이 블로그는 체이널리시스 2020년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 문서를 다운로드하려면 전체 문서를 다운로드하세요!
2019년 12월 13일, 뉴올리언스시는 랜섬웨어 공격으로 인해 컴퓨터 시스템이 마비되자 비상사태를 선포할 수밖에 없었습니다. 12월 19일까지 이 공격으로 인한 시스템 가동 중단으로 인해 시는 이미 100만 달러 이상의 손실을 입었습니다. 안타깝게도 이러한 사례는 너무나도 흔한 일입니다. 볼티모어에서 요하네스버그에 이르기까지 전 세계의 지방 정부들은 랜섬웨어 공격으로 막대한 경제적 피해를 입었으며, 수백 개의 병원, 학교, 기업은 물론 미군까지 피해를 입었습니다.
랜섬웨어 공격이 증가하고 있지만, 그 영향을 정확히 파악하기는 어렵습니다. 미국 국토안보부가 발표한 통계에 따르면, 2016년 이후 매일 4,000건 이상의 랜섬웨어 공격이 발생했으며, 이는 2015년 하루 평균 약 1,000건이던 것에 비해 300% 증가한 수치입니다. 8월 맥아피 랩스(McAfee Labs)의 보고서에 따르면, 랜섬웨어 공격 건수는 전년 대비 두 배 이상 증가한 것으로 나타났다. 많은 기업이 공격을 신고하지 않고 단순히 몸값을 지불하는 경우가 많기 때문에, 이러한 수치는 문제의 실제 규모를 과소평가하고 있을 가능성이 높다. 실제로 일부 기업은 랜섬웨어 공격을 인정할 경우 주가가 하락할 것을 우려하기도 한다. 아래에서 추정된 몸값 지불에 따른 직접 비용 외에도, 피해를 입은 기업들은 가동 중단으로 인한 간접 비용도 고려해야 한다.
당사의 데이터에 따르면, 2019년에 랜섬웨어 관련 주소로 지급된 금액은 총 660만 달러를 약간 상회하는 것으로 나타났으며, 이는 주로 10월에 Bitpaymer, Ryuk, Defray777 랜섬웨어 변종을 이용한 공격이 급증한 데 기인한 것입니다. 그러나 이 연간 총액은 거의 확실하게 실제보다 적게 추산된 수치입니다. 블록체인 분석을 통해도 피해자가 공격을 신고하지 않는다면 지급된 몸값의 규모를 정확히 파악하기는 어렵기 때문입니다.
이 문제는 ‘랜섬웨어 서비스(RaaS)’의 확산으로 인해 더욱 심각해지고 있습니다. 랜섬웨어 기술을 개발한 많은 해커들은 이제 기술력이 부족한 해커들이 해당 기술에 대한 접근 권한을 임대할 수 있도록 허용하고 있는데, 이는 마치 기업이 구글의 G-Suite와 같은 소프트웨어에 대해 월 사용료를 지불하는 방식과 같습니다. 핵심적인 차이점은 랜섬웨어 개발자들이 공격이 성공할 때마다 수익의 일부를 가져간다는 점입니다. 아래는 ‘메가코르텍스(MegaCortex)’라는 새로운 RaaS 변종에 대한 광고 예시로, 비용 구조와 신규 구매자가 서비스를 시작하는 절차를 설명하고 있습니다.
아래의 체이널리시스 Reactor 그래프는 2019년 가장 인기 있었던 RaaS 변종 중 하나인 소디노키비(Sodinokibi)의 두 가지 사례를 보여줍니다. 두 사례 모두에서, 왼쪽에 있는 소디노키비 RaaS 사용자는 징수한 몸값의 70~75%를 (아마도 본인 소유인) 한 주소로, 20~25%는 (아마도 RaaS 공급업체가 관리하는) 다른 주소로 송금합니다.
RaaS의 등장으로 공격 건수가 증가함에 따라, 전체적인 재정적 영향을 정량화하기가 더욱 어려워졌습니다. 또한 RaaS는 랜섬웨어 공격의 본질 자체를, 특히 요구되는 몸값 규모와 전형적인 피해자 프로필 측면에서 극적으로 변화시켰습니다. RaaS 공격이 기존 랜섬웨어 공격과 어떻게 다른지에 대해서는 나중에 더 자세히 살펴보겠습니다.
랜섬웨어가 초래한 전체적인 영향과 비용을 정확히 측정할 수는 없지만, 현재 확보된 데이터를 비율 기준으로 분석함으로써 2019년을 특징지었던 추세와 2020년에도 이어질 수 있는 추세를 파악할 수 있습니다.
