.jpg)
2023년 3분기 랜섬웨어 행위기반 차단 통계 및 알약 ‘랜섬웨어 행위기반 사전 차단 기능’ 활약 공개
[보안뉴스 이소미 기자] 보안 전문기업 이스트시큐리티(대표 정진일)는 2023년 3분기 백신 프로그램 ‘알약’에 탑재된 ‘랜섬웨어 행위기반 사전 차단’ 기능을 통해 총 41만 65건의 랜섬웨어 공격을 차단했다고 밝혔다.
이번 통계는 개인 사용자 대상으로 무료로 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 탐지 건까지 포함한다면 전체 공격은 더욱 많을 것으로 예상된다.
2023년 3분기 알약을 통해 차단된 랜섬웨어 공격은 총 41,065건으로 이를 일간 기준으로 환산하면 일 평균 446건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다.
이스트시큐리티는 2023년 3분기 랜섬웨어 주요 동향으로 △클롭(Clop) 랜섬웨어 조직 △무브잇(MOVEit) 취약점 악용 공격 지속 △3AM 랜섬웨어 등장 △VMware ESXi 서버 타깃으로 랜섬웨어 공격 지속 △락빗(LockBit) 랜섬웨어 쇠퇴를 선정했다.
첫째, 5월 27일 클롭 랜섬웨어 조직이 무브잇 트랜스퍼(MOVEit Transfer) 제로데이 취약점을 악용해 데이터 탈취 공격을 진행했다. 무브잇이 빠른 패치를 내놓았고 이후 2개의 추가 취약점을 해결했지만, 무브잇 취약점을 이용한 공격은 3분기까지 지속됐다. 이 공격으로 인해 약 500개의 조직과 3,500만 명의 개인이 피해를 입은 것으로 확인됐으며, 이를 통해 약 1억 달러 이상의 수익을 거뒀을 것으로 예상된다.
클롭 랜섬웨어 그룹은 이번 공급망 취약점을 이용해 큰 성공을 이뤘으며, 이러한 점을 모방해 다른 랜섬웨어 조직들도 새로운 공급망 취약점을 찾아 공격에 활용할 가능성이 높아질 것으로 예상되는 만큼 기업 보안담당자들은 사내에서 사용하는 SW들의 버전을 항상 최신으로 유지하는 것이 안전하다.
둘째, 새로운 3AM 랜섬웨어가 발견됐다. 3AM 랜섬웨어는 Rust 언어로 작성됐으며 기존에 알려진 랜섬웨어 제품군과는 관련 없는 새로운 랜섬웨어 계열로 추정되고 있다. 특이한 점은, 공격자들이 락빗 랜섬웨어 배포 시도 후 실패할 경우 3AM 랜섬웨어를 배포한다는 것이다.
3AM 랜섬웨어는 파일을 암호화하기 전, 다양한 보안 및 백업 제품 등 여러 서비스를 중지하려고 시도하며, 암호화 완료 후에는 볼륨 섀도 복사본 삭제를 시도한다. 랜섬 행위 외에 다양한 코발트 스트라이크(Cobalt Strike) 구성 요소를 실행하고 PsExec을 사용해 시스템 권한 상승을 시도한다. 파일 암호화 이후 확장자를 .threeamtime으로 변경해 3AM 랜섬웨어로 명명됐다.
단일 공격에서 두 종류의 랜섬웨어를 유포하는 것이 처음 발견된 것은 아니지만, 현재 제일 활발하게 공격을 진행 중인 락빗 랜섬웨어 공격의 대체 수단으로 사용되었다는 점만으로도 충분히 주목할 만하다. 향후 3AM 랜섬웨어가 독립적으로 공격을 진행하는 방향으로 진화할지는 지켜볼 필요가 있다.
셋째, VMware ESXi를 타깃으로 하는 랜섬웨어 공격도 지속됐다. 많은 기업들이 더 나은 성능 및 리소스 관리를 위해 가상화 환경을 구축하는 추세로다. 이 중 VMware ESXi는 가장 인기 있는 가상 머신 플랫폼 중 하나다.
몬티(Monti) 랜섬웨어는 2022년 6월 처음 발견됐으며, 의도적으로 콘티(Conti) 랜섬웨어를 모방한 이름과 공격 기법을 사용했다. 심지어 콘티의 유출된 소스코드를 사용하기도 했다.
이 조직은 23년 8월 새로운 Linux 기반의 랜섬웨어를 공개했는데, 기존에 유출되었던 콘티의 소스코드를 기반으로 제작된 이전 버전과는 달리, 새로운 버전은 다른 암호화 방식을 사용하며, 파일 크기를 기준으로 암호화할 파일을 선정한 것으로 확인됐다. 암호화 후에는 파일 확장자를 .monti로 변경한다.
