이스트시큐리티 "랜섬웨어, 가상화 환경·리눅스 타깃"

ESXi 서버 공격해 가상 머신 피해…공격 전술 변화·새 RaaS 그룹도 등장

(지디넷코리아=김미정 기자)최근 랜섬웨어 공격이 가상화 환경과 리눅스 시스템까지 파고들었다는 분석 결과가 나왔다.

이스트시큐리티는 최근 발생한 주요 랜섬웨어 동향 보고서를 29일 발표했다. 올 3분기 주요 랜섬웨어 트렌드로 ▲ESXi, 랜섬웨어 주요 타깃으로 부상 ▲리눅스 시스템을 타깃으로 하는 랜섬웨어 증가 ▲랜섬웨어 조직의 공격 전술 변화  ▲3분기 새로 등장한 서비스형 랜섬웨어(RaaS)가 꼽혔다.

ESXi는 VM웨어 하이퍼바이저다. 랜섬웨어 공격자가 ESXi 서버를 장악하면 해당 서버에서 동작하는 다양한 가상 머신에 영향을 준다. 올 6월 ESXi 에서 인증 우회 취약점(CVE-2024-37085)이 발견된 후 아키라(Akira)와 블랙바스타(BlackBasta), 블랙바이트(Black Byte) 등 다수 해킹 그룹이 공격에 해당 취약점을 적극 악용한 것으로 드러났다.

최근 랜섬웨어 공격이 가상화 환경과 리눅스 시스템까지 파고들었다는 분석 결과가 나왔다. (사진=오픈AI 달리3)

이스트시큐리티는 리눅스 서버를 공격하는 랜섬웨어도 증가하고 있다고 밝혔다. 최근 맬록스 랜섬웨어 변종이 발견됐는데, 윈도 시스템만을 공격 대상으로 한 기존과 달리 리눅스 시스템도 공격할 수 있도록 업데이트 된 것으로 전해졌다.

또 크립티나 코드 기반으로 작동하는 새로운 맬록스 랜섬웨어 변종도 추가로 발견됐다. 이 변종은 크립티나라는 랜섬웨어의 유출된 코드를 기반으로 하고 있다. 리눅스 시스템 공격을 위해 설계됐다.

이스트시큐리티는 랜섬웨어 조직이 전술을 바꾸고 있다고 분석했다. 이에 최근 발견된 퀼린 랜섬웨어 변종이 주목받고 있는 것으로 알려졌다. 이 변종은 특정 엔드 포인트에서 크롬 브라우저에 저장된 자격증명을 탈취한다. 탈취한 자격증명으로 다단계 인증(MFA)이 설정되지 않은 VPN을 통해 네트워크 접근을 시도한다.

3분기에도 새로운 RaaS 그룹들이 등장했다. 'Cicada3301'은 3분기에 새롭게 등장한 RaaS 그룹이다. 과거 암호학 퍼즐의 이름을 차용했다. 러스트로 작성돼 크로스플랫폼을 지원한다. 주로 VMware ESXi 같은 가상화 환경을 공격 대상으로 삼는다. 다른 랜섬웨어와 마찬가지로 이중 갈취 방식을 사용한다. 

이스트시큐리티 관계자는 "랜섬웨어 공격자들이 피해를 극대화하기 위해 ESXi 같은 가상화 솔루션을 주요 공격 타깃으로 삼고 있다"며 "보안 담당자들이 최신 보안 패치를 신속히 적용하고, 사용자 접근 권한을 철저히 관리함으로써 사이버 공격에 대한 예방 및 대응 체계를 강화해야 한다"고 밝혔다.

김미정 기자(notyetkim@zdnet.co.kr)