주요 랜섬웨어에 대한 최신 동향 분석

Abstract

랜섬웨어는 금전 등을 목적으로 피해자의 시스템을 암호화하는 악성 프로그램이다. 랜섬웨어 갱단에 금전을 지불하는 기업 및 개인이 증가하며 랜섬웨어는 국제적인 문제로 떠올랐다. 국제 사회는 이에 대한 대응 차원에서 랜섬머니 지불 금지정책, 랜섬웨어 갱단 소탕 등을 통해 랜섬웨어 갱단을 압박하기 시작했다. 그러나 2019년부터 2023년까지 랜섬웨어 피해액은 2억 2천만 달러에서 11억 달러로 약 5배 증가하였다. 본 논문은 각종 규제에도 불구하고 피해액이 증가한 원인을 찾기 위해 2022년 1월부터 2024년 8월까지 피해 발생 건수가 많은 상위 5종 랜섬웨어 LockBit, Cl0p, BlackCat, Black Basta와 Rhysida 랜섬웨어의 피해 사례를 종합하였다. 이후 해당 내용을 기반으로 피해액 증가 원인에 대해 분석하였다.

Ⅰ. 서론

DarkSide 랜섬웨어 갱단의 콜로니얼 파이프라인 공격은 미국 전역의 송유관을 마비시키며 랜섬웨어의 위험성을 알렸다[1]. 이후 전 세계적으로 랜섬웨어 갱단 소탕에 많은 관심을 기울이고 있다. 2021년 9월과 2022년 4월 미국 재무부의 랜섬머니 지불 제재 및 랜섬웨어 유관 가상화폐 거래소 제한 정책 발표[2, 3], 2022년 7월 영국 국립사이버보안센터(National Cyber Security Centre)와 정보위원회(Information Commissioner's Office)의 랜섬머니 지불 반대 정책 발표[4], 2021년 6월 Cl0p 랜섬웨어 갱단 체포[5] 등의 국제적인 랜섬웨어 갱단 압박은 2022년 랜섬웨어 피해액 규모 감소에 영향을 미쳤다[6].

그러나 Chainalysis의 보고서[6]에 따르면 2019년부터 증가하던 랜섬웨어 피해액은 2022년에 감소하였다가 2023년에 다시 증가한다[그림 1]. 본 논문에서는 랜섬웨어 대응을 위한 국제적인 협력에도 불구하고, 피해액이 증가한 원인을 파악하고자 2022년 1월부터 2024년 8월까지 피해 발생 건수가 많은 상위 5개 랜섬웨어(LockBit, Cl0p, BlackCat, Black Basta와 Rhysida)의 피해 사례를 정리하였다. 이후 피해 사례 분석을 통해 랜섬웨어 공격 대상의 변화를 살펴본다.

[그림 1] 연도별 랜섬웨어 피해액[6]

논문의 구성은 다음과 같다. 2장에서는 주요 랜섬웨어를 소개하며, 3장에서는 랜섬웨어별 피해 사례 및 공격 대상 동향을 정리한다. 마지막으로 4장에서는 결론으로 마무리한다.

Ⅱ. 주요 랜섬웨어 소개

2.1. LockBit 랜섬웨어

LockBit 랜섬웨어는 2019년에 등장한 ABCD 랜섬웨어의 변종으로, 2022년 전 세계에서 가장 많이 배포된 랜섬웨어로 집계되었다[7, 8].

LockBit 랜섬웨어 갱단은 주로 실행 파일(exe) 및 문서 파일(docx)로 위장하여 랜섬웨어를 유포한다[9, 10]. 다른 랜섬웨어와 달리 데이터 유출 후, 데이터 암호화 및 분산 서비스 거부(Distributed Denial of Service, DDoS) 공격을 취하는 삼중 갈취 전략을 사용한다[11].

2.2. Cl0p 랜섬웨어

Cl0p 랜섬웨어는 2019년에 등장하여, 주요 국제 기업들을 대상으로 5억 달러 이상의 랜섬머니를 갈취한 랜섬웨어이다[12]. 랜섬웨어에 포함된 전자 서명이 공인된 인증기관으로부터 유효한 인증서를 발급받았기에, 백신 탐지를 우회할 수 있다[13].

Cl0p 랜섬웨어 갱단은 대규모 피싱 캠페인, 시스템 취약점 등을 통해 랜섬웨어를 유포한다. 주로 기업의 중앙 전산 관리 서버를 대상으로 공격을 수행하며, 서버와 연결된 모든 드라이브를 암호화한다[14]. 최근에는 Fortra LLC에서 제공하는 파일 전송 프로그램 GoAnywhere와 Ipswitch, Inc.에서 제공하는 파일 관리 프로그램 MOVEit의 제로데이 취약점을 악용하여 랜섬웨어를 유포하였다[15].