2023년 3월에 등장한 아비스 락커(Abyss Locker)의 리눅스 버전이 VMware ESXi 서버를 타깃으로 공격을 진행 중인 것이 확인됐다. 다른 랜섬웨어들과 마찬가지로 아비스 락커(Abyss Locker) 랜섬웨어 역시 기업 네트워크에 침투해 데이터를 탈취하고 암호화한다. 또한, 랜섬머니를 지불하지 않을 시 Abyss-data라는 Tor 사이트에 데이터를 유출한다. 분석결과 VMware ESXi 관리툴 명령어인 ‘esxcli’를 이용해 사용 가능한 가상머신들을 모두 종료하는 것으로 보아 해당 랜섬웨어가 VMware ESXi 서버를 공격 대상으로 하고 있다는 점을 알 수 있다.
마지막으로, 락빗 랜섬웨어가 쇠퇴의 길로 들어서는 것으로 추정되고 있다. 락빗 랜섬웨어는 2020년 처음 등장한 RaaS 랜섬웨어로, 등장 이후부터 락빗 랜섬웨어는 최근까지 활발한 공격 활동을 벌였다. 22년 9월 22일, 락빗 3.0 빌더가 유출됐고, 이렇게 유출된 빌더의 소스코드는 다른 랜섬웨어 조직들에게 악용돼 다양한 변종을 제작하는 데 사용됐다.
그러나 최근 한 보안전문가 블로그에 따르면, 락빗 데이터 유출 사이트에 심각한 버그가 있으며 일부 협력사들이 이러한 버그를 눈치채고 이미 락빗을 떠났다고 밝혔다. 또한, 락빗의 새로운 버전의 출시가 늦어진 것도 락빗의 협력사들이 갖는 불만 중 하나이며, 락빗 랜섬웨어 조직 역시 서비스에 이러한 버그가 있는 것을 인지하고 수정하고자 노력하고 있지만 어려움이 있는 것으로 추정된다고 밝혔다. 락빗 랜섬웨어가 이러한 어려움을 딛고 다시 명성을 되찾을 것인지, 아니면 이렇게 쇠퇴의 길로 들어설 것인지 향후 행보에 관심이 쏟아지고 있다.
이 밖에 ESRC에서 선정한 2023년 3분기 새로 발견되었거나 주목할 만한 랜섬웨어는 다음과 같다.
한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.
[이소미 기자(boan4@boannews.com)]
[보안뉴스 이소미 기자] 보안 전문기업 이스트시큐리티(대표 정진일)는 2023년 3분기 백신 프로그램 ‘알약’에 탑재된 ‘랜섬웨어 행위기반 사전 차단’ 기능을 통해 총 41만 65건의 랜섬웨어 공격을 차단했다고 밝혔다.
▲2023년 3분기 알약 ‘랜섬웨어 행위기반 차단 통계 공개[이미지=이스트시큐리티]
이번 통계는 개인 사용자 대상으로 무료로 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 탐지 건까지 포함한다면 전체 공격은 더욱 많을 것으로 예상된다.
2023년 3분기 알약을 통해 차단된 랜섬웨어 공격은 총 41,065건으로 이를 일간 기준으로 환산하면 일 평균 446건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다.
이스트시큐리티는 2023년 3분기 랜섬웨어 주요 동향으로 △클롭(Clop) 랜섬웨어 조직 △무브잇(MOVEit) 취약점 악용 공격 지속 △3AM 랜섬웨어 등장 △VMware ESXi 서버 타깃으로 랜섬웨어 공격 지속 △락빗(LockBit) 랜섬웨어 쇠퇴를 선정했다.
첫째, 5월 27일 클롭 랜섬웨어 조직이 무브잇 트랜스퍼(MOVEit Transfer) 제로데이 취약점을 악용해 데이터 탈취 공격을 진행했다. 무브잇이 빠른 패치를 내놓았고 이후 2개의 추가 취약점을 해결했지만, 무브잇 취약점을 이용한 공격은 3분기까지 지속됐다. 이 공격으로 인해 약 500개의 조직과 3,500만 명의 개인이 피해를 입은 것으로 확인됐으며, 이를 통해 약 1억 달러 이상의 수익을 거뒀을 것으로 예상된다.
클롭 랜섬웨어 그룹은 이번 공급망 취약점을 이용해 큰 성공을 이뤘으며, 이러한 점을 모방해 다른 랜섬웨어 조직들도 새로운 공급망 취약점을 찾아 공격에 활용할 가능성이 높아질 것으로 예상되는 만큼 기업 보안담당자들은 사내에서 사용하는 SW들의 버전을 항상 최신으로 유지하는 것이 안전하다.
