템을 분석하고, 어떤 데이터를 유출하거나 암호화할지 결정하며, 심지어 개인화된 랜섬 노트까지 작성했다.

공격 가속화와 피해 규모 극대화
실제 해커들도 AI를 무기화하기 시작했다. 신생 랜섬웨어 그룹 ‘펑크섹’(FunkSec)이 대표적 사례다.
이들은 전문적 고급 기술을 보유한 것으로 보이진 않지만, AI의 도움을 얻어 악성코드를 개발해 정부, 방산, 기술, 교육 등 분야 120개 이상의 조직을 빠르게 공격했다.

이들은 AI가 사이버 범죄 진입 장벽을 얼마나 낮췄는지 명확히 보여줬다. AI를 사용해 멀웨어 코드를 생성하고 세부적 코드 주석을 만들었으며, 공격 과정을 자동화했다.

‘블랙매터’(BlackMatter) 랜섬웨어 그룹 역시 AI 기반 암호화 전략과 방어 시스템에 대한 실시간 분석 기능을 통합해 기존 엔드포인트 탐지 시스템을 회피하는 기능을 확보했다.

AI는 랜섬웨어 운영의 모든 단계를 완전히 변화시켰다. 정찰 단계에선 악성코드가 보안 경계를 자율적으로 스캔해 취약점을 식별하고, 정확한 공격 도구를 선택한다. 이는 인간 운영자의 개입을 없애 공격이 IT 환경 전체로 빠르게 퍼지게 했다.

적응형 암호화 기술도 혁신적이다. AI 기반 랜섬웨어는 시스템 리소스와 데이터 유형을 분석해 암호화 알고리즘을 동적으로 수정했고, 복호화를 훨씬 더 복잡하게 만들었다.

또 자연어 처리(NLP) 기술을 사용해 문서 내용을 분석하고 가치가 높은 대상을 우선적으로 암호화함으로써 전략적 영향을 극대화했다.

탐지 회피 역량 역시 AI로 끌어올렸다. 머신러닝의 힘을 빌려 랜섬웨어가 지속적으로 코드와 행동 패턴을 수정하는 다형성(polymorphic) 능력을 갖추게 했다. 이는 시그니처 기반 탐지 방법을 무용지물로 만들었다. 또 AI는 사용자 활동을 추적, 업무 외 시간에 활성화돼 탐지 위험을 최소화했다.

AI가 적용되면서 랜섬웨어 공격의 재정적 피해는 커졌다. 랜섬웨어 공격으로 인한 평균 피해 비용은 지난 6년간 574% 증가해 2024년 513만 달러에 달했고, 올해는 550만-600만 달러 사이로 예측된다.

특히 공격받은 중소기업 중 60%가 6개월 이내에 영구 폐업하는 심각한 결과가 나타났다.

생존을 위한 AI 기반 다층적 방어 전략
이런 위협에 대응하기 위해 기업들 역시 AI로 강화된 다층적 방어 전략을 채택해야 한다고 전문가들은 입을 모았다.

제로트러스트 아키텍처는 AI가 위험 신호를 기반으로 액세스 권한을 동적으로 조정하게 해 엔드포인트가 침해되더라도 내부 확산을 막을 수 있다.

AI 기반 행동 분석은 비정상적 파일 접근 패턴 같은 랜섬웨어 활동 징후를 탐지하는 데 탁월하다. 사이버 공격 성공률을 73% 줄였고, 데이터 유출의 85%를 사전에 예측한다.

고부가 시스템으로 위장한 허니팟과 미끼 자산을 배치해 AI 공격자를 함정에 빠뜨리는 기만 전술도 필요하다. 이를 통해 방어자는 실제 시스템을 위험에 빠뜨리지 않고 공격 패턴을 연구하고 대응책을 개발할 수 있다.

A 랜섬웨어는 백업 시스템까지 무력화하려 하기 때문에, 조직은 물리적으로 분리된 저장 공간을 갖춰 공격에 영향을 받지 않는(immutable) 백업 시스템을 필수적으로 구현해야 한다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>