2.3. BlackCat 랜섬웨어

BlackCat(ALPHV) 랜섬웨어는 2022년에 등장한, Rust 언어로 개발된 최초의 랜섬웨어이다. Rust 언어는 메모리 안정성을 보장하기 위해 복잡한 메모리 관리 방식을 사용한다. 이는 C/C++로 개발된 일반 랜섬웨어보다 많은 분석 시간을 소요하게 한다.

BlackCat 랜섬웨어 갱단은 유출된 사용자 자격 증명을 악용하여 공격 대상 컴퓨터에 침투하거나, 파일 전송 프로그램인 WinSCP 설치 프로그램으로 위장하여 랜섬웨어를 유포하였다[16, 17].

2.4. Black Basta 랜섬웨어

Black Basta 랜섬웨어는 2022년에 등장한 랜섬웨어이다. Black Basta 랜섬웨어는 유포 후 단기간에 미국, 일본, 캐나다, 영국 등 특정 국가의 100여 개 이상 기업에 피해를 입혔다[18].

Black Basta 랜섬웨어 갱단은 네트워크 정보 추출 도구인 Mimikatz를 사용하여 자격 증명을 덤프한다. 이후 수집된 자격 증명을 사용하여 권한 상승 공격을 통해 네트워크를 장악 후. 랜섬웨어를 유포한다[19].

2.5. Rhysida 랜섬웨어

Rhysida 랜섬웨어는 2023년에 등장하여 영국 도서관, Isomniac Games, 칠레 군대 등을 포함하여 주로 공공기관이나 의료 기관을 대상으로 공격을 수행한 랜섬웨어이다[20, 21]. 2023년 12월 Rhysida 랜섬웨어 복구 도구가 개발되었으나, 최근 변종 Rhysida 랜섬웨어가 등장하였다.

Rhysida 랜섬웨어 갱단은 침투 테스트 도구인 Cobalt Strike를 사용하여 대상 시스템에 접근한다. 이후 권한 상승 공격을 통해 랜섬웨어를 유포한다[22].

Ⅲ. 주요 랜섬웨어 피해 사례

본 장에서는 2022년 1월부터 2024년 8월까지 발생한 LockBit, Cl0p, BlackCat, Black Basta와 Rhysida 랜섬웨어의 주요 피해 사례를 정리하였다. 이후 2022년 1월부터 2024년 8월까지 발생한 피해 사례를 표로 정리하였다.

3.1. LockBit 랜섬웨어 주요 피해 사례

2022년 4월 미국 정부 기관이 공격받았다[23]. 랜섬웨어는 원격 데스크톱(Remote Desktop Protocol, RDP)의 취약점을 통해 침투하였다. 시스템 침투 후 최소 5개월이 지난 후에 감염 사실을 알게 되었으며, 공격자는 계정의 자격 증명을 탈취하여 네트워크 손상을 확대하려고 하였다. 공격자가 접근할 수 있는 원격 서버를 차단했지만, 네트워크 일부는 이미 암호화된 상태였다.

2023년 1월 영국의 우편 및 택배 서비스 제공 회사 Royal Mail이 공격받았다[24]. 해당 공격으로 국제 배송에 사용되는 컴퓨터가 암호화되었으며, 세관 문서를 출력하는 프린터에서 랜섬노트가 인쇄되었다. 그 결과, 모든 국제 배송 및 수출 서비스가 중단되었다.

2023년 2월 미국의 치과 건강 보험회사 MCNA (Managed Care of North America) Dental이 공격받았다[25]. 해당 공격으로 700GB에 달하는 약 900만명의 환자 개인정보가 유출되었다. 공격자는 1,000만 달러의 랜섬머니를 요구했으며, 탈취한 정보를 모두 웹사이트에 공개하였다.

2023년 7월 일본 나고야 항구 시설이 공격받았다[26]. 해당 공격으로 시스템이 암호화되어 화물 적재 및 하역 시스템이 마비되어, 컨테이너 15,000개의 하역이 중단되었다.

3.2. Cl0p 랜섬웨어 주요 피해 사례

2023년 1월 미국의 환자 의료 비용 관리 서비스 업체 Intellihartx가 공격받았다[27]. 환자 포함 약 49만명의 이름, 주소, 생년월일 등의 데이터가 유출되었다. 업체 측은 데이터가 유출된 환자에게 통지하였으며 법무부에 침해 내용을 전달하였다.

