2023년, 랜섬웨어 공격자들은 활동을 더욱 강화하며, 다음을 포함한 주요 기관과 핵심 인프라를 표적으로 삼았습니다. 병원, 학교,, 정부 기관 등 주요 기관과 핵심 인프라를 표적으로 삼았습니다. 또한, 널리 사용되는 파일 전송 소프트웨어 MOVEit를 악용해 수행되었으며, BBC부터 브리티시 에어웨이즈에 이르기까지에 이르는 다양한 기업에 영향을 미쳤습니다. 이러한 공격과 기타 사건들의 결과로, 랜섬웨어 조직들은 피해자들로부터 갈취한 가상자산 지불액이 10억 달러를 넘어서는 전례 없는 기록을 달성했습니다.
작년의 상황 전개는 이 사이버 위협이 지속적으로 진화하고 있으며, 전 세계 기관과 전반적인 안보에 미치는 영향이 점점 커지고 있음을 여실히 보여준다.
2023년: 랜섬웨어의 전환점이 된 해
2023년은 랜섬웨어가 대대적으로 재등장한 해로, 몸값 지불액이 사상 최고치를 기록했고 공격의 범위와 복잡성도 크게 증가했습니다. 이는 2022년에 관찰되었던 감소 추세와는 현저히 대조되는 현상이며, 당사는 ‘연중 범죄 동향 보고서’에서 미리 경고했던 바와 같이, 2022년에 나타났던 감소 추세와는 확연히 대조되는
2023년 랜섬웨어 몸값 지불액은 10억 달러를 넘어 사상 최고치를 기록했습니다. 2022년에는 랜섬웨어 몸값 지불 규모가 감소했음에도 불구하고, 2019년부터 2023년까지의 전반적인 추세를 보면 랜섬웨어 문제가 점점 더 심각해지고 있음을 알 수 있습니다. 이 수치는 공격으로 인한 생산성 손실 및 복구 비용과 같은 경제적 영향은 반영하지 않았다는 점을 유의해야 합니다. 이는 ALPHV-BlackCat 및 Scattered Spider가 MGM 리조트를 대담하게 MGM 리조트를 노린 사례에서사례에서 분명하게 드러납니다. MGM은 몸값을 지불하지는 않았지만, 이번 공격으로 인한 피해액이 1억 달러를 넘을 것으로 추산하고 있습니다.
랜섬웨어의 현황은 그 규모가 막대할 뿐만 아니라 지속적으로 확대되고 있어, 모든 사건을 모니터링하거나 암호화폐로 지급된 모든 몸값을 추적하기가 어렵습니다. 당사의 수치는 보수적인 추정치이며, 시간이 지남에 따라 새로운 랜섬웨어 주소가 발견됨에 따라 증가할 가능성이 높다는 점을 인지하는 것이 중요합니다. 예를 들어, 작년 범죄 보고서에서 발표한 2022년 초기 집계치는 몸값 총액이 4억 5,700만 달러였으나, 이후 이 수치는 24.1% 상향 조정되었습니다.
2022년을 돌아보며: 추세라기보다는 일회성 현상
2022년 랜섬웨어 활동 감소에는 러시아-우크라이나 분쟁과 같은 지정학적 사건을 비롯한 여러 요인이 영향을 미친 것으로 보입니다. 이 분쟁은 일부 사이버 공격자들의 활동을 방해했을 뿐만 아니라, 이들의 초점을 금전적 이익에서 정치적 동기를 가진 사이버 공격 로 전환시켰습니다.
