이 블로그는 체이널리시스 2021년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 보고서를 다운로드하려면 전체 보고서를 다운로드하세요!
2020년은 영원히 ‘코로나의 해’로 기억될 것이지만, 사이버 범죄( 가상자산 )의 관점에서 보면 랜섬웨어가 본격적으로 확산되기 시작한 해이기도 합니다.
블록체인 분석에 따르면, 랜섬웨어 피해자들이 지불한 총액은 올해 311% 증가하여 약 3억 5천만 달러 상당의 가상자산 에 달했습니다. 가상자산 기반 범죄 중 이보다 더 높은 성장률을 보인 분야는 없었습니다. 또한, 신고 누락으로 인해 데이터셋에 모든 피해자 지불 주소가 분류되지 않았을 가능성이 높기 때문에, 이 수치는 실제 총액의 하한선이라는 점을 유념해야 합니다.
2020년 랜섬웨어의 증가세는 피해자들로부터 거액을 갈취한 여러 새로운 변종과, 기존 변종 중 일부가 수익을 급격히 늘린 데 기인했다.
랜섬웨어 변종들은 월 단위로 보더라도 일관된 활동 양상을 보이지 않습니다. 아래에서 볼 수 있듯이, 2020년 한 해 동안 수익이 가장 많았던 변종들의 활동은 기복이 있었습니다.
일 년 내내 활동하는 랜섬웨어 변종들의 수를 보면, 랜섬웨어 공격을 수행하는 여러 개의 별개의 그룹이 존재하는 것처럼 보일 수 있지만, 실제로는 그렇지 않을 수도 있습니다. 작년 ‘ 가상자산 ’ 범죄 보고서에서 살펴본 바와 같이, 많은 변종들이 RaaS(Ransomware-as-a-Service) 모델로 운영되고 있는데, 이 모델에서 제휴사들은 각 성공적인 공격으로 얻은 수익의 일부를 대가로, 제작자나 관리자로부터 특정 랜섬웨어 변종의 사용권을 ‘임대’받습니다.
많은 RaaS 제휴사들이 랜섬웨어 변종 간을 오가며 활동하고 있는데, 이는 랜섬웨어 생태계가 언뜻 보기보다 훨씬 작다는 것을 시사합니다. 또한, 많은 사이버 보안 연구자들은 가장 큰 규모의 랜섬웨어 변종 중 일부는 심지어 동일한 제작자와 운영자가 관리하고 있을 수 있다고 보고 있습니다. 이들은 공개적으로 운영을 중단한 뒤, 새로운 이름으로 매우 유사한 다른 변종을 출시하기도 합니다. 블록체인 분석을 통해, 서로 다른 랜섬웨어 변종과 관련된 주소들이 어떻게 상호 거래하는지 분석함으로써 이러한 연관성 중 일부를 밝혀낼 수 있습니다.
랜섬웨어 공격자들은 피해자로부터 빼앗은 자금의 대부분을 일반 거래소, 고위험 거래소(즉, 자금세탁방지( 컴플라이언스 ) 기준이 느슨하거나 아예 없는 거래소), 그리고 믹서로 이동시킵니다. 그러나 랜섬웨어 공격자들이 이용하는 자금세탁 인프라는 랜섬웨어 변종 자체와 마찬가지로 소수의 핵심 인물들에 의해 통제될 수 있습니다. 아래에서는 랜섬웨어 생태계 내의 상호 연결성을 살펴보겠습니다.
랜섬웨어 생태계 분석
서로 다른 랜섬웨어 변종과 관련된 지갑들이 자금을 송금하는 공통 입금 주소를 분석함으로써, 랜섬웨어 변종 간의 연관성을 파악할 수 있습니다. Maze와 Egregor를 연결하는 거래 사례에서 제시한 바와 같이, 입금 주소가 중복되는 대부분의 사례는 서로 다른 랜섬웨어 변종들이 공통된 자금 세탁 서비스를 이용하고 있음을 나타내는 것으로 보입니다. 다시 말해, 자금 세탁 서비스의 중복 사례는 법 집행 기관에 중요한 정보입니다. 이는 단 하나의 자금 세탁 운영을 차단함으로써 여러 변종의 활동, 특히 가상자산 를 현금화하고 사용하는 능력을 저지할 수 있음을 시사하기 때문입니다.
그러나 랜섬웨어 발신 주소가 가상자산 으로 이메일을 보내는 대상은 자금 세탁범들만이 아닙니다. 랜섬웨어 운영자들은 공격을 수행하기 위해 여러 유형의 제3자 서비스 제공업체에 의존합니다. 여기에는 다음이 포함됩니다:
- 랜섬웨어 운영자들이 잠재적 피해자의 네트워크에 취약점이 있는지 파악하기 위해 활용하는 침투 테스트 서비스.
