올해 3분기 유명 랜섬웨어 그룹뿐만 아니라 신규 랜섬웨어 그룹이 등장하면서 랜섬웨어 공격이 증가세를 이어간 것으로 나타났다.
SK쉴더스는 이 같은 내용을 담은 '2023년 3분기 카라(KARA) 랜섬웨어 동향 보고서'를 발간했다.
보고서에 따르면 지난 3분기 랜섬웨어 공격은 총 1384건으로 전년(584건) 동기 대비 두 배 넘게 증가했다. 특히 9월에만 496건의 공격이 집중됐다.
이는 클롭(Clop), 록빗(LockBit) 등 유명 랜섬웨어 그룹의 대규모 공격뿐만 아니라 사이클롭스(CyClops), 나이트(Knight) 등 신규 랜섬웨어 그룹 출현에 따른 것으로 분석된다. 신규 랜섬웨어의 공격 비중은 전체 공격의 17.6%나 차지했다. 지난해 3분기엔 신규 랜섬웨어 그룹 비중이 13%에 그쳤었다.
지난 9월엔 록빗이 국내 한 대기업의 데이터 800기바바이트(GB)를 탈취하고 업무 관련 문서, 데이터베이스 관련 파일 등 데이터 100GB를 공개해 파장이 일기도 했다. 록빗은 기업을 대상으로 데이터를 탈취하는 데서 나아가 데이터 공개를 빌미로 금전을 요구하는 이중 협박 전략을 쓰고 있어 기업의 피해가 커지고 있다.
랜섬웨어 공격 시 초기 침투를 전문으로 하는 브로커 'IAB(Initial Access Brocker)'와 협업은 더욱 강화하고 있는 것으로 조사됐다. 대형 랜섬웨어 그룹이 초기 침투 경로를 IAB에게 구매해 공격을 수행한 뒤 얻은 암호화폐 수익을 숨기는 '믹싱 서비스'를 이용하는 등 체계적인 공격 전략을 보이고 있기 때문이다.
아울러 초기 침투 방법으로 취약점을 악용한 전문적인 공격 방법과 비교적 공격이 쉬운 피싱, 스팸 메일, 사회공학기법을 이용한 상반된 전략이 모두 발견되고 있다.
SK쉴더스 인포섹의 랜섬웨어 대응센터는 고도화·다양화되는 랜섬웨어 공격에 선제적 대응을 돕기 위해 이번 보고서와 함께 랜섬웨어 복호화 도구 2종을 무료로 배포한다. 이번 2종은 '키그룹(KeyGroup)' 랜섬웨어와 '노빗(NoBit)' 랜섬웨어 일부 버전에서 실행 가능하며 암호화된 파일을 복구할 수 있다.
김병무 SK쉴더스 인포섹 클라우드보안사업본부장은 “특색 있는 신규 랜섬웨어가 계속 발견되고 매 분기 공격 건수가 늘어나는 만큼 공격자 관점에서 전략과 기법을 사전에 파악해 선제적이고 능동적인 조치가 필요한 시점”이라며 “이번 복호화 도구 무료 제공을 계기로 랜섬웨어 예방에서부터 사후 조치까지 기업 환경에 맞는 맞춤형 대응 방안을 지속적으로 제시할 것”이라고 말했다.
한편, 카라는 SK쉴더스의 정보보안 서비스 부문인 인포섹 주도로 구성된 랜섬웨어 대응 민간 협의체다. 각 분야 전문 기업들이 사고 접수와 대응, 복구, 대책까지 원스톱으로 대응하는 프로세스를 제공하고 있다.
조재학 기자 2jh@etnews.com
