보안 전문 기업 이스트시큐리티(대표 정진일)는 2024년 2분기 알약의 랜섬웨어 행위기반 사전 차단 기능을 통해 총 71,416건의 랜섬웨어 공격을 차단했다고 발표했다. 즉 하루 평균 793건의 랜섬웨어 공격이 차단된 셈이다.
이스트시큐리티는 24년 2분기 주요 랜섬웨어 동향으로 우후죽순 등장하는 RaaS 서비스, 정크건(Junk Gun)의 등장, 랜섬웨어의 공격 지속, ESXi 타깃 랜섬웨어 공격 패턴 공개를 선정했다. 자세한 내용은 하기와 같다.
전 세계적으로 악명을 떨친 락빗(LockBit) 랜섬웨어 조직과 블랙캣(Black Cat) 랜섬웨어 조직이 국제 사법기관들의 공조, 파트너들사 신뢰를 저버리는 행위 등의 이유로 영향력이 크게 약화되었다.
이 두 조직은 RaaS(Ransomware as a Service) 산업에서 가장 큰 영향력을 발휘하던 그룹이었으나, 기대와 다르게 이 틈을 타 랜섬허브(RansomHub), 킬섹(KillSec), 캐시(Cash) 랜섬웨어, 엘도라도(Eldorado) 등 다양한 RaaS들이 우후죽순 등장하였다.
새로 등장한 RaaS 서비스 중 랜섬허브(RansomHub) RaaS는 Go언어와 C++언어로 제작된 멀티플랫폼(윈도우, 리눅스, ESXi) 서비스이다. 랜섬허브 RaaS는 파트너사에게 많은 제휴사 유치를 위해 높은 커미션을 제시하는 것으로 보인다. 실제로 매우 빠른 속도로 성장하고 있으며 일각에서는 코드 및 난독화 기술 등의 유사성을 언급하며 랜섬허브가 나이트(Knight) 랜섬웨어의 리브랜딩 버전이라는 의견도 있다.
해커그룹 킬섹(KillSec)이 킬섹(KillSec) RaaS를 공개했다. 이 서비스는 Tor 네트워크 를 사용하며 통계, 채팅, 빌드 기능 등 사용자들을 위해 다양한 편의성을 제공한다고 홍보하고 있다. 뿐만 아니라 향후 DDoS, 통화기능, 정보탈취 기능 등이 업데이트 될 예정이라고 밝혔다.
보안업체 소포스(Sophos)는 가격이 저렴하고 낮은 수준의 정크건(Junk Gun) 랜섬웨어에 대해 공개하였다. 이 랜섬웨어들은 기존의 파트너 기반의 구독형 RaaS와는 다르게 독자적으로 운영되며 저렴한 가격이 특징이다. 소포스는 23년 6월부터 24년 2월 동안 수집한 19가지 종류의 정크건 랜섬웨어 정보를 공개하였으며, 기존의 RaaS들과 비교하였을 때 정교함과 기술력이 뒤떨어지지만 그에 반해 평균 가격이 400달러로, 공격에 성공하면 얻은 수익의 전부를 가져간다는 점에서 많은 초보 해커들의 환영을 받고 있다고 말했다.
또한 CVE-2023-22518 취약점을 악용한 케르베르(Cerber) 랜섬웨어의 리눅스 변종이 배포되고 있다. 이 취약점은 아틀라시안 컨플루언스 데이터센터(Atlassian Confluence Data Center) 및 서버에 존재하며, 공격자들은 해당 취약점을 악용하여 관리자 계정을 생성하고 웹 셸을 통해 랜섬웨어를 실행한다. CVE-2023-22518 취약점 패치가 공개되었지만, 여전히 패치되지 않은 시스템을 타깃으로 공격이 지속되고 있는 만큼 보안담당자들의 빠른 패치가 필요하다.
사용자들이 가짜 소프트웨어를 내려받도록 유도하는 캠페인도 발견되었다. 공격자들은 검색엔진에서 특정 소프트웨어를 검색할 때, 정상 Putty 및 WinSCP 프로그램 다운로드 페이지처럼 위장한 광고 페이지를 띄워 사용자로 하여금 가짜 소프트웨어를 내려받도록 유도한다.
이 설치 패키지 내부에는 정상 exe 파일과 함께 악성 python311.dll이 포함되어 있으며, 사용자가 셋업 파일 실행 시 DLL 사이드로딩(DLL Sideloading)을 통해 악성 dll이 실행되고 최종적으로 랜섬웨어 배포를 시도한다. 이런 공격방식은 블랙캣/알프브이(BlackCat/ALPHV) 랜섬웨어를 배포한 공격 캠페인과 유사하지만 랜섬웨어와 관련된 자세한 정보는 공개되지 않았다.
VMware ESXi 시스템을 타깃으로 하는 랜섬웨어 공격이 지속되고 있는 가운데, 보안전문가들이 ESXi시스템을 타깃으로 하는 랜섬웨어 공격 패턴에 대해 공개하였다. 주로 피싱, 악성파일 다운로드, 취약점 등을 통해 최초 공격이 시도된다. 최초 공격이 성공하면 부르트 포스(brute force) 공격이나 기타 방식을 이용하여 ESXi 호스트 또는 vCenter에 접근을 위한 권한상승을 시도하며, 이 후 백업 시스템을 파괴하거나 암호화하고 데이터를 탈취한다.
데이터 탈취 후에는 랜섬웨어를 실행시켜 ESXi 파일 시스템의 /vmfs/volumes 하위 디렉토리를 암호화 하고, 가상화 되지 않은 워크스테이션과 서버에 랜섬웨어를 확산시킨다고 밝혔다.
[뉴스] 삼성전자-KISA, 갤럭시 스마트폰에 '악성 메시지 차단 기능' 지원 