- 랜섬웨어 운영자나 기타 사이버 범죄자들이 피해자의 네트워크에 악성코드를 주입하는 데 활용할 수 있는, 다양한 종류의 소프트웨어에 존재하는 취약점에 대한 접근 권한을 판매하는 악용 코드 판매자들.
- 웹 호스팅 고객이 익명으로 서비스를 구매할 수 있도록 하며, 고객이 호스팅할 수 있는 사이트 유형에 대해 대체로 관대한 ‘불렛프루프(Bulletproof)’ 호스팅 업체들이 있습니다. 랜섬웨어 운영자들은 종종 명령 및 제어(C2) 도메인을 설정하기 위해 웹 호스팅이 필요한데, 이를 통해 해커의 컴퓨터가 악성코드에 감염된 피해자의 컴퓨터에 명령을 보낼 수 있게 됩니다.
자금 세탁 서비스와 마찬가지로, 수사관들이 랜섬웨어 운영자들이 공격을 수행하는 데 의존하는 서비스 제공업체를 파악하고 이에 대응할 수 있다면, 이론적으로 여러 종류의 랜섬웨어 활동을 저지할 수 있을 것이다.
그렇다면 랜섬웨어 주소로부터 자금을 수령하는 입금 주소들은 과연 어느 정도 집중되어 있을까? 한번 살펴보자.
이 섹션의 서두에서 언급했듯이, 랜섬웨어 자금의 대부분은 가상자산 거래소로 유입됩니다. 이러한 활동은 비교적 소수의 서비스에 집중되어 있는데, 단 5개 서비스만으로도 전체 랜섬웨어 자금의 82%를 차지합니다. 그렇다면 입금 주소 단위로 살펴보면 어떨까요?
데이터에 따르면 랜섬웨어 자금 세탁은 입금 주소 수준에서 더욱 집중되어 있는 것으로 나타났습니다. 2020년에 랜섬웨어 주소에서 송금된 전체 자금의 80%가 단 199개의 입금 주소로 유입되었습니다. 그중에서도 25개의 주소로 구성된 훨씬 더 적은 수의 그룹이 46%를 차지했습니다.
위의 산점도에서, 우리는 X축에 랜섬웨어 주소로부터 수령한 총 금액을 기준으로 해당 25개 주소를 정렬하고, Y축에는 수령한 총 자금 중 랜섬웨어가 차지하는 비중을 표시했습니다. 몇 가지 특이치를 제외하면, 랜섬웨어가 이 입금 주소들이 수령한 전체 자금에서 차지하는 비중은 상대적으로 낮은 것으로 나타납니다. 아래에서는 이러한 입금 주소 중 하나의 거래 내역을 좀 더 자세히 살펴보겠습니다.
이 입금 주소는 대규모 국제 암호화폐 거래소( 가상자산 )에서 호스팅되는 중첩 서비스에 속하며, 2020년 8월 3일부터 활동해 왔습니다. 해당 날짜부터 2020년 말까지 이 주소는 총 6,300만 달러 상당의 비트코인을 수령했습니다. 이 중 대부분은 불법 활동이 아닌 것으로 보입니다. 해당 자금의 거의 절반은 다른 주요 거래소에서 유입된 것이지만, 4분의 1은 추후 범죄 활동과 연관된 것으로 밝혀질 수 있는 미확인 서비스에서 유입된 것입니다. 비록 비중은 낮지만, 이 주소는 랜섬웨어 주소로부터 100만 달러 이상의 비트코인을, 또한 여러 사기 사건으로부터 240만 달러를 수령한 바 있습니다. 전반적으로, 범죄 활동은 해당 주소가 수령한 총 가상자산 의 10%를 차지합니다. 산포도 차트에 표시된 다른 입금 주소들 중 랜섬웨어에서 유입된 자금의 비중이 낮은 대부분의 주소도 유사한 양상을 보입니다.
개별 주소 간의 활동 차이와는 별개로, 이 데이터는 한 가지 사실을 분명히 보여줍니다. 바로 랜섬웨어 수익금을 현금화하는 능력은 극소수의 입금 주소 소유자들에 의해 뒷받침되고 있다는 점입니다. 이러한 입금 주소를 표적으로 삼음으로써, 가상자산 기업과 법 집행 기관은 협력하여 랜섬웨어 공격자들이 수익을 현금으로 전환하는 능력을 약화시킬 수 있습니다.
이 블로그는 체이널리시스 2021년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 보고서를 다운로드하려면 전체 보고서를 다운로드하세요!
