2020-09-29 05:55 (화)
[보안칼럼] 2020년 랜섬웨어 공격을 통해 알아본 6가지 특성과 보안대책
상태바
[보안칼럼] 2020년 랜섬웨어 공격을 통해 알아본 6가지 특성과 보안대책
  • 길민권 기자
  • 승인 2020.08.10 14:57
이 기사를 공유합니다

랜섬웨어 공격은 불법적으로 기업의 네트워크에 침입하여 데이터를 암호화하고, 이를 볼모로 금전적인 이득을 취할 목적으로 수행하고 있으며, 이로 인한 기업의 데이터 손실 및 유실 뿐만 아니라 금전적으로도 상당히 심각한 피해를 주고 있습니다.

미국의 디지털 보안 및 데이터복구 회사인 Datto는 랜섬웨어로 인해 발생한 서비스 정지 등에 따른 기업의 피해는 년간 7천5백억달러(약 8조9천억원)에 달한다고 합니다. 그 외의 자료에 따르면, 랜섬웨어로 인해 기업은 시간당 평균 8천 5백달러의 손실(Govtech 조사결과)과, 크립토 멀웨어 사고당 65.645백달러의 비용손실이 발생한다(Coveware조사결과)고 이야기 하고 있습니다. 최근 스마트 기기 제조사인 가민은 랜섬웨어 공격을 당했으며, 8월 5일, 데이터 복구조건으로 해커에게 1천만 달러를 지불했다고 밝혔습니다.

랜섬웨어 공격은 새로운 상품개발을 저해하고 금전적인 피해로 인해 기업운영에 막대한 차질을 가져오고 있습니다. 따라서, 기업은 이러한 랜섬웨어 공격을 잘 이해하고 대응할 필요가 있습니다. 우선적으로 최근에 발생한 랜섬웨어 공격을 통해 변화된 공격패턴을 이해하는 것이 중요합니다. 여기서는 2020년에 발생한 랜섬웨어 공격을 통해 6가지 주요 공격특성에 대해 살펴보고, 대응방안에 대해 알아 보고자 합니다.


1. 데이터 탈취 및 공개 협박

최근 몇 년까지만 해도 데이터 백업은 랜섬웨어 공격자의 데이터 랜섬을 묵살하고, 추가 비용없이 데이터를 복구함으로써 빠르게 서비스를 정상화하는 랜섬웨어 공격 대응기법 중 하나였습니다. 하지만 최근에 와서는 데이터백업만으로는 랜섬웨어에 대한 공격에 대응할 수 없는 사건들이 발생하고 있습니다.

2019년 11월, 컴퓨터 장애를 해결해주는 Bleeping Computer의 웹사이트에 2십만명 이상의 직원을 보유한 보안인력회사의 네트워크에 Maze 랜섬웨어 공격이 발생했다는 글이 올라왔습니다. 공격자는 해당회사의 데이터를 암호화하기 전에 외부 서버에 복사하고, 돈을 지불하지 않으면 데이터를 온라인에 공개하겠다고 협박하였습니다. 이러한 공격수법은 기존의 데이터 백업을 통한 복구를 무색하게 하였습니다.

이후 다른 랜섬웨어 역시 데이터 백업을 우회하고 랜섬을 거부하는 희생자를 협박하는 방식으로 진화를 해오고 있습니다. 이들 멀웨어 갱단들은 Maze의 데이터 유출과 데이터 공개 협박이라는 방식을 따랐으며, 올해 3월과 4월 미국의 제조사와 헬스케어 회사를 공격할 때 이와 같은 수법을 사용했습니다.


