.jpg)
이스트시큐리티, 알약 2021년 3분기 랜섬웨어 행위기반 차단 통계 공개
알약 ‘랜섬웨어 행위기반 사전 차단 기능’ 통해, 3분기 총 143,321건, 일평균 1,592건 공격 차단
3분기 소디노키비(Sodinokibi) 랜섬웨어 대규모 공격 지속돼
[보안뉴스 원병철 기자] 2021년 3분기에 차단된 랜섬웨어 공격은 총 14만 3,321건으로, 이를 일간 기준으로 환산하면 일평균 약 1,592건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다는 통계가 공개됐다. 또한, 올해 상반기 알약을 통해 차단된 랜섬웨어 공격은 총 31만 3,075건으로, 3분기에 차단된 공격까지 더하면 현재까지 총 45만 6천 396건에 이른다고 보안 전문 기업 이스트시큐리티(대표 정상원)는 밝혔다.
이번 자료는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많을 것으로 추정된다.
다만, 최근 2년에 걸쳐 전체 랜섬웨어 탐지 건수는 지속적으로 감소하는 추세를 보였고, 3분기 역시 지난 2분기 대비 소폭 감소한 것으로 나타난 것으로 분석됐다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 △소디노키비(Sodinokibi) 랜섬웨어, 대규모 카세야(Kaseya) 공급망 공격 수행 △다크사이드와 유사한 블랙매터(BlackMatter) 랜섬웨어 등장 △록빗(Lockbit) 2.0 공격 기승으로 국내외 여러 기업에서 피해 발생 △‘비너스락커’ 그룹이 유포하는 마콥(Makop) 랜섬웨어 국내 개인과 기업 공격 꾸준히 발생 등을 선정했다.
먼저 3분기 가장 큰 위협으로는 소디노키비 랜섬웨어 그룹의 대규모 카세야(Kaseya) 공급망 공격을 꼽을 수 있다. 지난 7월 러시아 해커들로 구성된 소디노키비 랜섬웨어 그룹은 IT 자동화 관리 소프트웨어인 카세야 업데이트를 통해 공급망 공격을 수행했고, 이로 인해 최소 1,500개 이상의 기관이 피해를 입었다. 공격자들은 카세야 브이에스에이(Kaseya VSA) 소프트웨어의 제로데이 취약점(CVE-2021-30116)을 악용했다. 소디노키비 해커들은 랜섬머니로 초기에 7천만 달러를 요구한 바 있다.
다크사이드(Darkside) 등 유명 랜섬웨어와 유사한 블랙매터 랜섬웨어가 발견된 점도 주목할 필요가 있다. 일본의 올림푸스(Olympus)를 공격한 것으로 알려진 블랙매터는 서비스형 랜섬웨어(RaaS) 형태로 운영되고 있으며, 윈도우, 리눅스 등 다양한 운영 체제 버전 및 아키텍처 용으로 제공되고 있다. 지난 5월에도 미국 송유관 기업인 콜로니얼 파이프라인(Colonial Pipeline)이 다크사이드 랜섬웨어 공격으로 막대한 피해를 입었다.
8월에는 새로운 버전으로 업그레이드된 록빗 2.0 랜섬웨어 공격으로 국내외 다수 기업에서 피해가 발생했다. 자동차, 은행, 정부, 기술, 에너지, 통신 등 다양한 산업 분야에 서비스를 제공하는 것으로 알려진 글로벌 IT 컨설팅 기업인 액센츄어(Accenture)와 국내 기업 진양오일씰, 풀무원 미국 법인이 록빗 2.0 랜섬웨어 공격으로 피해를 입었다. 공격자들은 공격으로 획득한 기업 데이터를 유출하겠다고 협박하면서 랜섬머니 지불을 요구하는 이중 갈취(double extortion) 전략을 사용했다.