앞서 저희의 2023년 ‘ 가상자산 ’ 범죄 보고서에서 언급한 바와 같이, 이러한 감소세에 영향을 미친 다른 요인으로는 잠재적인 제재 위험으로 인해 일부 서구 기관들이 특정 랜섬웨어 변종에 대한 몸값 지불을 꺼린 점이 포함됩니다. 특히 Conti는 보도에 따르면 links 제재 대상인 러시아 정보 기관과의 연관성, 조직의 채팅 기록 유출, 그리고 전반적인 내부 혼란을 겪었습니다. 이로 인해 그들의 활동이 감소했고, 2022년 랜섬웨어 사건의 전반적인 감소에 기여했습니다. 그러나 연구원들은 콘티와 연계된 많은 랜섬웨어 공격자들이 계속해서 이동하거나 새로운 변종을 출시해 왔으며, 이로 인해 피해자들이 몸값을 지불하려는 경향이 더욱 강해졌습니다.
2022년 랜섬웨어 발생이 감소한 또 다른 중요한 요인은 연방수사국(FBI)이 ‘Hive’ 랜섬웨어 변종을 성공적으로 침투시킨 것이었는데, 이는 2023년 초 법무부가 발표한 바와 같이 이 단일 단속 조치가 미친 상당한 영향을 강조하고 있습니다.
법 집행 기관, 랜섬웨어에 맞서다: ‘더 하이브’ 작전
Hive 조직에 대한 잠입 수사 과정에서 FBI는 1,300명 이상의 피해자들에게 암호 해독 키를 제공함으로써, 사실상 몸값 지불을 막을 수 있었습니다. FBI는 이러한 개입으로 인해 약 1억 3,000만 달러 상당의 몸값 지불을 막은 것으로 추산하고 있습니다. 그러나 이 개입의 영향은 그 이상으로 미치고 있습니다. 2022년 추적된 랜섬웨어 지불금 총액은 현재 5억 6,700만 달러에 불과한데, 이는 하이브 침투 작전을 통해 방지된 몸값 지불이 작년 랜섬웨어 환경 전반에 상당한 변화를 가져왔음을 시사합니다.
게다가 FBI가 추산한 1억 3천만 달러의 피해 감소액만으로는 ‘하이브(Hive)’ 조직에 대한 잠입 작전이 얼마나 성공적이었는지를 온전히 파악하기 어려울 수 있다. 이 수치는 복호화 키 제공을 통해 막아낸 몸값만을 직접적으로 반영한 것이지, 그에 따른 파급 효과는 고려하지 않았기 때문이다. 또한 ‘하이브’ 조직에 대한 잠입 작전은 ‘하이브’ 계열 조직들의 광범위한 활동에도 영향을 미쳤을 가능성이 높으며, 이로 인해 그들이 수행할 수 있었던 추가 공격 건수가 줄어들었을 수도 있다.
FBI가 ‘Hive’에 잠입해 활동한 6개월 동안, 모든 랜섬웨어 변종을 통틀어 지불된 총 금액은 2달러에 달했다90.35 만 달러에 달했습니다. 그러나 당사의 통계 모델에 따르면, 잠입 전후의 몇 달간 공격자들의 행동을 바탕으로 볼 때 해당 기간 동안 예상 총액은 5억 70만 달러에 달할 것으로 추산되며, 이는 보수적인 추정치입니다. 이 수치를 바탕으로 볼 때, ‘하이브’ 잠입 작전은 최소 2억 1,040만 달러의 랜섬웨어 지불금을 막아낸 것으로 보입니다.
FBI 탬파 지부의 데이비드 워커 지부장은 이번 잠입 작전의 중요성에 대해 더 자세한 인사이트 을 제공했다. 워커 지부장은 “‘더 하이브(The Hive)’ 수사는 핵심 서비스 모델을 적용한 모범 사례”라고 말했다. “FBI는 ‘사이버 범죄 피해자 지원 프로그램( 조사 )’과 피해자 지원 활동을 통해 ‘더 하이브’ 단속과 같은 조치가 사이버 위협 행위자들에게 미치는 상당한 긍정적 영향을 지속적으로 확인하고 있다. 우리는 앞으로도 적대 세력에 대해 선제적 방해 조치를 계속 취할 것이다.”