2023년 5월 미국의 오리건주 교통부가 공격받아, 약 350만 명의 개인정보가 유출되었다[28]. 유출된 데이터에는 운전면허증, 신분증이 포함되어 있다. 교통부는 사고 발생 후 보호 조치를 취하였으며, 갱단의 어떠한 요구도 받아들이지 않았다.

2023년 5월 미국의 루이지애나주 차량관리국이 공격받았다[29]. 해당 공격으로 루이지애나주에서 운전면허증을 소지한 모든 주민 약 600만 명의 데이터가 손상되었다. 차량관리국은 신원 사기 방지를 위한 조치를 취할 것이라고 밝혔으며, 갱단의 어떠한 요구도 받아들이지 않았다.

2023년 5월 미국 비디오 게임 사업 회사 Sony Interactive Entertainment가 공격받아, 전/현직 직원들 약 6,800명의 개인정보가 유출되었다[30]. 기업은 침해 발견 즉시 오프라인으로 전환하고 취약점을 수정하였다. 또한, 피해를 입은 사람에게 신원 복구 서비스를 무료로 제공하겠다고 밝혔다.

2023년 5월 미국의 공공의료 프로그램 제조업체 CareSource가 공격받았다[31]. 해당 공격으로 환자 이름, 생년월일, 처방약 정보, 의료기록 등의 민감한 개인정보를 포함한 40GB의 데이터가 유출되었다.

3.3. BlackCat 랜섬웨어 주요 피해 사례

2022년 2월 스위스의 공항 화물 처리, 항공기 정비, 청소 등의 항공 서비스 제공회사 Swissport가 공격받았다[32]. 해당 공격으로 여권번호, 이메일, 전화번호 등의 개인정보를 포함한 1.6TB의 데이터가 유출되었다. 또한, 취리히 공항의 항공편 22편이 약 30분 지연되었다[33].

2023년 7월 일본의 시계 제조업체 Seiko가 공격받았다[34]. 해당 공격으로 인해 이름, 주소 등의 고객 정보, 회사 지원자의 개인정보와 전/현직 직원의 인사 정보가 유출되었다.

2024년 2월 미국의 의료 인프라 서비스 제공업체 Change Healthcare가 공격받았다[35]. 해당 공격으로 인해 미국 국민 1/3의 사회보장번호, 의료기록 등의 민감 정보가 유출되었다. 또한, 모회사 United HealthCare는 데이터 유출을 막기 위해 2,200만 달러를 BlackCat 랜섬웨어 갱단에게 지불하였다.

3.4. Black Basta 랜섬웨어 주요 피해 사례

2023년 5월 로봇, 에너지와 자동화 기술 분야의 스위스 기반 다국적 기업 ABB가 공격받았다[36]. 해당 랜섬웨어의 공격으로 인해 Windows Active Directory가 손상되었고 수백 대의 컴퓨터가 영향을 받았다. ABB는 추가 감염을 막기 위해 고객과의 VPN 연결을 종료하였다.

2023년 5월 독일의 자동차 및 무기 제조업체인 Rheinmetall AG 기업이 공격받아 내부 데이터가 유출되었다[37]. Black Basta 랜섬웨어 갱단은 유출 사이트에 비공개 계약, 기술 도식, 여권 스캔본 및 구매 주문서 등을 포함한 데이터를 게시하였다.

2024년 1월 현대자동차의 유럽 사무소가 공격받았다[38]. Black Basta 랜섬웨어 갱단은 해당 공격을 통해 약 3TB의 데이터를 탈취했으며, 현대자동차 측은 구체적인 피해에 대해 밝히지 않았다. Black Basta가 유출한 데이터의 폴더 이름으로 유추하였을 때 법무, 영업, 인사, 회계, IT, 경영 등 다양한 부서와 관련된 것으로 추정된다.

3.5. Rhysida 랜섬웨어 주요 피해 사례

2023년 7월 케냐의 계측 표준과 관행을 관리하고 유지하는 일을 담당하는 정부 기관인 KEBS (Kenya Bureau of Standards)가 공격받아 약 739GB의 데이터가 유출되었다[39]. 유출 데이터에는 금융 기록, 이메일, 제품 테스트 데이터 등의 민감 정보가 포함되어 있다. 케냐 표준국은 Rhysida 랜섬웨어 갱단의 협상을 거절하였다. 이후 Rhysida 랜섬웨어 갱단은 유출 데이터를 다크 웹 경매를 통해 공개하였다.

