오늘 미국 법무부(DOJ)는 넷워커(NetWalker) 랜섬웨어의 활동을 저지하기 위한 국제적 합동 단속 조치를 발표했다. 이번 조치에는 가상자산 에서 약 50만 달러를 압수한 것, 넷워커 랜섬웨어 피해자들과 소통하는 데 사용되던 다크웹 자원을 무력화한 것, 그리고 넷워커 제휴사로서 활동하며 수천만 달러를 챙긴 캐나다 국적자 세바스티앙 바숑-데자르댕(Sebastien Vachon-Desjardins)을 체포한 것이 포함된다.
이 사건은 넷워커(NetWalker)가 얼마나 정교하게 운영되었는지, 랜섬웨어 공격이 전 세계적으로 미치는 영향, 그리고 랜섬웨어 공격자들이 피해자들로부터 훔쳐가는 막대한 금액을 여실히 보여준다.
체이널리시스 넷워커(NetWalker)의 활동을 저지하는 데 성공한 정부 파트너 기관들에게 축하의 말씀을 전하며, 체이널리시스 당사의 조사 도구가 랜섬웨어 자금의 추적을 돕는 데 기여했다는 점을 자랑스럽게 생각합니다. 또한, 이러한 자금이 거래소 플랫폼에서 거래되는 것을 방지하는 데 필요한 거래 모니터링 도구를 거래소에 제공하게 된 것을 자랑스럽게 생각합니다.
아래에서는 블록체인 분석을 통해 ‘넷워커(NetWalker)’ 랜섬웨어 변종에 대해 파악한 내용을 상세히 살펴보고, 수사 과정의 구체적인 요소를 조명하여 법 집행 기관이 어떻게 불법 자금을 추적할 수 있었는지 보여드리겠습니다.
랜섬웨어의 확산과 고도화
체이널리시스 데이터에 따르면, 2020년 랜섬웨어 피해자들이 지불한 총액은 311% 증가하여 약 3억 5천만 달러 상당의 가상자산 에 달했습니다. 이 수치는 실제 총액의 하한선에 불과합니다. 보고 누락으로 인해 데이터셋에 포함된 모든 피해자 지불 주소를 분류하지 못했을 가능성이 높기 때문입니다.
NetWalker를 비롯한 많은 랜섬웨어 변종은 ‘서비스형 랜섬웨어(RaaS)’ 모델로 운영됩니다. 이 모델에서 ‘제휴사’로 알려진 공격자들은 특정 랜섬웨어 변종의 사용권을 제작자나 관리자로부터 ‘임대’받으며, 이에 대한 대가로 제작자나 관리자는 제휴사가 성공적으로 수행한 각 공격에서 발생한 수익의 일부를 받습니다. RaaS의 확산으로 공격 건수가 증가함에 따라, 전체적인 재정적 피해를 정량화하기가 더욱 어려워졌습니다. 하지만 추세는 분명합니다. 2020년 사이버 범죄( 가상자산) 분야 중 랜섬웨어보다 더 높은 성장률을 보인 범주는 없었습니다.
넷워커는 류크, 메이즈, 도펠페이머, 소디노키비와 함께 올해 매출 기준 상위 랜섬웨어 변종 중 하나였다.
체이널리시스 2019년 8월 처음 등장한 이후, NetWalker 랜섬웨어와 관련된 4,600만 달러 이상의 자금을 추적해 왔다. 이 랜섬웨어는 2020년 중반부터 기세를 타기 시작해, 평균 몸값이 2019년 18,800달러에서 지난해 65,000달러로 증가했다.
미국 당국에 따르면, 넷워커(NetWalker)는 미국 내 203명을 포함해 27개국에서 최소 305명의 피해자를 발생시켰다.
블록체인 분석을 통해 알 수 있는 넷워커의 운영 및 재무 현황
일반적으로 NetWalker 공격을 통해 얻은 수익을 받는 역할은 네 가지로 나뉩니다: 관리자 또는 개발자로 추정되는 인물(8~10%), 제휴사(76~80%), 그리고 두 가지 수수료 기반 역할(각각 2.5~5%)입니다. 바숑-데자르댕(Vachon-Desjardins)과 같은 제휴 파트너는 대개 피해자 네트워크에 대한 접근 권한을 확보하고 악성코드를 배포하는 역할을 담당합니다. 또한, 한 지갑이 수익금의 100%를 받는 경우도 있는데, 이는 NetWalker 관리자의 것으로 추정되며, 해당 관리자가 일부 공격에 직접 관여하고 있을 가능성도 시사합니다.
이 스크린샷은 체이널리시스 Reactor 은 몸값 지불 주소에서 다양한 NetWalker 관련자들로 자금이 이체되는 전형적인 과정을 보여줍니다.
블록체인 분석 결과, 실제로 고유한 제휴사는 20개 미만이었던 것으로 드러났습니다. 이 제휴사 중 일부는 NetWalker를 거의 배포하지 않았으며, 일부는 다른 RaaS 변종으로 전환했습니다. 또한 체이널리시스 Reactor 노출 휠을 통해 일부 제휴자가 다른 변종으로부터 대금을 수령했음을 확인할 수 있습니다.
