이스트시큐리티, 2분기 알약 이용자 랜섬웨어 행위기반 차단 통계 공개…전 분기 대비 감소·위협은 여전

 보안 전문 기업 이스트시큐리티(대표 정진일)는 자사의 백신 프로그램 ‘알약’에 탑재되어 있는 ‘랜섬웨어 행위기반 사전 차단’기능을 통해, 2022년 2분기 총 148,689건의 랜섬웨어 공격을 차단했다고 8일 밝혔다.

시큐리티대응센터(이하 ESRC) 통계에 따르면, 2분기 알약을 통해 차단된 랜섬웨어의 공격은 ▲총 148,689건으로, 이를 30일 기준 일간으로 환산하면 일평균 ▲약 1,652건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다.  이는 1분기 대비 약 2만 9천여 건 감소한 수치이지만, 랜섬웨어의 위협은 여전히 높은 것으로 평가했다.

이번 통계는 오직 개인 사용자를 대상으로 무료 제공하는 공개용 알약(ALYac) 제품의 ‘랜섬웨어 행위기반 차단 기능’을 통해 차단된 수치만 집계한 결과이며, 만일 패턴(시그니처) 기반 탐지 건까지 합쳐진다면 전체 공격 건수는 훨씬 증가할 것으로 보인다.

현재, 알약 이용자 기반의 행위기반 랜섬웨어 차단 건수는 6월부터 극명한 차이를 보이며, 현저히 감소추세로 전환한 양상을 보이고 있다. 하지만 패턴을 기반으로 한 탐지 수치에는 큰 변화가 없어, 변종 공격으로 인한 일시적 소강상태 등 여러 가능성을 열어두고 3분기까지 좀 더 시간을 두고 지켜봐야 할 필요가 있다.

이스트시큐리티는 2022년 2분기 랜섬웨어 주요 동향으로 ▲비너스락커 (VenusLocker) 그룹의 이력서 및 저작권 위반 사칭 메일을 통해 유포된 한국 맞춤형 마콥(Makop), 락빗(LockBit) 랜섬웨어의 기승 ▲타이포스쿼팅(Typosquatting) 기법을 통한 매그니베르 (Magniber) 랜섬웨어 유포 ▲러시아의 우크라이나 침공 이슈와 관련된 랜섬웨어 위장 와이퍼(Wiper) 공격 등을 선정했다.

이른바 비너스락커 그룹으로 알려진 랜섬웨어 유포 조직은 오랜 기간 동안 한국에서 활동 중이다. 최근에는 NSIS 기반으로 변형한 마콥 또는 락빗 랜섬웨어 변종을 유포하고 있어, ESRC에서는 해당 그룹을 지속해서 추적하고 있다. 이뿐 아니라 과거 비너스락커 그룹이 사용한 벡터를 모방한 또 다른 제3의 위협 행위자 소행 가능성도 배제하지 않고 이에 대한 추가 조사도 진행 중이다.

현재, 해당 조직은 이용자의 업무적 필요성 및 심리적 불안감을 이용해 교묘한 방식으로 랜섬웨어 위협을 꾸준히 전개하고 있다. 대표적으로 이력서가 담긴 첨부 파일을 보낸 것처럼 위장하거나, 이미지 파일의 저작권을 위반했다는 내용 등을 활용한 사례가 있다.

매그니베르 랜섬웨어도 기승을 부렸다. 해당 랜섬웨어는 인터넷 사이트 주소를 잘못 입력하면 영문 철자가 유사한 악성 사이트로 연결되도록 하는 일명 ‘타이포스쿼팅’ 공격 기법을 활용한다. 이번 분기에 많은 사용자가 윈도우 업데이트용 설치 프로그램으로 위장한 해당 랜섬웨어 공격에 속아 속수무책으로 감염됐다.

아울러 러시아의 우크라이나 침공으로 전쟁이 지속되고 있는 가운데, 익명의 사이버 그룹들은 자신들이 지지하는 국가를 공개하고, 상대 국가에 대한 사이버 공격을 감행했다. 지난 5월에 발견된 카오스(Chaos) 랜섬웨어 변종은 사용자 컴퓨터를 감염시킨 후 확장자를 'fuckazov'로 바꾸는데, 여기서 azov는 우크라이나의 아조프 대대를 의미하는 것으로 알려졌다.

새로운 랜섬웨어도 등장했다. 바로, 류크(.Ryuk) 확장자를 사용한 워너프렌드미(WannaFriendMe)로 해당 랜섬웨어는 카오스(Chaos) 랜섬웨어의 변종에 가까운 것으로 알려졌다. 이 랜섬웨어의 특이한 점은 비트코인이나 이더리움 대신 로블록스(Roblox) 게임스토어를 통해 복호화 툴(Ryuk Decrypter)을 판매하고, 로벅스(Robux) 코인으로 몸값을 지불하도록 유도한 것이다. 현재 관련 게시 내용은 삭제 조치 된 상태이다.

다음으로 기업에서 많이 사용하는 가상화 플랫폼 VMware ESXi의 플랫폼 ESXi를 공격 대상으로 한 랜섬웨어도 많이 발견됐다. 22년 4월에 발견된 블랙바스터(Black Basta) 랜섬웨어는 처음에 윈도우 시스템을 공격 대상으로 삼았지만, 이후 발견된 리눅스 변종은 ESXi 서버만을 노리도록 특별히 설계됐다. 또, ESXi 서버만을 노린 치어스(Cheers) 랜섬웨어의 변종인 치어스크립트(Cheerscrypt)도 발견되는 등 앞으로 ESXi 서버를 공격 대상으로 한 랜섬웨어는 점점 더 증가할 것으로 예상된다.

한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해, 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.