랜섬웨어 재유행: 2023년 위협 현황
2023년, 랜섬웨어 공격의 빈도, 범위 및 규모가 크게 증가했습니다.
랜섬웨어 공격은 대규모 조직부터 소규모 집단 및 개인에 이르기까지 다양한 주체들에 의해 자행되었으며, 전문가들은 그 수가 증가하고 있다고 말합니다. 사이버 보안 기업 Recorded Future의 위협 인텔리전스 분석가인 앨런 리스카는 “우리가 목격하고 있는 주요 현상은 랜섬웨어 공격을 수행하는 위협 행위자의 수가 천문학적으로 증가하고 있다는 점입니다”라고 지적했습니다. 레코디드 퓨처는 2023년에 538개의 새로운 랜섬웨어 변종이 발견되었다고 보고하며, 새로운 독립 그룹들의 부상을 시사했습니다.
아래 그래프에서는 2023년 분기별 가장 활발하게 활동한 랜섬웨어 변종들을 확인할 수 있으며, 이를 통해 이러한 다양성의 일부를 엿볼 수 있습니다.
또한 아래 차트에서 주요 랜섬웨어 변종의 피해자 공략 전략에 상당한 차이가 있음을 확인할 수 있습니다. 이 차트는 각 변종의 몸값 중앙값과 공격 빈도를 비교하여 나타낸 것입니다. 이 차트는 2023년에 등장한 수많은 신규 참여자와 파생 변종들을 보여주는데, 이들은 기존 변종의 코드를 재사용하는 경우가 많다는 점을 우리는 알고 있습니다. 이는 높은 수익 가능성과 낮은 진입 장벽에 이끌려 새로운 참여자들이 점점 늘어나고 있음을 시사합니다.
Cl0p와 같은 일부 변종은 “대물 사냥” 전략을 대표적으로 보여주는데, 다른 많은 변종에 비해 공격 횟수는 적지만 매번 공격할 때마다 막대한 몸값을 챙깁니다. 나중에 살펴보겠지만, Cl0p는 제로데이 취약점을 악용해 재력이 풍부한 대규모 피해자들을 한꺼번에 상대로 갈취를 자행했으며, 이로 인해 해당 변종의 운영자들은 데이터 암호화보다는 데이터 유출 전략을 채택하게 되었습니다.
전반적으로, 지난 몇 년간 ‘빅 게임 헌팅’이 주된 전략으로 자리 잡았으며, 전체 랜섬웨어 지불액 중 100만 달러 이상의 지불이 차지하는 비중이 점점 더 커지고 있다.
포보스(Phobos)와 같은 다른 변종들은 '서비스형 랜섬웨어(RaaS)' 모델을 채택했는데, 이 모델에서는 ‘제휴사’로 알려진 외부자들이 악성코드에 접근하여 공격을 수행하고, 그 대가로 해당 변종의 핵심 운영자들에게 몸값 수익의 일정 비율을 지급합니다. 포보스는 랜섬웨어의 대표적인 특징인 일반적인 암호화 과정을 활용하여, 기술적 역량이 부족한 해커들도 랜섬웨어 공격을 쉽게 수행할 수 있도록 절차를 간소화했습니다. 소규모 조직을 표적으로 삼고 더 적은 몸값을 요구함에도 불구하고, RaaS 모델은 공격의 효과를 배가시켜 이 변종이 이러한 소규모 공격을 대량으로 수행할 수 있게 해줍니다.
ALPHV-BlackCat 역시 Phobos와 마찬가지로 RaaS(RaaS) 계열의 악성코드이지만, 자사의 악성코드를 사용할 수 있는 제휴사를 더 엄격하게 선별하며, 해킹 능력을 갖춘 잠재적 후보자들을 적극적으로 모집하고 면접을 실시합니다. 이를 통해 이 조직은 더 큰 규모의 표적을 공격하여 더 많은 금액을 챙길 수 있습니다.
