2021년 4분기 알약 랜섬웨어 행위기반 차단 건수: 163,229건! 지속 증가 추이 보임

안녕하세요!
이스트시큐리티 시큐리티대응센터(ESRC)입니다.

2021년 4분기, 알약을 통해 총 163,229건의 랜섬웨어 행위기반 공격이 차단된 것으로 확인되었습니다.

이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약의 ‘랜섬웨어 행위기반 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 탐지 건까지 포함한다면 전체 공격은 더욱 많을 것으로 예상됩니다.

4분기 알약을 통해 차단된 랜섬웨어의 공격은 총 163,229건으로, 일간 기준으로 환산하면 일 평균 약 1,813건의 랜섬웨어 공격이 차단된 것으로 볼 수 있습니다. 

랜섬웨어의 공격 건수는 2021년도 3분기에 비해 약 2만 건 증가하였습니다.

 

ESRC는 2021년 4분기 랜섬웨어 주요 동향을 다음과 같이 선정하였습니다. 

1) 타깃 기업 공격에 사용된 새로운 Yanluowang 랜섬웨어 발견
2) 무료 Babuk 랜섬웨어 복호화 툴 공개돼
3) Atlassian Confluence 원격코드 실행 취약점(CVE-2021-26084)을 악용하여 랜섬웨어 유포 중
4) Log4j 취약점(CVE-2021-44228), 랜섬웨어에 악용돼

 

4분기에는 크리티컬한 취약점들이 많이 공개되었으며, 랜섬웨어들도 이러한 취약점들을 공격에 활용하고 있는 점이 주목할 만한 점입니다.

 

10월 APT 공격에 사용된 새로운 Yanluowang 랜섬웨어가 발견되었습니다. 해당 랜섬웨어는 정상적인 AdFind 커맨드라인 활성 디렉터리 쿼리 툴과 관련 의심스러운 활동이 발견된 후 조사 과정 중 발견되었으며, 의심스러운 AdFind 사용 정황이 포착된 지 며칠 만에 공격자는 해킹된 조직 시스템에 Yanluowang 랜섬웨어 페이로드를 배포하려 시도하였습니다. Yanluowang 랜섬웨어는 아직 개발 단계에 있지만, 감염되면 기업에 큰 피해를 입힐 수 있는 랜섬웨어인 만큼 기업들의 각별한 주의가 필요합니다.

 

Babuk 랜섬웨어의 복호화 툴이 공개되었습니다. Babuk 랜섬웨어는 2021년 처음 발견된 랜섬웨어로, 주요 데이터의 유출을 목적으로 하며 기업을 대상으로 공격을 진행합니다. 6월에는 Babuk 랜섬웨어의 빌더가 온라인에 유출되었으며, 이후 많은 변종이 공개되었습니다. 9월, Babuk 랜섬웨어 그룹의 멤버라고 주장하는 한 공격자가 Babuk 랜섬웨어의 전체 소스코드를 랜섬웨어 해킹 포럼에 유출하였습니다. 그는 말기 암에 걸린 후 사람답게 살고 싶어서 소스코드를 공개하기로 했다고 밝혔으며, 한 달 후 Avast는 유출된 소스코드와 복호화 키를 이용하여 Babuk 랜섬웨어 복호화 툴을 제작하여 공개하였습니다. 

 

4분기에 가장 주목할 만한 위협으로는 현재까지도 이슈가 되고 있는 Log4j 취약점입니다. Log4j는 자바 기반 로깅 유틸리티로, 21년 12월 초 Log4j에서 원격코드실행 취약점(CVE-2021-44228)이 처음 공개된 이후 지속적으로 추가 취약점이 공개되고 있는 상황입니다.

 

2019년 처음 발견된 Conti 랜섬웨어는 최근 Log4j 취약점을 악용하여 VMware vCenter 서버를 공격하였습니다. 이번 공격은 Log4j 취약점이 랜섬웨어 그룹에 악용된 첫 사례로 확인되었습니다. 또한 TellYouThePass라고 알려진 비교적 오래된 랜섬웨어 제품 역시 이번에 발견된 Log4j 취약점을 공격에 이용하였습니다. TellYouThePass 랜섬웨어는 주로 중국을 대상으로 공격을 진행하였으며, 그동안에는 활동이 뜸 하다가 Log4j poc코드가 온라인으로 출시된 이후 활동이 갑자기 급등하였습니다. 이 밖에도, Khonsari 랜섬웨어 공격자들이 Log4j 취약점을 이용하여 원격 서버에 랜섬웨어를 유포하는 정황이 포착되기도 했습니다.