먼저 랜섬웨어 공격의 타격을 가장 크게 받고 있는 지역이 어디인지 살펴보겠습니다. 아래에서는 피해자들이 몸값을 지불하는 데 사용한 거래소의 위치를 주로 바탕으로 피해자의 위치를 대략적으로 추정했습니다. 거래소의 위치를 파악하는 것 자체만으로도 복잡한 작업입니다. 거래소는 일반적으로 국경을 넘어 고객에게 서비스를 제공하기 때문에, 단순히 본사가 어디에 있는지 아는 것만으로는 각 거래소가 주로 어떤 시장을 대상으로 하는지 파악하기에 충분하지 않습니다. 거래소의 시장 분류를 결정하는 데 사용하는 단일 지표는 없지만, 우리가 고려하는 요소로는 주요 법정화폐 거래 쌍, 거래 패턴에 대한 시간대 분석, 웹 트래픽 출처, 회사 등록 정보, 공개된 정보, 그리고 거래소 측과의 직접적인 대화 등이 있습니다. 우리가 “글로벌” 범주에 포함시킨 거래소는 활동이 여러 지역에 걸쳐 분산되어 있는 곳들입니다.
2019년에 당사가 추적한 랜섬웨어 몸값 지불 건의 52%가 북미에서 발생했으며, 이는 2018년의 31%에 비해 크게 증가한 수치입니다. 외부 보고서들 역시 2019년 북미 지역에서 랜섬웨어 공격이 증가했다는 당사의 조사 결과를 뒷받침하고 있습니다. 몸값 지불 건수에서 두 번째로 큰 비중을 차지한 것은 글로벌 거래소 이용자들이었으며, 그 다음은 유럽 거래소 이용자들이었습니다.
비록 그렇게 하고 싶은 유혹이 있었지만, 우리는 피해자의 경우와 달리 랜섬웨어 공격자들이 이용한 거래소를 바탕으로 그들의 지리적 위치를 추측하지 않기로 결정했다. 우선, 공격자들은 자신의 활동을 은폐하려 할 가능성이 높으며, 자신의 위치와 연관성이 적은 서비스를 이용할 가능성이 더 큰 반면, 피해자들은 몸값을 지불할 때 가장 편리한 거래소나 서비스를 선택할 가능성이 더 크기 때문이다.
데이터를 면밀히 분석한 결과, 랜섬웨어 공격자들의 자금 인출 활동이 소수의 거래소에 집중되어 있다는 사실도 확인했습니다. 아래에서는 시간의 흐름에 따라 랜섬웨어 공격자들이 가장 많이 이용하는 거래소들을 살펴보겠습니다.
자세히 살펴보면, 2013년부터 2016년까지 주요 랜섬웨어 변종들이 모은 자금의 거의 전부가 한 거래소에서 현금화된 것을 알 수 있습니다. 바로 러시아에 기반을 둔 BTC-e로, 2017년 법 집행 기관에 의해 폐쇄되기 전까지 전 세계에서 가장 인기 있는 거래소 중 하나였습니다. BTC-e의 글로벌 영향력을 고려할 때, 이 데이터만으로는 해당 기간 동안 대부분의 랜섬웨어 공격자들이 러시아에 기반을 두고 있었다고 단정하기에는 부족합니다. 그러나 현장 정보와 보안 전문가들의 보고에 따르면, CryptoLocker, Locky, Cerber와 같은 인기 랜섬웨어 변종의 제작자들이 실제로 러시아에 기반을 두고 있었던 것으로 알려져 있습니다.
2017년 BTC-e가 폐쇄된 이후, 랜섬웨어 공격자들은 한 인기 있는 P2P 거래소를 포함해 대규모의 국제적 사용자 기반을 갖춘 거래소를 통해 자금을 현금화하는 방식으로 전환했습니다. 이는 단순히 BTC-e 폐쇄 이후 동일한 공격자들이 다른 글로벌 거래소로 눈을 돌린 결과일 수 있습니다. 하지만 이러한 변화는 RaaS(Ransomware-as-a-Service)의 확산과, 이를 통해 더 많은 하위 수준의 사이버 범죄자들이 랜섬웨어 공격을 감행할 수 있게 된 점을 반영할 수도 있다. 전 세계적으로 공격자의 수가 증가하고 있다면, 공격자들이 자금을 인출하기 위해 이용하는 거래소의 수가 다양해지는 것은 당연한 일이다. 하지만 이를 단정 지을 수는 없다. 또한 BTC-e가 폐쇄된 직후인 2018년부터 또 다른 러시아 기반 거래소가 랜섬웨어 주소로부터 상당한 자금을 받기 시작했다는 점도 주목할 만합니다. 해당 거래소는 2019년 거래소로 송금된 전체 랜섬웨어 자금의 약 44%를 차지하며 그 비중을 지속적으로 확대해 왔습니다.
공격자들이 자금을 인출하는 데 이용하는 거래소와 마찬가지로, 공격자들이 선호하는 랜섬웨어 변종 역시 특정 시점에는 소수에 집중되는 경향이 있다는 것을 우리는 알고 있습니다. 아래 차트에서는 랜섬웨어 변종들이 수집한 총 랜섬웨어 지불금에서 차지하는 비중을 시간별로 나타내고 있으며, 이를 통해 이러한 경향을 확인할 수 있습니다.
