[공격 목표가 이동하고 있다] 

[피해 현황을 알지 못한다는 것에 대한 영향]

FBI의 IC3(Internet Crime Complaint Center)는 2019년 10월에 발표한 경보에서 “IC3와 FBI 사례 정보 접수 내용에 따르면, 2018년 초 이후 광범위한 무차별 랜섬웨어 캠페인 발생은 급격히 줄었지만, 랜섬웨어 공격으로 인한 손실은 크게 증가했다”라고 밝혔다.
 
IC3는 “랜섬웨어 공격은 전체적인 공격 빈도가 일정하게 유지되고 있음에도 불구하고 점점 더 표적화되고 정교해지며 피해 비용이 증가하고 있다”라고 말했다. 

미국 상장 기업들은 주주들에게 중대한 사이버 공격을 공개해야 하는 의무의 일환으로, 미 증권거래위원회(Securities and Exchange Commission, SEC)에 랜섬웨어 공격에 당한 피해 상황에 대한 정보를 공개한다. 기업은 고객과 파트너에게 심각한 비즈니스 차질을 설명해야 할 때 피해 사건을 공개해야 할 수도 있다.
 
예를 들어, 2017년 낫페트야 공격의 결과로, 대형 운송업체인 머스크(Maersk)는 17개 항구 터미널에서 운영을 중단해야 했고, 이로 인해 화물 적재 대기 라인이 크게 늘어나 이를 해결하는 데에만 수 개월이 걸리는 물류 악몽에 시달렸다. 이 사건으로 인해 머스크는 2억 달러 이상의 손실을 입었지만, 고객 비즈니스에도 심각한 영향을 미쳤다.

랜섬웨어가 지방자치단체, 병원, 학교 또는 경찰서와 같은 공공 기관을 공격할 때, 그 충격에 대한 가시성이 커지고 피해 여파가 우려된다. 보안 업체 엠시소프트(Emsisoft)가 2019년 12월에 발표한 보고서에 따르면, 랜섬웨어 공격은 113개 미국 정부기관, 지방자치단체, 주정부에 영향을 미쳤으며, 764개의 의료 서비스 제공업체와 89개의 대학교 및 단과대학 등이 영향을 받을 가능성이 있다고 한다.  

​[랜섬웨어 진화]

​

랜섬웨어, APT 레벨의 위협으로 진화 공공기관이 더 쉬운 대상이라 하더라도, 민간 기업이 랜섬웨어 감염 위험에서 벗어난 것은 아니다. 지난 몇 년간 랜섬웨어 범죄자는 표적형 전달 매커니즘, 관리도구 및 유틸리티를 사용한 매뉴얼 해킹(manual hacking), 은밀한 네트워크 정찰, 그리고 이와 관련된 다른 공격 프로세스 등 정교한 기술을 채택해왔다. 이런 기술은 원래 사이버 스파이 그룹 및 국가 주도의 행위자와 연관이 있었다. 이는 기존 사이버 범죄자들이 APT(Aadvanced Persistent Threat) 기법을 채택하고 있는 더 큰 트렌드의 일부다.  

쿠자와는 “매뉴얼 감염(manual infections)이라 부르는 공격이 증가했다. 이는 인터넷에 연결된 서버와 프로토콜에 취약점이 있는 공격이나 공격자가 시스템 터미널에 액세스해 백도어로 사용할 수 있는 공격 방법이다. 이를 통해 사이버 범죄자들은 기능상 제약이 있는 자동화된 악성코드에 의존하는 대신, 보안 소프트웨어를 비활성화하고 다양한 작업을 수행하면서 특정 대상에 랜섬웨어를 배포할 수 있다”라고 설명했다.  

이런 방식으로 배포한 것으로 알려진 랜섬웨어 샘샘(SamSam)의 시작은 2016년까지 거슬러 올라간다. 류크(Ryuk), 로빈후드(RobinHood) 및 소디노키비(Sodinokibi)와 같은 지난 해동안 관찰된 새로운 랜섬웨어들도 같은 전술을 채택했다.
 
더욱이 랜섬웨어가 사이버 범죄자들이 데이터를 암호화하는 것뿐만 아니라 데이터를 도용해 인터넷에 공개하려고 위협하는 새로운 유형의 위협으로 진화하고 있다는 징후도 포착됐다. 이를 통해 피해 조직은 공공 데이터 유출과 관련한 규제와 재정 및 평판에 영향을 받을 수 있다. 

