이스트시큐리티(대표 정진일)는 자사의 백신 프로그램 알약에 탑재되어 있는 랜섬웨어 행위기반 사전 차단 기능을 통해 2022년 1분기 총 17만 7천732건의 랜섬웨어 공격을 차단했다고 13일 밝혔다.

통계에 따르면, 1분기 알약을 통해 차단된 랜섬웨어의 공격은 총 17만 7천732건으로, 이를 일간 기준으로 환산하면 일평균 약 1천974건의 랜섬웨어의 공격이 차단된 것으로 볼 수 있다.

이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신 프로그램의 랜섬웨어 행위기반 사전 차단 기능을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱더 많을 것으로 추정된다.

이스트시큐리티는 2022년 1분기 랜섬웨어 주요동향으로 러시아-우크라이나 전쟁과 랜섬웨어, 여전히 활발히 활동 중인 비너스락커 조직, 타이포스쿼팅(Typosquatting)을 통해 유포되는 매그니베르(Magniber) 랜섬웨어, 글로벌 기업들의 랜섬웨어 피해 지속을 선정했다.

우선, 2022년 1분기 가장 주목할 이슈로는 러시아의 우크라이나 침공 관련 랜섬웨어 공격을 꼽을 수 있다. 러시아와 우크라이나 전쟁은 사회적, 경제적 등 다양한 방면에서 세계적인 혼란을 야기하였으며, 랜섬웨어 공격 조직들 역시 해당 이슈를 악용하고 있다. 이 중 대표적인 랜섬웨어로 헤르메틱랜섬(HermeticRansom)을 들 수 있다. 해당 랜섬웨어는 금전 갈취가 목적이 아니었으며, 우크라이나 시스템을 타깃으로 데이터를 삭제하기 위한 와이퍼 공격의 미끼 역할을 한 것으로 확인되었다. 이와 함께, 우크라이나 보안 연구원이 콘티(Conti) 랜섬웨어의 소스코드를 유출하였는데, 이는 콘티 랜섬웨어가 러시아 정부를 지지한다는 공지를 띄운 것에 대한 보복성 행위로 추측되고 있다.

비너스락커(VenusLocker) 조직의 활동도 활발히 이어지고 있다. 2017년부터 국내에 지속적으로 랜섬웨어를 유포하고 있는 비너스락커 조직은 최근에도 이력서, 저작권 위반 등의 내용을 활용하여 국내에 꾸준히 랜섬웨어를 유포 중이다. 기존에는 마콥(Makop) 랜섬웨어를 지속적으로 유포했는데, 최근에는 락빗(LockBit) 랜섬웨어를 유포한 정황도 포착되었다.

타이포스쿼팅(Typosquatting) 방식을 이용한 매그니베르(Magniber) 랜섬웨어의 유포 정황도 다시 발견되었다. 타이포스쿼팅은 도메인 주소를 잘못 입력하거나 철자를 틀리는 경우 다른 페이지로 리디렉션하는 공격 수법이다. 매그니베르 랜섬웨어는 타이포스쿼팅 방식을 활용하여 크롬 및 엣지 브라우저 사용자를 대상으로 유포되고 있으며, 공격자가 유인한 페이지에서는 MSI 파일을 내려받도록 유도한다. MSI는 윈도우 인스톨러에서 사용하는 확장자로 사용자가 의심 없이 해당 파일을 실행하면 랜섬웨어에 감염되는 것이다.

글로벌 기업들의 랜섬웨어 피해도 지속되고 있다. 명품 의류 브랜드인 몽클레르(Moncler)는 2021년 12월 블랙캣(BlackCat 또는 AlphV) 랜섬웨어의 공격을 받아 데이터가 유출되었으며, 올해 1월에는 다크웹인 토르(Tor) 네트워크에 유출된 데이터가 공개되기도 하였다. 항공 서비스 회사인 스위스포트 인터내셔널도 랜섬웨어의 공격을 받아 일부 항공편이 지연되었으며, 엔비디아 역시 랜섬웨어의 공격을 받아 일부 시스템이 영향을 받은 것으로 확인되었다.

이스트시큐리티 ESRC 관계자는 “최근 랜섬웨어 공격이 지속적으로 증가하는 것은 물론 배포 방식 역시 사회적 환경에 맞춰 진화해가고 있다”라며 “코로나19 바이러스 확산 방지를 위해 재택근무를 수행하는 임직원이 증가하고 있는 만큼, 기업 내부망에 접속해 사용되는 재택근무 단말기의 OS/SW 보안 업데이트 현황 점검 의무화는 물론 임직원 보안 인식 교육도 병행해야 한다”라고 말했다.

한편, ESRC에서 밝힌 2022년 1분기에 새로 발견되었거나 주목할 만한 랜섬웨어는 다음과 같다.

◇AvosLocker- 2021년 여름 처음 등장한 랜섬웨어로 보안 솔루션을 우회하기 위하여 안전모드로 재부팅 하여 암호화를 진행. 최근에는 VMware ESXi 가상 머신을 노린 리눅스 버전이 추가됨.

◇Night Sky- 2021년 말 등장한 랜섬웨어로 파일을 암호화한 후 '.nightsky' 확장자를 추가하여 Night Sky라 명명됨. 중국 공격자인 DEV-0401 조직의 새로운 캠페인으로, Log4shell 취약점을 악용하여 VMware Horizon 시스템에 Night Sky 랜섬웨어 유포함.

◇Sugar- 2021년 11월 처음 등장한 악성코드로, 다른 랜섬웨어 패밀리 코드를 차용한 Delphi 랜섬웨어. 다른 랜섬웨어와 달리 기업 전체보다는 개별 컴퓨터를 공격하는 데 중점을 둠. REvil 랜섬웨어와 몇 가지 유사점이 발견되었으며, 패스워드 복호화 페이지는 Clop의 운영자가 사용하는 것과 유사. 이에 랜섬웨어 개발자가 동일하거나 주요 공격자가 계열사에 제공하는 서비스 중의 일부로 추정됨.

◇Putinwillburninhell- 공격 대상은 러시아이며, 다른 랜섬웨어와 다르게 랜섬머니를 요구하지 않고 대신 전쟁을 멈추라는 메시지를 띄움.

◇DeadBolt- 1월 처음 등장한 랜섬웨어로, 취약한 QNAP NAS 장치를 대상으로 공격을 진행하였으며, Asustor NAS에 대해서도 공격 진행. Emsisoft에서 복호화 툴 개발 및 공개.

◇Cuba- 2019년 말 등장하였으며 COLDDRAW 랜섬웨어라고도 불림. 20년 21년에 활발히 활동함. 최근에는 MS Exchange 취약점을 악용하여 기업 네트워크에 대한 초기 액세스 권한을 얻어 암호화 진행.

◇SunCrypt- 2019년 10월 처음 등장하였으며 파일 암호화, 탈취한 데이터 공개 협박, 랜섬머니를 지불하지 않은 사용자를 대상으로 DDoS 공격을 진행하는 랜섬웨어. 2022년 변종에는 프로세스 종료, 서비스 중지, 랜섬웨어 실행을 위한 시스템 정리 등의 기능이 추가되었으며, 아직 초기 개발 단계에 있는 것으로 추정됨.

★정보보안 대표 미디어 데일리시큐!★