2. 랜섬웨어간 협업 증가

Maze는 암호화 멀웨어를 통해 이익을 극대화했다고 할 수 있을 정도는 아니었습니다. 랜섬웨어 군들은 몇몇의 변종들이 컴플라이언스를 준수하지 않는 기업의 데이터를 유출하고 위협하는 방식으로 진화했습니다. 2020년 6월 초 Bleeping Computer에 따르면, 보안회사인 KeLa는 한 건축회사의 데이터가 ‘Maze News’ 데이터 유출 웹사이트에 추가된 것을 발견하였으며, 훔친 데이터는 Maze의 공격에 의한 것이 아닌, LockBit RaaS(Ransomware-as-a-service) 플랫폼에 의해 감염된 데이터라고 전했습니다. 공격자들은 데이터 유출 플랫폼을 공유하고 덜 완성된 랜섬웨어 실행자들의 경험을 얻기 위해 LockBit와의 협업을 결정했다고 밝혔습니다.


3. 다른 유형의 멀웨어와 공조

다른 형태의 멀웨어간의 공조는 탐지를 더욱 어렵게 하고 공격의 성공률을 높이게 됩니다. 이러한 공격형태는 2020년 상반기에 나타났습니다. 지난 3월, Bleeping Computer는 윈도우 시스템 성능향상 유틸리티를 다운받을 수 있는 포털을 통해 멀웨어가 유포되고 있음을 발견하였습니다. 일단 프로그램을 다운받으면 ‘file2.exe’ 파일과 함께 데이터를 암호화하는 ‘coronavirus ransomware’ 파일이 자동으로 다운로드 됩니다. 이 멀웨어는 ‘file1.exe’ 파일과 함께 패스워드 유출 멀웨어를 배포하는 Kpot이라는 멀웨어에 랜섬웨어 멀웨어를 추가한 것으로, 감염된 컴퓨터로부터 데이터를 훔친 후, 공격자가 미리 장악한 서버에 데이터를 전송합니다.

2020년 5월, 보안솔루션 회사인 Group-IB는 PwndLocker랜섬웨어군의 후속 버전인 ProLock을 발견하였습니다. 이 공격은 두 종류의 초기 접근 벡터 중 한나를 선택하고, 공격 대상의 RDP(Remote Desktop Protocol) 서버에 접근하기 위해 약한 인증정보를 공격하였습니다. 어떤 경우에는 Qakbot을 문서에 심어 보내기도 했으며, 이후 프로세스 인젝션 기술을 실행하거나 .BMP 또는 .JPG 파일에 숨겨진 ProLock 페이로드를 불러오기 위해 explorer.exe를 사용하는 등 다양한 전술을 시도했습니다.


4. 시사적 현안의 무기화

공격자들은 COVID-19 팬데믹과 같은 이슈를 이용해 사용자들의 관심을 유발하여 암호화 멀웨어를 다운받도록 유도합니다. 지난 6월, 슬로바키아 보안회사인 ESET는 COVID-19 추적앱으로 위장한 CryCryptor를 발견했으며, 이 멀웨어는 안드로이드 폰의 파일을 암호화하는 기능이 포함되어 있다고 밝혔습니다.

COVID-19은 랜섬웨어 공격 흐름에 변화를 주었습니다. 팬데믹 이전에는 일반기업 대비 헬스케어 회사를 대상으로 한 랜섬웨어 공격이 크게 증가하는 추세였으나, COVID-19 팬데믹 이후 공격이 감소하였으며, 어떤 랜섬웨어는 병원을 공격하지 않도록 설계된 것들도 있었습니다. 공격자들은 규모가 큰 병원이나 헬스케어 센터를 공격대상으로 삼을 수 있으며, 희생자가 데이터 복구의 시급성을 필요로 할 경우에는 비용지불을 기대할 수 있을 것입니다.


5. 랜섬웨어 공격자들의 체포 수 증가

예전에는 개별적으로 암호화 멀웨어 공격을 시도하는 경우, 그럭저럭 정부당국의 감시를 회피할 수 있었습니다. 그러나 최근에는 사법당국이 랜섬웨어와 같은 보안위협 인텔리전스 공유 및 대응체계를 강화함에 따라 랜섬웨어 공격자들에 대한 체포 건수가 증가하였습니다.