또한 랜섬웨어 공격자들 사이에서 브랜드 변경과 변종 중복 사용이 여전히 만연하다는 점을 염두에 두는 것이 중요합니다. 앞서 앞서 다룬 바와 같이, 랜섬웨어 운영자들은 종종 변종을 리브랜딩하거나 새로운 변종을 출시하는 반면, 제휴자들은 변종을 바꾸거나 동시에 여러 변종을 다루는 경우가 많습니다. 리브랜딩을 통해 랜섬웨어 공격자들은 제재와 공개적으로 연관되거나 지나치게 많은 감시를 받은 변종과의 거리를 둘 수 있습니다. 또한 리브랜딩과 제휴자 변경을 통해 공격자들은 서로 다른 변종 이름으로 공격할 수 있게 해줍니다.
다행히도, 블록체인 분석을 통해 겉보기에는 전혀 관련이 없어 보이는 랜섬웨어 변종들의 지갑 간 온체인 links 을 확인함으로써, 랜섬웨어의 리브랜딩 사례를 식별할 수 있습니다. 아래 체이널리시스 Reactorlinks 아래 그래프에서 확인할 수 있는데, 여기에는 ‘Stern’으로 알려진 트릭봇(Trickbot) 관리자, 로열(Royal) 랜섬웨어, 그리고 '3am'으로 알려진 최신 버전로 알려진 최신 버전 간의 온체인 자금 흐름[email protected]을 확인할 수 있습니다.
특히 가장 규모가 크고 악명 높은 변종들을 만든 배후 세력들 사이에서 브랜드 변경이 빈번하게 이루어지고 있다는 사실은, 랜섬웨어 생태계가 수많은 변종들이 주는 인상만큼 크지 않다는 점을 상기시켜 주는 중요한 지표입니다.
RaaS(Ransomware-as-a-Service)의 확산과 해킹 도구의 보급으로 인해 공격을 감행하기가 더 쉬워졌다
초기 접속 중개자의 초기 접근 중개자(IAB) (IAB)의 확산으로 인해 악의적인 행위자들이 랜섬웨어 공격을 더 쉽게 수행할 수 있게 되었습니다. 이름에서 알 수 있듯이, IAB는 잠재적 피해자의 네트워크에 침투한 뒤, 그 접근 권한을 랜섬웨어 공격자들에게 불과 수백 달러에 판매합니다. 우리는 IAB 지갑으로 유입되는 자금과 랜섬웨어 지불금의 급증 사이에 상관관계를 발견했으며, 이는 IAB를 모니터링함으로써 조기 경고를 확보하고 잠재적인 개입 및 공격 완화를 도모할 수 있음을 시사합니다.
IAB와 기성 RaaS를 결합하면, 랜섬웨어 공격을 성공적으로 수행하는 데 필요한 기술적 전문성이 훨씬 줄어듭니다. 키부 컨설팅(Kivu Consulting)의 법무 총괄 책임자인 앤드류 데이비스는 키부 컨설팅(Kivu Consulting)의 총괄 법률 고문인 앤드류 데이비스는 이러한 추세에 대해 더 자세히 설명해 주었습니다. 데이비스는 “공격 건수의 증가는 제휴 모델의 접근 용이성과, 사이버 범죄자들에게 놀라울 정도로 효과적인 비즈니스 모델인 ‘서비스형 랜섬웨어(RaaS)’의 채택 때문이라고 볼 수 있습니다”라고 말했습니다.
아래 ‘ Reactor ’ 그래프에서 이러한 활동의 사례를 확인할 수 있는데, 이 그래프는 랜섬웨어 운영자가 여러 IAB 및 랜섬웨어 공격에 유용한 도구를 제공하는 기타 업체들에 자금을 송금하는 모습을 보여줍니다.
위에서 언급된 랜섬웨어 공격자들은 수백만 달러의 수익을 올린 공격을 감행했습니다.