2023년 8월 미국의 의료 시스템 기업인 Prospect Medical Holdings가 공격받아 1TB의 문서와 1.3TB의 데이터베이스가 유출되었다[40]. 유출 데이터에는 50만 개의 사회보장번호, 회사 문서, 환자 기록이 포함되어 있다. Rhysida 랜섬웨어 갱단은 유출한 데이터를 50비트코인에 판매하겠다고 위협했다.

2024년 1월 미국 시카고의 어린이 병원 The Ann & Robert H. Lurie Children’s Hospital이 공격받았다[41]. 해당 공격으로 인해 병원은 전화, 이메일 및 의료기록 시스템을 포함한 전자 시스템이 중단되었다. 또한, 약 79만 명의 이름, 주소, 생년월일 등 민감한 정보가 유출되었다.

3.6. 그 외 랜섬웨어 피해 현황

2022년 1월부터 2024년 8월까지 확인된 LockBit, Cl0p, BlackCat, Black Basta와 Rhysida 랜섬웨어의 피해 사례를 분류하였다. 사회 기반 시설의 상세 분류기준은 [표 1]과 같다. 해당 분류 기준을 통해 정리한 피해 사례는 [표 2]와 같다.

[표 1] 사회 기반 시설 분류 기준

[표 2] LockBit, Cl0p, BlackCat, Black Basta와 Rhysida 랜섬웨어 피해 사례(2022. 01. ~ 2024. 08.)

2022년에는 기업 및 개인 9건, 사회 기반 시설 8건 총 17건의 피해 사례가 발생하였다. 2023년에는 기업 및 개인 21건, 사회 기반 시설 38건(의료 15건, 교육 4건, 그 외 19건) 총 59건의 피해 사례가 발생하였다. 2024년 1월부터 8월 사이에는 기업 및 개인 2건, 사회기반 시설 6건(의료 3건, 그 외 3건) 총 8건의 피해 사례가 발생하였다. 사회 기반 시설 공격 비율은 2022년 약 47%에서 2024년 8월까지 약 74%로 약 27% 증가하였다. 연도별 랜섬웨어 피해 대상 비율은 [그림 2]와 같다.

[그림 2] 연도별 랜섬웨어 피해 대상 비율

Ⅳ. 결론

본 논문은 국제적 압박에도 불구하고 피해액이 증가한 원인을 찾기 위해 피해 발생 건수가 많은 상위 5개 랜섬웨어의 피해 사례를 정리하였다. 분석 결과, 랜섬웨어 갱단은 압박에 대응하기 위해 공격 목표를 기업과 개인에서 사회 기반 시설 로 변경한 것으로 나타났다.

실제로 랜섬웨어 피해 기관 중 사회 기반 시설은 2022년 약 47%였지만 2023년 약 64%, 2024년 8월까지는 약 74%로 증가하였다. 이는 사회 기반 시설이 랜섬머니를 지불할 확률이 높기 때문이다. 의료 기관은 랜섬웨어 공격을 받아 시설이 마비되면 응급 환자 처치나 일반 진료가 불가해진다. 또한, 신체 사진, 진료 기록 등의 민감한 개인정보가 유출될 위험이 있어, 이를 막기 위해 랜섬머니를 지불할 가능성이 높다. 수도, 전기와 같은 사회 기반 시설은 마비 시 국가가 마비될 수 있기에, 빠른 복구를 위해 지불 가능성이 높다. 랜섬머니 지불은 랜섬웨어에 활동 자금으로 사용되어, 더 많은 피해자를 양산한다. 따라서 사회 기반 시설은 랜섬웨어 사전 대응 조치를 강화해야 한다.

랜섬웨어 피해를 예방하기 위해서 주요 데이터 백업, 소프트웨어 최신 버전 업데이트, 백신 설치 등의 사전 대응은 중요하다. 만일 랜섬웨어에 감염되었을 경우, 피해를 최소화 하기 위한 조치가 취해져야 한다. 가장 중요한 것은 컴퓨터 전원을 끄지 않는 것이다. 이는 파일 암호화에 사용된 키가 메모리상에 남아있을 수 있기 때문이다. 이후 NO MORE RANSOM 등의 사이트에서 랜섬웨어 복구 도구를 찾아 복구를 시도해야한다. 복구 도구 개발은 랜섬웨어 갱단에게 랜섬머니를 지불하지 않고, 파일을 복구할 수 있는 방안 중 하나이다. 이는 랜섬웨어 갱단의 범죄 수익성을 악화시켜, 활동을 약화시킬 수 있다. 따라서 랜섬웨어 갱단의 완전 소탕을 위해서는 복구 도구 개발은 지속적으로 진행되어야 한다.