둘째, 새로운 3AM 랜섬웨어가 발견됐다. 3AM 랜섬웨어는 Rust 언어로 작성됐으며 기존에 알려진 랜섬웨어 제품군과는 관련 없는 새로운 랜섬웨어 계열로 추정되고 있다. 특이한 점은, 공격자들이 락빗 랜섬웨어 배포 시도 후 실패할 경우 3AM 랜섬웨어를 배포한다는 것이다.
3AM 랜섬웨어는 파일을 암호화하기 전, 다양한 보안 및 백업 제품 등 여러 서비스를 중지하려고 시도하며, 암호화 완료 후에는 볼륨 섀도 복사본 삭제를 시도한다. 랜섬 행위 외에 다양한 코발트 스트라이크(Cobalt Strike) 구성 요소를 실행하고 PsExec을 사용해 시스템 권한 상승을 시도한다. 파일 암호화 이후 확장자를 .threeamtime으로 변경해 3AM 랜섬웨어로 명명됐다.
단일 공격에서 두 종류의 랜섬웨어를 유포하는 것이 처음 발견된 것은 아니지만, 현재 제일 활발하게 공격을 진행 중인 락빗 랜섬웨어 공격의 대체 수단으로 사용되었다는 점만으로도 충분히 주목할 만하다. 향후 3AM 랜섬웨어가 독립적으로 공격을 진행하는 방향으로 진화할지는 지켜볼 필요가 있다.
셋째, VMware ESXi를 타깃으로 하는 랜섬웨어 공격도 지속됐다. 많은 기업들이 더 나은 성능 및 리소스 관리를 위해 가상화 환경을 구축하는 추세로다. 이 중 VMware ESXi는 가장 인기 있는 가상 머신 플랫폼 중 하나다.
몬티(Monti) 랜섬웨어는 2022년 6월 처음 발견됐으며, 의도적으로 콘티(Conti) 랜섬웨어를 모방한 이름과 공격 기법을 사용했다. 심지어 콘티의 유출된 소스코드를 사용하기도 했다.
이 조직은 23년 8월 새로운 Linux 기반의 랜섬웨어를 공개했는데, 기존에 유출되었던 콘티의 소스코드를 기반으로 제작된 이전 버전과는 달리, 새로운 버전은 다른 암호화 방식을 사용하며, 파일 크기를 기준으로 암호화할 파일을 선정한 것으로 확인됐다. 암호화 후에는 파일 확장자를 .monti로 변경한다.
2023년 3월에 등장한 아비스 락커(Abyss Locker)의 리눅스 버전이 VMware ESXi 서버를 타깃으로 공격을 진행 중인 것이 확인됐다. 다른 랜섬웨어들과 마찬가지로 아비스 락커(Abyss Locker) 랜섬웨어 역시 기업 네트워크에 침투해 데이터를 탈취하고 암호화한다. 또한, 랜섬머니를 지불하지 않을 시 Abyss-data라는 Tor 사이트에 데이터를 유출한다. 분석결과 VMware ESXi 관리툴 명령어인 ‘esxcli’를 이용해 사용 가능한 가상머신들을 모두 종료하는 것으로 보아 해당 랜섬웨어가 VMware ESXi 서버를 공격 대상으로 하고 있다는 점을 알 수 있다.
마지막으로, 락빗 랜섬웨어가 쇠퇴의 길로 들어서는 것으로 추정되고 있다. 락빗 랜섬웨어는 2020년 처음 등장한 RaaS 랜섬웨어로, 등장 이후부터 락빗 랜섬웨어는 최근까지 활발한 공격 활동을 벌였다. 22년 9월 22일, 락빗 3.0 빌더가 유출됐고, 이렇게 유출된 빌더의 소스코드는 다른 랜섬웨어 조직들에게 악용돼 다양한 변종을 제작하는 데 사용됐다.
그러나 최근 한 보안전문가 블로그에 따르면, 락빗 데이터 유출 사이트에 심각한 버그가 있으며 일부 협력사들이 이러한 버그를 눈치채고 이미 락빗을 떠났다고 밝혔다. 또한, 락빗의 새로운 버전의 출시가 늦어진 것도 락빗의 협력사들이 갖는 불만 중 하나이며, 락빗 랜섬웨어 조직 역시 서비스에 이러한 버그가 있는 것을 인지하고 수정하고자 노력하고 있지만 어려움이 있는 것으로 추정된다고 밝혔다. 락빗 랜섬웨어가 이러한 어려움을 딛고 다시 명성을 되찾을 것인지, 아니면 이렇게 쇠퇴의 길로 들어설 것인지 향후 행보에 관심이 쏟아지고 있다.
이 밖에 ESRC에서 선정한 2023년 3분기 새로 발견되었거나 주목할 만한 랜섬웨어는 다음과 같다.
▲ERSC에서 선정한 2023년 3분기 새로 발견된 랜섬웨어 목록[표=이스트시큐리티]
한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.
[이소미 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이소미기자 기사보기
[2024-04-24] _m.jpg)
.jpg)