Cl0p 사례 연구: 제로데이 공격이 대규모 표적 공격을 가능하게 하는 방식
2023년은 제로데이 취약점를 활용한 영향력이 큰 랜섬웨어 사건이 다수 발생했다는 점에서 주목할 만한 해였습니다. 제로데이 취약점은 개발자가 수정 패치를 제작하고 배포할 기회를 갖기 전에 보안 허점을 악용하기 때문에 위협 행위자들에게 특히 유리합니다. 제로데이 공격은 널리 보급되어 있지만, 공격의 최종 피해자인 최종 사용자에게는 잘 알려지지 않은 소프트웨어에 영향을 미칠 경우 더욱 큰 피해를 입힐 수 있는데, 이는 대개 해당 소프트웨어가 주로 해당 최종 사용자에게 서비스를 제공하는 공급업체에서 사용되기 때문입니다.
2023년 Cl0p의 가장 악명 높은 공격은 MOVEit 제로데이 취약점을 악용한 것이었습니다. MOVEit은 많은 IT 및 클라우드 애플리케이션에서 사용되는 파일 전송 소프트웨어이므로, 이 취약점으로 인해 수백 개 기관과 수백만 명의 개인 정보가 한꺼번에 노출되었습니다. Recorded Future의 앨런 리스카(Allan Liska)는 “MOVEit 공격의 많은 피해자들은 해당 소프트웨어에 노출되어 있다는 사실을 알지 못했기 때문에 자신이 피해를 입었다는 사실조차 몰랐습니다”라고 말했습니다.
2023년 5월부터, Cl0p는 MOVEit의 취약점을 악용하기 시작했으며, 이를 통해 이 그룹은 막대한 수의 피해자를 표적으로 삼을 수 있게 되었습니다. 표적이 너무 많기 때문에 데이터를 암호화하고 대가를 지불한 사람들에게 복호화 키를 배포하는 것은 운영상 비실용적입니다. 데이터 유출—즉, 접근을 차단하지 않은 채 데이터를 훔치고 이를 공개하겠다고 위협하는 것—은 더 효율적인 전술임이 입증되었으며, 복호화 도구가 공격을 무력화할 가능성에 대한 대비책이 되기도 합니다. Coveware의 사고 대응 담당 수석 이사인 리지 쿡슨(Lizzie Cookson)은 이 전술에 대해 다음과 같이 언급했습니다. “암호화는 더 많은 전문 지식과 자원, 그리고 특정 유형의 피해자 환경이 필요합니다.”라고 쿡슨은 말했습니다. “반면 데이터 유출은 체류 시간이 짧고, 실행에 필요한 경험과 기술도 덜 요구되며, 종종 악성 소프트웨어 없이도 수행될 수 있습니다.”
Cl0p의 ‘MOVEit’ 캠페인을 통해 이 랜섬웨어는 한때 전체 생태계에서 가장 두드러진 변종으로 부상했으며, 1억 달러 이상의 몸값을 챙겼고, 6월 전체 랜섬웨어 수익의 44.8%, 7월의 39.0%를 차지했다.
Cl0p의 MOVEit 캠페인은 막대한 수익을 올릴 뿐만 아니라, 규모를 축소한 갈취 시도라도 여전히 피해자로부터 돈을 받아낼 수 있음을 보여준다.
랜섬웨어 자금 세탁: 자금은 어디로 흘러가는가?
랜섬웨어 자금의 이동을 분석하면 위협 행위자들이 사용하는 수법과 서비스에 대한 필수적인 인사이트 정보를 얻을 수 있으며, 이를 통해 법 집행 기관은 이들의 금융 네트워크와 인프라를 표적으로 삼아 무력화할 수 있습니다.
랜섬웨어로 얻은 수익을 세탁하는 데 위협 행위자들이 몇 주, 몇 달, 심지어 몇 년이 걸릴 수도 있다는 점을 염두에 두어야 합니다. 따라서 2023년에 관찰된 자금 세탁 사례 중 일부는 이미 꽤 오래전에 발생한 공격에서 비롯된 것일 수 있습니다.
