2015년 가장 악명 높은 랜섬웨어 1위는 크립토 변종인 크립토월
2015년 가장 많이 악용된 앵글러 EK 통해 유포

[보안뉴스 김경애] 지난 1년간 랜섬웨어는 코드와 구조뿐만 아니라 활용 방식과 표적에서도 많이 진화했다. 특히 강력한 암호 기법을 사용해 방대한 규모의 데이터를 인질로 삼는 크립토 랜섬웨어가 증가했다.


▲2015년말까지 크립토 랜섬웨어 수 증가로 랜섬웨어 추월(자료제공: 트렌드마이크로)

2015년 가장 악명 높은 랜섬웨어 크립토월
2015년 말까지 크립토 랜섬웨어 수는 꾸준히 증가해 랜섬웨어를 크게 추월했다. 뿐만 아니라 지난 한해 동안 크립토 랜섬웨어 변종인 크립토월(Cryptowall)이 크게 증가했다. 크립토월은 이메일을 통해 유포되며 다운로드를 통해 사용자의 컴퓨터에 침입해 파일을 암호화한다. 그런 다음 공격자는 암호 해제 조건으로 금품을 요구한다.

크립토월은 2015년 3.0이 발표됐으며, C&C서버, 스팸 메시지, 스파이웨어 및 감염된 웹사이트를 이용한다. 이후 새로운 버전인 크립토월 4.0이 발표됐고, 앵글러 EK를 이용해 사이트에 접속하는 것만으로도 감염되는 드라이브 바이 다운로드(DBD, Drive-By Download) 방식으로 확산됐다. 결국 2015년 가장 악명 높은 랜섬웨어 1위를 차지했다.

그러다보니 피해액도 만만치 않다. FBI의 인터넷 범죄 신고 센터(IC3)의 보고서에 따르면 2014년 4월부터 2015년 6월 사이에 크립토월 피해자들이 신고한 피해액이 총 1800만 달러에 이른다. 일단 사용자의 데이터가 암호화되면 다시 되돌려 받을 수 있다는 보장이 없다. 게다가 위험과 손실에 따른 피해액은 암호화된 데이터의 종류에 따라 결정된다.

랜섬웨어의 든든한 백은 앵글러 익스플로잇 킷
이러한 랜섬웨어는 주로 익스플로잇 킷(Exploit Kit, 이하 EK)을 통해 유포된다. 특히 그 중에서도 앵글러(Angler)EK가 단연 독보적이다. 지난 2월 25일 보안업체 하우리가 발표한 국내 일일 익스플로잇킷 유포현황을 살펴보면, 앵글러EK가 무려 50%를 차지했다.

트렌트마이크로는 2015년에 가장 많이 악용된 익스플로잇으로 앵글러EK를 뽑았다. 또한 지난 2월 앵글러가 악성 광고(malvertisement) 공격과 관련이 있다는 점을 확인했다며 사이버범죄자들은 많은 사람들이 광고를 클릭하도록 유도했고 이용자들이 클릭하면 랜섬웨어에 감염됐다고 밝혔다.

지난 12월에는 유명한 뉴스 웹사이트인 The Independent의 블로그가 해킹 당한 바 있는데, 그 공격 배후로 테슬라크립트(TeslaCrypt) 랜섬웨어가 지목됐다. 또한 사용자를 감염시키기 위해 페이지에 표시되는 광고에 앵글러EK를 사용한 것으로 분석됐다.


▲2015년말까지 1,600,000회 이상의 URL 액세스 횟수를 기록한 앵글러 EK(자료제공: 트렌드마이크로)

앵글러는 2015년말까지 1,600,000회 이상의 URL 액세스 횟수를 기록했으며, Nuclear나 Magnitude와 같은 다른 익스플로잇 킷들보다 훨씬 높은 수치를 보였다. 뿐만 아니라 2015년에는 앵글러EK를 호스팅하는 URL의 액세스 횟수가 가장 많았다.

이처럼 크립토월 랜섬웨어가 앵글러 EK를 등에 업고 강력한 무기로 돌변해 이용자들의 피해를 부추기고 있다. 이에 대해 트렌드마이크로는 “랜섬웨어가 시스템을 감염시키기 위해 사용하는 모든 수단을 차단하는 것이 중요하다”며 “크립토 랜섬웨어를 위해 특수 제작된 지능형 위협 방어의 다계층 전략을 이용해 예방하고, 가장 많이 사용되는 감염 매개체는 스팸과 악성 URL이므로 이메일과 웹 평판 및 필터링 기능을 사용해야 한다”고 당부했다. 또한 네트워크 내에 랜섬웨어가 발생할 경우를 대비해 항상 중요한 데이터는 백업해둘 것을 덧붙였다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>