아울러 지난 2분기에 이어 3분기에도 비너스락커 그룹이 유포하는 마콥 랜섬웨어가 국내에서 꾸준히 발견됐다. 공격자들은 주로 입사지원서, 이력서, 경력 사항, 포트폴리오, 견적 문의 또는 이미지 저작권 침해 관련 문서로 위장한 EXE 파일을 첨부한 스피어피싱 이메일 형태로 랜섬웨어를 유포했다. 지난 2분기에도 발견된 HWP 아이콘을 사용한 마콥(Makop) 샘플이 9월부터 다시 발견되고 있으며, 8월에는 GOMPlayerGlobal Setup File과 PDF 아이콘을 이용한 사례도 확인됐다. 공격자들은 파일명, 파일 설명, 확장명, 메일 주소 등을 다양하게 변경해가며 탐지망을 교묘히 피해 가는 수법을 이용했다.
이 밖에도 지난 8월 바북(Babuk) 랜섬웨어를 기반으로 하는 새로운 랜섬웨어 그루브(Groove)가, 9월에는 추석 키워드를 활용한 펜타(Penta) 랜섬웨어, 한국 기업 맞춤형 귀신(Gwisin) 랜섬웨어 등이 발견됐다. 3분기 새로 발견됐거나 주목할 만한 랜섬웨어는 다음과 같다.
이스트시큐리티 ESRC 이지현 팀장은 “3분기에도 여전히 마콥 랜섬웨어를 활용한 공격이 지속적으로 발견되고 있는 가운데, 최근 해커들이 제로데이 취약점을 악용하거나 이전에 대규모 공격에 이용된 악명 높은 랜섬웨어를 기반으로 공격 효율성을 높이고 있다”며, “이들은 데이터 유출을 빌미로 협박하는 ‘이중 갈취’ 전략과 특정 시기에 따른 키워드 활용 등의 수법을 꾸준히 사용하고 있다”고 전했다. 이어 “2분기 미국 송유관 시설 공격에 이어 카세야 공급망 공격이 3분기에도 발생하는 등 국가 핵심 인프라 시설 및 IT 관리 소프트웨어 기업을 대상으로 하는 대규모 공격을 지속되고 있어, 추후 심각한 피해로 이어지는 것을 예방하기 위해서는 기업과 개인들은 주기적인 백업 및 안전한 보안 시스템 구축 등을 통해 사전에 대비하는 자세가 필요하다"고 강조했다.
한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.
[원병철 기자(boanone@boannews.com)]
알약 ‘랜섬웨어 행위기반 사전 차단 기능’ 통해, 3분기 총 143,321건, 일평균 1,592건 공격 차단
3분기 소디노키비(Sodinokibi) 랜섬웨어 대규모 공격 지속돼
[보안뉴스 원병철 기자] 2021년 3분기에 차단된 랜섬웨어 공격은 총 14만 3,321건으로, 이를 일간 기준으로 환산하면 일평균 약 1,592건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다는 통계가 공개됐다. 또한, 올해 상반기 알약을 통해 차단된 랜섬웨어 공격은 총 31만 3,075건으로, 3분기에 차단된 공격까지 더하면 현재까지 총 45만 6천 396건에 이른다고 보안 전문 기업 이스트시큐리티(대표 정상원)는 밝혔다.
▲3분기 랜섬웨어 차단 통계[자료=이스트시큐리티]
이번 자료는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많을 것으로 추정된다.
다만, 최근 2년에 걸쳐 전체 랜섬웨어 탐지 건수는 지속적으로 감소하는 추세를 보였고, 3분기 역시 지난 2분기 대비 소폭 감소한 것으로 나타난 것으로 분석됐다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 △소디노키비(Sodinokibi) 랜섬웨어, 대규모 카세야(Kaseya) 공급망 공격 수행 △다크사이드와 유사한 블랙매터(BlackMatter) 랜섬웨어 등장 △록빗(Lockbit) 2.0 공격 기승으로 국내외 여러 기업에서 피해 발생 △‘비너스락커’ 그룹이 유포하는 마콥(Makop) 랜섬웨어 국내 개인과 기업 공격 꾸준히 발생 등을 선정했다.
먼저 3분기 가장 큰 위협으로는 소디노키비 랜섬웨어 그룹의 대규모 카세야(Kaseya) 공급망 공격을 꼽을 수 있다. 지난 7월 러시아 해커들로 구성된 소디노키비 랜섬웨어 그룹은 IT 자동화 관리 소프트웨어인 카세야 업데이트를 통해 공급망 공격을 수행했고, 이로 인해 최소 1,500개 이상의 기관이 피해를 입었다. 공격자들은 카세야 브이에스에이(Kaseya VSA) 소프트웨어의 제로데이 취약점(CVE-2021-30116)을 악용했다. 소디노키비 해커들은 랜섬머니로 초기에 7천만 달러를 요구한 바 있다.