6. 딥페이크 랜섬웨어

트랜드마이크로에 따르면, 랜섬웨어 뿐만 아니라 딥페이크와 관련된 컴퓨터 범죄가 지속적으로 증가할 것이라고 예측하고 있습니다. Malwarebytes 역시 랜섬웨어와 딥페이크가 조합된 ‘딥페이크 랜섬웨어’ 공격이 가능하다고 보고 있습니다.

Malwarebytes는 저자이자 AI 전문가인 Paul Andrei Bricman과 함께 이러한 보안위협에 대한 가능성에 대해 논의하였으며, 그 중 한가지 가능성은 딥페이크 랜섬웨어 공격자가 웹사이트에 게시된 특정인물의 비디오로 가짜 비디오를 생성하여, 돈을 지불하지 않으면 가짜 비디오를 공개하겠다고 협박할 수 있습니다.

다른 한가지 가능성은 공격자는 영상물과 랜섬웨어를 결합하여, 영상물에 접근하는 사용자의 컴퓨터를 감염시킬 수 있습니다. 이러한 공격은 2015년에 페이스북 사용자들을 유인하기 위해 제작된 ‘Hot Video’와 유사합니다.

Malwarebytes는 현재까지 실질적으로 이러한 공격이 발생한 사례를 없다고 밝혔지만, 이러한 공격이 발생할 경우 희생자의 명성에 치명적인 해를 가할 수 있을 것이라고 이야기 하고 있습니다.


랜섬웨어 공격에 대한 대응전략

진행중인 공격을 탐지하는 것 만으로는 랜섬웨어 공격을 방어하기에 충분하지 않습니다. 다음은 추가적인 랜섬웨어 대응전략을 보여 줍니다.

1. 가시성 확보

IT환경에 대한 충분한 가시성을 확보하지 않으면 랜섬웨어 공격을 모니터링할 수 없습니다. 공격자들은 보안 취약점을 악용하여 끊임없이 시스템 접근권한 획득과 내부 네트워크로의 침투를 시도할 것입니다. 따라서 자산관리시스템을 이용해 사용중인 모든 H/W 및 S/W를 파악하고, 인공지능이 결합된 네트워크 모니터링 솔루션을 통해 내부 네트워크에서 활동 중인 랜섬웨어와 같은 공격들을 감시합니다.

2. 보안인식 제고

많은 랜섬웨어 공격들은 사회공학기법을 이용한 피싱공격이나 IT 운영 실수를 악용하고 있습니다. 이러한 점을 감안하여, 임직원들에게 다른 사회공학 기술과 피싱공격에 대한 사례전파 및 모의훈련 등의 보안교육을 함으로써 이러한 보안위협을 상당히 감소시킬 수 있습니다.

3. 강력한 보안통제 구현

잘 훈련된 경우라도, 이메일이 정상적이라고 판단하여 피싱공격에 당할 수 있습니다. 따라서 기업은 의심스러운 링크나 악성 도메인과 같은 보안위협을 자동으로 탐지하고 차단할 수 있는 스팸 방지 솔루션을 도입합니다. 또한 절차적•관리적 접근통제를 수립하고 내재화하여 강력한 보안통제를 구현합니다.

4. 침해사고 대응계획 수립

랜섬웨어 공격자들은 기업의 방어막을 뚫기 위해 끊임없이 새로운 기술을 개발하고, 보안 허점의 기회를 엿보며 공격할 것입니다. 따라서 보안사고에 대응할 수 있는 전문조직을 구성하고, 보안역량을 강화해야 합니다. 또한 침해사고 대응계획을 수립하고 정기적인 운영 및 점검을 통해 보안사고 발생시 신속하게 대응할 수 있어야 합니다.

[글. 이강석 보안칼럼리스트 / ksbebob@gmail.com]

★정보보안 대표 미디어 데일리시큐!★