 

Atlassian Confluence 원격코드 실행 취약점(CVE-2021-26084) 및 GitLab exiftool 원격코드 실행 취약점 (CVE-2021-22205) 역시 랜섬웨어 공격에 악용되었습니다.

 

Cerber 랜섬웨어는 Atlassian Confluence 원격코드실행취약점(CVE-2021-26084) 및 GitLab exiftool원격코드실행취약점(CVE-2021-22205)을 이용하여 유포되었으며, Atom Silo 랜섬웨어 역시 Atlassian Confluence 원격코드실행취약점(CVE-2021-26084)을 이용하여 유포되었습니다.

 

크리티컬한 보안 취약점들이 지속적으로 발견되고 있으며, 랜섬웨어 공격 조직들은 이렇게 공개된 취약점들을 악용하여 랜섬웨어를 유포하고 있습니다. 이에 기업들은 조직 내 인프라를 점검하고, 패치가 진행되지 않은 시스템에 대해서는 조속히 패치를 진행하시기를 권고 드립니다.

 

이 밖에 ESRC에서 밝힌 2021년 4분기 새로 발견되었거나 주목할만한 랜섬웨어는 다음과 같습니다.

 

 

랜섬웨어 명	주요 내용
Sabbath	미국과 캐나다의 의료 및 교육 조직을 공격 타깃으로 활동하는 랜섬웨어로,  Sabbath 랜섬웨어의 배후에는 Arcane, Eruption, Rollcoast 랜섬웨어를 운영하는 것으로 알려진 UNC2190이 있는 것으로 추정되고 있음. Sabbath 랜섬웨어에서 과거 Arcane 랜섬웨어 공격에서 사용된 인프라에서 재사용된 부분이 많은 만큼 UNC2190이 Sabbath를 기반으로 또 다른 랜섬웨어를 제작하여 유포할 가능성이 클 것으로 추정됨.
BlackCat	최초의 Rust 언어 기반 랜섬웨어. 다른 랜섬웨어 변종들과 유사하게 RaaS 형식으로 운영되며, 코어 개발자는 기업 환경에 침투하여 파일을 암호화 하는 작업을 대신 수행할 파트너를 모집하여 공격을 수행함.
Lockean	Lockean 랜섬웨어는 프랑스 기업을 타겟으로 공격을 진행함. 해당 랜섬웨어 그룹은 최소 2020년 6월부터 활동했으며,  DoppelePaymer, Maze, Prolock, Egregor, Sodinokibi 등 RaaS로 운영되는 랜섬웨어 그룹의 계열사일 것으로 추정되고 있음.
Yanluowang	기업을 대상으로 한 APT 공격에 사용된 아직 개발단계인 새로운 랜섬웨어로, 감염된 시스템의 암호화된 파일에 추가하는 확장자 이름을 따 Yanluowang 이라 명명되었음.
Conti	Conti랜섬웨어는 2020년 7월 처음 등장하였으며, 등장 이후 활발한 활동을 하고있음. 최근에는 Log4j 취약점을 악용하여 VMware vCenter 서버를 공격하였으며, 해당 공격은 랜섬웨어 그룹에서 Log4j 취약점을 악용한 첫 사례로 확인됨.
TellYouThePass	TellYouThePass 랜섬웨어는 비교적 오래된 랜섬웨어로, 주로 중국을 대상으로 공격을 진행하였음. 이후 활동이 뜸하다가 Log4j poc 코드가 온라인으로 출시된 이후 활동이 갑자기 급등하였음.
Rook	2021년 12월 처음 등장한 랜섬웨어로. 파일 암호화 후 .rook 확장자를 추가 후 해킹된 시스템에서 자신을 삭제함. 2021년 9월, 전체 소스코드가 공개된 이후 활동을 중단한 Babuk 랜섬웨어의 코드와 많은 부분에서 유사성이 확인되어, Babuk 랜섬웨어의 유출된 소스코드를 기반으로 개발되었을 것으로 추측됨.

 

 

랜섬웨어 유포 케이스의 대다수는 이메일 형태지만, 코로나19 바이러스 확산 방지를 위해 재택근무를 수행하는 임직원이 증가함에 따라 기업 내부망 접속을 위해 사용되는 재택 근무 단말기 OS/SW 보안 업데이트 점검을 의무화하고 임직원 보안 인식 교육도 병행해야 합니다.

 

이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해, 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 유기적인 대응 협력을 진행하고 있습니다.

 

참고:

알약 3분기 랜섬웨어 행위기반 차단 건수: 143,321건!