다크사이드(Darkside) 등 유명 랜섬웨어와 유사한 블랙매터 랜섬웨어가 발견된 점도 주목할 필요가 있다. 일본의 올림푸스(Olympus)를 공격한 것으로 알려진 블랙매터는 서비스형 랜섬웨어(RaaS) 형태로 운영되고 있으며, 윈도우, 리눅스 등 다양한 운영 체제 버전 및 아키텍처 용으로 제공되고 있다. 지난 5월에도 미국 송유관 기업인 콜로니얼 파이프라인(Colonial Pipeline)이 다크사이드 랜섬웨어 공격으로 막대한 피해를 입었다.
8월에는 새로운 버전으로 업그레이드된 록빗 2.0 랜섬웨어 공격으로 국내외 다수 기업에서 피해가 발생했다. 자동차, 은행, 정부, 기술, 에너지, 통신 등 다양한 산업 분야에 서비스를 제공하는 것으로 알려진 글로벌 IT 컨설팅 기업인 액센츄어(Accenture)와 국내 기업 진양오일씰, 풀무원 미국 법인이 록빗 2.0 랜섬웨어 공격으로 피해를 입었다. 공격자들은 공격으로 획득한 기업 데이터를 유출하겠다고 협박하면서 랜섬머니 지불을 요구하는 이중 갈취(double extortion) 전략을 사용했다.
▲3분기 랜섬웨어 리스트[자료=이스트시큐리티]
아울러 지난 2분기에 이어 3분기에도 비너스락커 그룹이 유포하는 마콥 랜섬웨어가 국내에서 꾸준히 발견됐다. 공격자들은 주로 입사지원서, 이력서, 경력 사항, 포트폴리오, 견적 문의 또는 이미지 저작권 침해 관련 문서로 위장한 EXE 파일을 첨부한 스피어피싱 이메일 형태로 랜섬웨어를 유포했다. 지난 2분기에도 발견된 HWP 아이콘을 사용한 마콥(Makop) 샘플이 9월부터 다시 발견되고 있으며, 8월에는 GOMPlayerGlobal Setup File과 PDF 아이콘을 이용한 사례도 확인됐다. 공격자들은 파일명, 파일 설명, 확장명, 메일 주소 등을 다양하게 변경해가며 탐지망을 교묘히 피해 가는 수법을 이용했다.
이 밖에도 지난 8월 바북(Babuk) 랜섬웨어를 기반으로 하는 새로운 랜섬웨어 그루브(Groove)가, 9월에는 추석 키워드를 활용한 펜타(Penta) 랜섬웨어, 한국 기업 맞춤형 귀신(Gwisin) 랜섬웨어 등이 발견됐다. 3분기 새로 발견됐거나 주목할 만한 랜섬웨어는 다음과 같다.
이스트시큐리티 ESRC 이지현 팀장은 “3분기에도 여전히 마콥 랜섬웨어를 활용한 공격이 지속적으로 발견되고 있는 가운데, 최근 해커들이 제로데이 취약점을 악용하거나 이전에 대규모 공격에 이용된 악명 높은 랜섬웨어를 기반으로 공격 효율성을 높이고 있다”며, “이들은 데이터 유출을 빌미로 협박하는 ‘이중 갈취’ 전략과 특정 시기에 따른 키워드 활용 등의 수법을 꾸준히 사용하고 있다”고 전했다. 이어 “2분기 미국 송유관 시설 공격에 이어 카세야 공급망 공격이 3분기에도 발생하는 등 국가 핵심 인프라 시설 및 IT 관리 소프트웨어 기업을 대상으로 하는 대규모 공격을 지속되고 있어, 추후 심각한 피해로 이어지는 것을 예방하기 위해서는 기업과 개인들은 주기적인 백업 및 안전한 보안 시스템 구축 등을 통해 사전에 대비하는 자세가 필요하다"고 강조했다.
한편, 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-12-18] 
.jpg)