중앙화 거래소와 믹서는 지속적으로 거래의 상당 부분을 차지해 왔으며, 이는 랜섬웨어 대금을 세탁하는 데 선호되는 수단임을 시사한다.
하지만 올해는 브리지, 즉시 환전 서비스, 도박 서비스 등 새로운 자금 세탁 수단이 등장했습니다. 이는 랜섬웨어가 선호하던 자금 세탁 방식이 단속으로 인해 차질을 빚은 결과이자, 일부 서비스가 보다 강력한 AML/KYC 정책을 도입한 데 따른 것으로 평가되며, 동시에 새로운 랜섬웨어 행위자들의 독특한 자금 세탁 선호도를 보여주는 징후이기도 합니다.
또한 랜섬웨어 공격자들이 자금 세탁을 위해 활용하는 각 범주 내의 특정 서비스들에서도 상당한 집중 현상이 나타나고 있습니다.
거래소는 집중도가 가장 낮은 수준을 보인 반면, 도박 서비스, 크로스체인 브릿지, 제재 대상 기관은 집중도가 가장 높은 것으로 나타났다. 믹서, 비신원확인(no-KYC) 거래소, 암시장 거래소는 중간 수준을 보였으며, 랜섬웨어 지갑에서 각 범주로 전송된 전체 자금의 약 절반이 단일 서비스로 유입되었다. 믹서의 집중도는 다음의 결과로 인해 증가했을 가능성이 있다. Chipmixer의 폐쇄로 인해 랜섬웨어 공격자들에게 인기 있던 선택지가 사라지면서 믹서의 집중도가 높아졌을 가능성이 있다. 전반적으로 이러한 과도한 집중은 랜섬웨어 공격자들을 취약하게 만드는 병목 현상을 초래할 수 있는데, 법 집행 기관이 비교적 소수의 서비스를 차단하는 것만으로도 그들의 운영을 크게 방해할 수 있기 때문이다.
2023년에서 얻은 교훈
2023년 랜섬웨어 환경은 위협 행위자들 간의 전술과 제휴 관계 변화, RaaS(Ransomware-as-a-Service) 변종의 지속적인 확산, 그리고 더욱 신속해진 공격 실행 등으로 인해 상당한 변화를 겪었으며, 이는 더 효율적이고 공격적인 접근 방식을 보여주었다. 제휴 관계의 변화는 랜섬웨어 암시장 내부의 유동성과 더 큰 수익을 올릴 수 있는 갈취 수단을 끊임없이 모색하는 경향을 여실히 드러냈다.
악의적 행위자들은 계속해서 새로운 수법을 개발하고 규제 변화 및 법 집행 기관의 조치에 적응하고 있지만, 2023년에는 국제 법 집행 기관, 피해를 입은 기관, 사이버 보안 기업, 블록체인 정보 기관 간의 협력을 통해 랜섬웨어와의 전쟁에서 상당한 성과를 거두기도 했습니다. 코브웨어(Coveware)의 리지 쿡슨(Lizzie Cookson)은 “Hive 조직의 소탕 작전과 블랙캣(BlackCat) 조직의 활동 저지 사례는 모두 FBI가 피해자 지원을 최우선으로 삼아 피해자를 돕고 악의적인 행위자들에게 대가를 치르게 하고 있음을 보여주는 훌륭한 사례입니다.”라고 지적했습니다. 키부 컨설팅(Kivu Consulting)의 앤드류 데이비스(Andrew Davis) 역시 법 집행 기관의 ‘ 선제적 ’ 활용이 증가하고 있다고 언급하며, 이는 피해자 지원과 사이버 범죄자 추적에 있어 더욱 강력하고 단호한 접근 방식을 취하고 있음을 시사합니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