2019년 12월, 메이즈(Maze)라는 해커그룹은 몸값 지불을 거부할 경우, 랜섬웨어에 감염된 조직에서 도난당한 데이터를 공개하겠다고 위협했다. 피해 조직에는 미국 플로리다 주 펜사콜라시가 포함되어 있었는데, 펜사콜라시는 12월 7일 휴대전화, 도시 핫라인, 이메일 서버, 청구서 결제 시스템을 교란시키는 공격을 받았다. 

다른 해커 그룹은 데이터 유출을 강탈(Extortion) 기법으로 사용해 왔다. 2015년 소비자를 대상으로 하는 키메라(Kimera)라는 랜섬웨어는 피해자로부터 도난된 개인정보를 공개하겠다고 위협했다. 그러나 키메라의 경우, 단지 공포 전술일뿐이었고 공격자는 실제로 감염된 시스템에서 데이터를 훔치지 않았다. 

지난 수년간 사이버 범죄자들이 도난당한 정보를 공개하겠다고 위협한 많은 행위가 대부분 가짜로 판명됐다. 대량의 데이터를 유출하는 것이 어렵기 때문이다. 피해자의 데이터를 유출하기 위해서는 수백 테라바이트의 데이터를 수신하고 저장할 수 있는 인프라가 필요하다. 이는 공격 캠페인에 상당한 비용을 추가한다. 그러나 유지 관리가 쉽고 스토리지 및 데이터 트래픽 비용을 낮추는 클라우드 인프라의 등장으로 이런 공격이 현실화되기 시작했다. 

 
[새로운 공격 방법, "탐지가 쉽지 않다" ]

​

랜섬웨어를 배포하는 주요 방법은 스피어 피싱과 안전하지 않은 RDP(Remote Desktop Protocol) 연결로 유지된다. 그러나 공격자는 이미 다른 악성코드에 감염된 시스템에 액세스할 수도 있다. 온라인 마켓 플레이스는 해킹된 컴퓨터와 서버에 대한 액세스를 판매하고 있으며, 봇넷은 이를 사려는 이들을 위해 추가적인 악성코드를 배포한다. 예를 들어, 이모텟(Emotet) 스팸 봇넷, 트릭봇(TrickBot) 자격증명 도용 트로이, 류크 랜섬웨어의 관계는 보안 업계에서 잘 알려져 있다. 

매니지드 보안 서비스 제공업체 시큐어웍스(Secureworks) 연구원 크리스 율은 지난해 11월에 열린 디프캠(DefCamp) 컨퍼런스에서 “류크 랜섬웨어 사건의 초기 해킹은 거의 항상 상업용 악성코드를 통해 발생한다”라고 말했다. 율의 강연은 대기업의 실제 랜섬웨어 감염에 대한 통찰력을 제공했다. 



[풀기가 더 어려워진 랜섬웨어]

​

풀기가 더 어려워진 랜섬웨어 암호화보안 업체는 피해자가 돈을 지불하지 않고 파일을 복구할 수 있도록 랜섬웨어 프로그램의 파일 암호화 구현에서 취약점을 찾아내려고 한다. 이런 노력의 결과로 만들어진 해독 도구는 일반적으로 무료로 배포되며, 이는 유로폴(Europol)에서 유지 관리하는 노모어랜섬(NoMoreRansom.org) 사이트에서 이용할 수 있다.

그러나 좀 더 지능적인 그룹이 사용하는 랜섬웨어는 상당히 성숙하다. 공격자들은 과거의 실수나 다른 랜섬웨어 개발자의 실수를 통해 구현 오류를 수정했다. 

일부 랜섬웨어 프로그램 코드가 온라인으로 유출되어 복사 및 개선이 가능하다. 운영체제는 또한 암호화 API를 제공하며 잘 알려진 오픈소스 암호화 프레임워크 및 라이브러리가 있다. 공격자에게 가장 인기있는 랜섬웨어 프로그램은 강력한 암호화 알고리즘을 사용하고 해결책이 없기 때문에 가장 위험하다는 것을 의미한다. 

조직에서는 백업 계획을 수립하고 정기적으로 테스트하는 데이터 복원 계획을 세우는 것이 중요하다. 또한 공격자가 백업을 삭제하거나 암호화하는 것을 방지하기 위해 백업을 오프사이트 또는 네트워크 외부에 보관해야 한다. 알려진 일부 사례에서 조직은 백업이 해킹됐거나 복구 프로세스가 해독기를 구입하는 것보다 너무 오래 걸렸기 때문에 몸값을 지불하기로 결정할 수 밖에 없었다.   

[필수적인 랜섬웨어 방어 전략]