다크넷 포럼에서 “Bugatti”라는 닉네임을 사용하는 NetWalker 관리자는 2020년 5월, 공석이 “생겼다”는 이유로 러시아어를 구사하는 제휴자를 추가로 모집하는 광고를 한 포럼에 게시했는데, 이는 제휴자들이 다른 변종으로 이동하고 있다는 우리의 평가를 뒷받침한다.
블록체인 분석을 통해 랜섬웨어 공격자들이 범죄 활동을 수행하는 데 필요한 서비스에 비용을 지불하는 사실도 확인할 수 있습니다. 예를 들어, 아래에서 볼 수 있듯이 NetWalker 공격자들은 가상자산 을 통해 클라우드 스토리지 호스팅 비용을 지불했는데, 이는 추가적인 갈취를 위해 훔친 피해자 데이터를 저장하는 데 사용된 것으로 보입니다. 실제로 NetWalker는 2020년 5월, 피해자들이 데이터에 접근하지 못하도록 잠그는 것뿐만 아니라 데이터를 훔치는 방식으로 갈취 활동을 강화했습니다. 피해자 네트워크의 컴퓨터 파일을 암호화하기 전에, 넷워커(NetWalker) 공격자들은 데이터를 훔치기 시작했으며, 기한 내에 몸값이 지불되지 않을 경우 피해자 데이터를 유출 사이트에 자동으로 공개하기 시작했는데, 이는 여러 랜섬웨어 변종들 사이에서 점점 더 두드러지는 추세입니다.
당국이 블록체인 분석을 활용해 NetWalker 자금의 흐름을 추적한 방법
오늘 공개된 기소장에 따르면, 바숑-데자르댕은 보호 대상 컴퓨터에 대한 고의적 훼손 및 이와 관련된 요구 사항을 전송한 혐의로 기소되었다. 이 사건은 플로리다에 소재한 피해 기업을 대상으로 한 넷워커(NetWalker) 랜섬웨어 공격과 관련이 있다.
블록체인 분석 결과, 2018년 2월로 거슬러 올라가며 본 글 작성일(2021년 1월 27일)까지 거래가 계속된 바숑-데자르댕과 관련된 주소가 최소 345개 확인되었다. 그는 자금을 수령한 시점에 1,400만 달러 상당의 비트코인을 받은 것으로 알려졌으며, 이후 가격 상승을 고려할 때 최종적으로 최소 2,760만 달러 상당을 보유하게 되었다.
정부 관계자들에 따르면, 바숑-데자르댕은 2020년 4월 이후 넷워커(NetWalker) 랜섬웨어를 이용한 최소 91건의 공격에 연루되었으며, 제휴 파트너로서 이 악성코드를 유포하고 몸값의 80%를 챙긴 것으로 알려졌다.
NetWalker 외에도, 우리는 Vachon-Desjardins가 Sodinokibi, Suncrypt, Ragnarlocker와 같은 다른 RaaS 변종의 배포에도 관여한 것으로 의심하고 있습니다. 이는 비교적 흔한 일로, 제휴자들이 시간이 지남에 따라 다른 변종으로 이동하는 사례를 종종 목격합니다. 또한, 넷워커(NetWalker) 관리자인 부가티(Bugatti)는 넷워커 제휴사가 되기 위한 필수 조건으로 과거 해킹 경험 증명을 제시한 바 있으므로, 바숑-데자르댕과 같은 제휴사들이 해킹 실적을 보유하고 있을 것이라는 추측은 타당합니다.
위의 체이널리시스 Reactor 위의 그래프는 Sodinokibi 및 Ragnar Locker 랜섬웨어 변종에 노출된 NetWalker 제휴사들을 보여줍니다.
정부와 업계는 랜섬웨어에 맞서 함께 힘을 모아야 한다
가상자산 거래소 및 정부 기관들이 랜섬웨어 범죄자들이 부당하게 얻은 수익을 현금화하는 것을 막기 위해 지속적으로 협력하는 것이 중요합니다. 당사는 이러한 목표를 달성하는 데 필요한 블록체인 분석 도구를 전 세계 정부 및 기업에 계속해서 제공할 수 있기를 기대합니다. 체이널리시스 당사는 자사 제품 내에서 모든 NetWalker 피해자 지급 주소를 식별해 표시해 두었으며, 체이널리시스 KYT 및 Kryptos 고객 중 해당 주소와 연관된 경우 실시간 알림을 받게 될 것입니다.
법 집행 기관이 랜섬웨어 수사에 체이널리시스 랜섬웨어 수사에 활용했는지 더 자세히 알고 싶으신가요? 데모 참가 인원이 한정되어 있습니다. 직접 확인해 보시려면 신청해 주세요. 체이널리시스 전문가가 위에서 보여드린 ‘ Reactor ’ 그래프를 자세히 설명해 드리고, 궁금한 점에 대해 모두 답변해 드릴 것입니다.
랜섬웨어의 최신 동향 등에 대해 더 자세히 알아보시려면, 2월 중 발간될 2021년 ‘ 가상자산 ’ 범죄 보고서 전문을 이메일로 받아보실 수 있도록 지금 등록해 주세요.
