이스트시큐리티 "1분기 알약 랜섬웨어 차단 7만9649건"

락빗 조직 소탕 등 주요 동향도 소개

2024년 1분기 알약 랜섬웨어 행위기반 차단 건수. 이스트시큐리티 제공

이스트시큐리티는 알약의 랜섬웨어 행위기반 차단 건수가 올해 1분기 총 7만9646건이라고 밝혔다.

주요 랜섬웨어 동향으로 △크로노스 작전(Operation Cronos)을 통한 락빗(LockBit) 랜섬웨어 조직 소탕 △취약점을 이용한 랜섬웨어 공격 지속 △한국인터넷진흥원, 리시다(Rhysida) 랜섬웨어 복호화 툴 개발 △새로운 랜섬웨어의 지속적 등장을 선정했다.

지난 2월 국제 수사집행기관들이 협력, 크로노스 작전을 통해 락빗 랜섬웨어 조직을 소탕했다. 소스코드를 포함한 데이터 유출 사이트, 1000개 이상 암호 해독키 등을 압수했으며 34개 서버를 중단시키는 등 성과를 얻었다.

이로 인해 락빗 조직이 활동이 중단될 것으로 보였으나 무력화 5일만에 백업 데이터를 이용해 다크웹 사이트를 복구, 이를 통해 인프라와 운영적인 측면을 더 강화할 것이라고 발표했다.

아울러 보안 취약점을 이용해 랜섬웨어들이 유포되고 있다. 팀시티(Teamcity)의 온프레미스 플랫폼에서 인증을 우회하고 서버관리를 제어할 수 있는 두가지 심각한 취약점 (CVE-2024-27198 및 CVE-2024-27199)이 공개됐는데 자스민(Jasmin) 랜섬웨어 변종이 해당 취약점을 악용하는 것으로 확인됐다. 이 랜섬웨어는 보안팀이 랜섬웨어 공격을 시뮬레이션하는데 사용할 수 있도록 개발된 툴이지만 악의적인 목적으로 수정되어 유포됐다.

아키라(Akira) 랜섬웨어도 주로 다중 요소 인증(MFA)이 없는 계정 접근을 통한 VPN 무단 접속 방식을 이용하여 공격을 진행했으나 최근에 Cisco ASA·FTD 취약점을 악용, 공격을 진행하도록 공격 전술을 바꾼 것이 확인됐다.

새로운 랜섬웨어도 지속적으로 등장했다. 포보스(Phobos) 랜섬웨어의 다른 계열인 파우스트(Faust)라는 랜섬웨어가 등장했다. 파우스트 랜섬웨어는 파일리스 공격을 통해 암호화 프로세스를 시작하며 효율적인 실행을 위해 여러 스레드를 생성하는 특징이 있다.

러시아어를 사용하는 다크웹에 윙(Wing)이라는 새로운 RaaS(서비스형랜섬웨어)도 등장했다. 러시아어, 영어 두가지 언어를 지원하며 암호화 모드, 멀티스레딩, 커스터마이징과 같은 다양한 기능들을 제공한다. 이스트시큐리티는 윙(Wing) 랜섬웨어가 새로운 위협으로 급부상할지는 두고 볼 필요가 있다고 설명했다.

이스트시큐리티 ESRC는 "보안 취약점을 이용한 랜섬웨어 공격이 지속되고 있다"면서 "사용자·기업 보안담당자들은 주요 소프트웨어의 정기적인 업데이트를 통해 보안 취약점을 악용한 랜섬웨어 공격을 효과적으로 방지할 것을 권고 드린다"고 밝혔다.김영욱기자 wook95@dt.co.kr