이스트시큐리티(대표 정상원)는 자사의 백신 프로그램 ‘알약’을 통해, 2021년 4분기 총 16만 3천 229건의 랜섬웨어 공격을 차단했다고 12일 밝혔다.
통계에 따르면 2021년 4분기 알약을 통해 차단된 랜섬웨어 공격은 ▲총 16만 3천229건으로, 이를 일간 기준으로 환산하면 일평균 ▲약 1천 813건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다.
또, 이스트시큐리티 시큐리티대응센터(이하 ESRC)의 집계 결과, 4분기 동안 랜섬웨어 차단 통계는 지속적으로 증가하면서 3분기 대비 약 2만 건 늘어난 것으로 나타났다.
이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많을 것으로 추정된다.
ESRC는 지난 4분기 주요 랜섬웨어 공격동향으로 ▲로그4j(Log4j) 취약점(CVE-2021-44228)을 악용한 랜섬웨어 공격 ▲기업을 타깃으로 한 새로운 랜섬웨어 얀루오왕(Yanluowang) 발견 ▲아틀라시안 컨플루언스(Atlassian Confluence) 및 깃랩 엑시프툴(GitLab exiftool) 원격코드 실행 취약점 악용한 랜섬웨어 유포 ▲바북(Babuk) 랜섬웨어 복호화 툴 공개 등을 선정했다.
먼저, 4분기에 가장 주목할 만한 위협으로는 현재까지도 이슈가 되고 있는 로그4j 취약점을 꼽을 수 있다. 로그4j는 자바 기반 로깅 유틸리티로, 2021년 12월 초 원격코드 실행 취약점(CVE-2021-44228)이 처음 공개된 이후 지속적으로 추가 취약점이 공개되고 있는 상황이다. 최근 이를 악용한 공격도 지속해서 보고되고 있는데, 2019년 발견된 콘티(Conti) 랜섬웨어는 로그4j 취약점을 활용해 클라우드 관리 소프트웨어인 ‘VM웨어 v센터(VMware vCenter)’의 서버를 공격했다. 텔유더패스(TellYouThePass)라고 알려진 비교적 오래된 랜섬웨어는 로그4j의 개념증명(PoC) 코드가 온라인에 출시된 이후 활동이 급증했다. 이 밖에도 콘사리(Khonsari) 공격자들이 원격 서버에 랜섬웨어를 유포하는 정황이 포착되기도 했다.
작년 10월 새로운 얀루오왕 랜섬웨어가 발견된 점도 주목할 필요가 있다. 해당 랜섬웨어는 정상적인 AD파인드(AdFind) 커맨드라인 활성 디렉터리 쿼리 툴과 관련해 의심스러운 활동을 조사하는 과정에서 발견됐다. 공격자는 해킹된 시스템에 얀루오왕 배포를 시도하기도 했다. 이 랜섬웨어는 아직 개발 단계에 있지만, 감염되면 기업에 큰 피해를 입힐 수 있는 만큼 기업들의 각별한 주의가 필요하다.
아틀라시안 컨플루언스와 깃랩 엑시프툴의 원격코드 취약점을 악용한 랜섬웨어 공격도 발견됐다. 케르베르(Cerber) 랜섬웨어는 아틀라시안 컨플루언스의 취약점(CVE-2021-26084)과 깃랩 엑시프툴의 취약점(CVE-2021-22205)을 악용했다. 아틀라시안 컨플루언스 취약점은 아톰 사일로(Atom Silo) 랜섬웨어 유포에도 활용됐다. 아틀라시안 제품은 과거에도 사이버 스파이 단체의 표적이 된 바 있다.
아울러, 작년 4분기에는 바북 랜섬웨어의 복호화 툴이 공개되기도 했다. 2021년 처음 발견된 바북은 데이터 유출을 목적으로 기업 대상 공격을 진행한다. 바북은 작년 6월 많은 변종이 생겨났는데, 이때 소스코드 전체가 랜섬웨어 해킹 포럼에 유출됐다. 사이버 보안 회사인 어베스트(Avast)는 유출된 소스코드와 복호화 키를 활용해 바북의 복호화 툴을 제작했다.
이 밖에 ESRC에서 밝힌 2021년 4분기 새로 발견되었거나 주목할 만한 랜섬웨어는 다음과 같다.
| 랜섬웨어 | 주요내용 |
| Sabbath | 미국과 캐나다의 의료 및 교육 조직을 공격 타깃으로 활동하는 랜섬웨어로, Sabbath 랜섬웨어의 배후에는 Arcane, Eruption, Rollcoast 랜섬웨어를 운영하는 것으로 알려진 UNC2190이 있는 것으로 추정되고 있음. Sabbath 랜섬웨어에서 과거 Arcane 랜섬웨어 공격에서 사용된 인프라에서 재사용된 부분이 많은 만큼 UNC2190이 Sabbath를 기반으로 또 다른 랜섬웨어를 제작하여 유포할 가능성이 클 것으로 추정됨. |
| BlackCat | 최초의 Rust 언어 기반 랜섬웨어. 다른 랜섬웨어 변종들과 유사하게 RaaS 형식으로 운영되며, 코어 개발자는 기업 환경에 침투하여 파일을 암호화하는 작업을 대신 수행할 파트너를 모집하여 공격을 수행함. |
| Lockean | Lockean 랜섬웨어는 프랑스 기업을 타깃으로 공격을 진행함. 해당 랜섬웨어 그룹은 최소 2020년 6월부터 활동했으며, DoppelePaymer, Maze, Prolock, Egregor, Sodinokibi 등 RaaS로 운영되는 랜섬웨어 그룹의 계열사일 것으로 추정되고 있음. |
| Rook | 2021년 12월 처음 등장한 랜섬웨어로 파일 암호화 후 .rook 확장자를 추가 후 해킹된 시스템에서 자신을 삭제함. 2021년 9월, 전체 소스코드가 공개된 이후 활동을 중단한 Babuk 랜섬웨어의 코드와 많은 부분에서 유사성이 확인되어, Babuk 랜섬웨어의 유출된 소스코드를 기반으로 개발되었을 것으로 추측됨. |
| Yanluowang | 기업을 대상으로 한 APT 공격에 사용된 아직 개발 단계인 새로운 랜섬웨어로, 감염된 시스템의 암호화된 파일에 추가하는 확장자 이름을 따 Yanluowang이라 명명되었음. |
| Conti | Conti 랜섬웨어는 2020년 7월 처음 등장하였으며, 등장 이후 활발한 활동을 하고 있음. 최근에는 Log4j 취약점을 악용하여 VMware vCenter 서버를 공격하였으며, 해당 공격은 랜섬웨어 그룹에서 Log4j 취약점을 악용한 첫 사례로 확인됨. |
| TellYouThePass | TellYouThePass 랜섬웨어는 비교적 오래된 랜섬웨어로, 주로 중국을 대상으로 공격을 진행하였음. 이후 활동이 뜸하다가 Log4j poc 코드가 온라인으로 출시된 이후 활동이 갑자기 급등하였음. |
이스트시큐리티 ESRC 관계자는 “최근 랜섬웨어 공격이 지속적으로 증가하는 것은 물론 배포 방식 역시 사회적 환경에 맞춰 진화해가고 있다”라며 “코로나19 바이러스 확산 방지를 위해 재택근무를 수행하는 임직원이 증가하고 있는 만큼, 기업 내부망에 접속해 사용되는 재택근무 단말기의 OS/SW 보안 업데이트 점검 의무화는 물론 임직원 보안 인식 교육도 병행해야 한다”라고 전했다.
한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해, 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.
