1년 동안 1백만 달러... 대한민국, 미국, 중국에서 피해자 많이 발생
개발자 따로 공격자 따로... 범죄로의 진입장벽 낮아져

[보안뉴스 문가용] 올해 초 등장한 말하는 랜섬웨어 케르베르(Cerber)가 수익의 측면에서 상당히 높은 랭킹을 기록하고 있다는 연구 결과가 나왔다. 보안 전문업체인 체크포인트(Check Point)는 7월 한 달 동안에만 케르베르 관계자들이 총 19만 5천 달러의 수익을 올렸다고 보고했다. 피해자가 특히 많았던 국가는 대한민국, 미국, 중국, 대만이었다. 케르베르를 운영한 주체들은 최소 161개 단체이며 약 15만 대의 컴퓨터를 감염시켰다고 한다.


▲ 천천히 풀이나 뜯으며 기다리세...

케르베르의 핵심 개발자들 역시 동 기간 동안 7만 8천 달러의 수익을 올렸는데, 이는 케르베르 관계자들이 올린 총 수익의 40%에 해당한다. 즉 핵심 개발자가 전체 수익의 40%를 가져가고 나머지 60%를 ‘실제 공격자’들이 나눠 갖는 수익 구조인 것. 물론 각자의 공격 성공률이나 실제로 거둬들인 금액에 따라 적절한 비율이 결정되는 것으로 보인다고 체크포인트는 설명했다.

“이런 수익률이 1년 동안 지속된다면 케르베르 랜섬웨어 관련 조직들이 벌어들이는 총 금액은 94만 6천 달러, 즉 거의 1백만 달러에 다다릅니다. 무시 못할 금액이죠. 피해자 한 사람이 지불하는 금액은 평균 1 비트코인으로, 현재 시세에서는 약 590 달러에 해당합니다.”

케르베르 랜섬웨어의 수익에 눈길이 가는 건, 단순히 그 금액 때문만은 아니다. 바로 위에서 언급한 수익구조가 중요하다. 랜섬웨어 공격을 하고 싶은 사람들이 개발자들로부터 랜섬웨어를 대여 받아 공격을 하고, 대신 수익의 일부를 개발자들에게 떼어주는 식의 새로운 사업구조를 RaaS(Ransomeware as a service) 혹은 서비스형 랜섬웨어라고 부른다. 이는 암시장에서도 꽤나 새로운 시도다.

이러한 수익구조를 가진 케르베르 랜섬웨어가 적지 않은 수익을 짧은 기간 내에 올렸다는 건, 특별한 해킹 기술이나 프로그래밍 능력을 갖지 않아도 얼마든지 범죄를 저지를 수 있다는 걸 시사하기 때문이다. 여기서 보통 멀웨어 개발자들은 ‘개발자’라고 부르고 이걸 대여해서 공격에 사용하는 사람들은 affiliate라고 부르는데, affiliate라면 보통 계열사라는 의미로 사용되는 단어다. 랜섬웨어의 경우 ‘협력자’나 ‘실제 공격자’로 이해하면 되겠다.

피해자가 복호화 키를 받기 위해 내는 돈은 개발자들에게 직접 송금된다. 개발자는 여기서 자기 몫을 챙기고 나머지를 이 실제 공격자들에게 보낸다. 수수료 개념인데, 이는 계약에 따라 20~40% 정도 된다. 케르베르의 개발자들은 멀웨어 뿐 아니라 돈 세탁 개념인 비트코인 믹싱(bitcoin mixing) 서비스도 제공하기 때문에, 같은 케르베르를 사용하는 사람들끼리라도 서로를 알 필요가 없다고 한다.

서비스형 랜섬웨어라는 사업모델이 들어서면서 사이버 범죄가 굉장히 쉬워졌다. 누구라도 마음만 먹으면 사이버 범죄를 저지를 수 있을 정도로 진입장벽이 낮아진 것이다. 또한 멀웨어를 제작하는 사람들 입장에서는 새로운 수익 경로를 개척한 것이 되기 때문에 그야말로 꿩 먹고 알 먹고, 누이 좋고 매부 좋은 상황이다. “초보적인 해킹기술만 가지고 있어도 언제나 범죄자 포럼을 통해서 기술 지원을 받을 수 있는 환경이 만들어졌습니다.”

비슷한 수익구조를 가진 랜섬웨어로는 이번 주 시만텍에서 발견한 샤크(Shark)가 있다. 현재 지하 포럼에서 무료로 배포 중에 있으며, 이걸 사용한 공격자들은 수익의 20%를 개발자들에게 주어야 한다. 시만텍에 따르면 샤크 다운로드가 가능한 웹 사이트에는 상세하고 친절한 사용 설명서도 함께 첨부되어 있다고 한다.

체크포인트의 마야 호로비츠(Maya Horowitz)는 “랜섬웨어 사업이 계속해서 자라고 있다는 사실 자체가 일반 기업들에겐 큰 위협”이라고 설명한다. “사실상 누구라도 랜섬웨어 공격이 가능해졌으니, 공격이 더 늘어나고 피해 기업도 확산되겠죠. 확실한 백업 전략과 강력한 보안 정책이 그 어느 때보다 필요합니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>