개별 랜섬웨어 변종은 한 번에 5~7개월 동안 우세하게 퍼지다가 사라지고, 다른 변종으로 대체되는 경향이 있습니다. 하지만 모든 변종이 똑같은 양상을 보이는 것은 아닙니다. 다음 섹션에서는 두 가지 주요 랜섬웨어 변종 유형인 ‘전통적인 랜섬웨어’와 ‘RaaS’ 간의 공격 패턴 차이를 살펴보겠습니다.
RaaS가 랜섬웨어와 어떻게 다른가
RaaS가 확산됨에 따라 두 가지 뚜렷이 구분되는 유형의 랜섬웨어 공격이 나타나고 있습니다. 한쪽 끝에서는 여전히 대기업을 표적으로 삼거나, 국가와 연계된 해커들의 경우 지정학적 표적을 겨냥한 전통적이고 정교한 랜섬웨어 캠페인이 관찰됩니다. 반면, 반대쪽 끝에서는 해킹 업계에서 ‘제휴자(affiliates)’로 알려진 기술 수준이 낮은 해커들이 소규모 조직을 대상으로 수행하는 RaaS 공격이 나타나고 있습니다. 랜섬웨어 사고 대응 서비스 제공업체인 코브웨어(Coveware)의 CEO 빌 시겔(Bill Siegel)은 “RaaS의 경우 피해 대상이 확실히 소규모인 경향이 있습니다”라고 말합니다. “RaaS를 구매하는 제휴자들은 기술 수준이 낮고 자원이 부족한 경우가 많기 때문에, 가장 쉽게 공격할 수 있는 피해자를 노립니다.”
데이터도 이를 뒷받침합니다. 위 그래프에서 볼 수 있듯이, 노란색으로 표시된 RaaS 변종들은 피해자로부터 받는 평균 송금액이 더 낮은 경향을 보입니다. 2019년에 등장한 소디노키비(Sodinokibi)는 다른 어떤 RaaS 변종보다 더 많은 금액을 송금받으며, 평균 송금액이 5,000달러를 넘어선 유일한 RaaS 변종입니다.
빌과 그의 팀은 일 년 내내 소디노키비의 성장과 확산 과정을 직접 지켜보았으며, 그들의 관찰 결과는 RaaS 변종이 어떻게 확산되는지에 대한 통찰을 제공합니다. “우리는 2019년 봄에 소디노키비의 첫 번째 공격 사례를 목격했는데, 이는 개발자와 초기 제휴사들의 시험 운영이었던 것으로 보입니다. 그 직후, 개발자들은 인기 있는 해킹 포럼에서 선별된 제휴사들에게 소디노키비를 홍보하기 시작했습니다.”
RaaS 개발자들은 “일선”에서 활동하던 것에서 유통 및 모집 업무를 담당하는 쪽으로 진로를 전환할 수 있습니다. 같은 업계이긴 하지만, 공급망 내에서 맡은 역할이 다른 것입니다. 개발자들은 직접 공격을 감행하는 것보다 RaaS를 유통하고 관리하는 데서 더 많은 수익을 올릴 수 있습니다.
제휴사들은 시장 반응을 살펴보고 자신들에게 적합한 품종을 찾아보려는 의지가 확고해 보인다. 빌은 “일화적으로 볼 때, 제휴사들이 다양한 RaaS 품종에 대한 경험을 공유하거나 더 높은 수익 분배율을 제공하는 공급업체를 찾는다는 이야기를 확실히 듣고 있다”고 말한다. 온체인 데이터에서도 이러한 현상의 사례를 확인할 수 있다.
위의 네트워크 그래프는 서로 다른 랜섬웨어 변종과 관련된 가상자산 주소들을 연결하는 수많은 송금 내역을 보여줍니다. 이러한 연결 중 일부는 우연의 일치일 가능성도 있습니다. 예를 들어, 공격자들이 동일한 믹싱 서비스를 이용하기 때문에 일부 변종이 연결되어 있을 수 있습니다. 그러나 연결의 방대한 수와 우리의 간접적 지식을 종합해 볼 때, 이러한 거래 중 일부는 RaaS 사용자들이 여러 공급처를 비교 검토하는 사례이거나, 심지어 RaaS 공급업체가 여러 변종을 판매하고 있는 사례일 가능성이 있습니다. 후자의 경우 소수의 대형 공급업체가 시장을 장악하고 있음을 시사할 수도 있지만, 확실하게 단정할 수는 없습니다.
이제 체이널리시스 Reactor.
여기에서는 ‘Crysis Dharma’와 관련된 주소가 ‘Phobos’와 관련된 주소로 자금을 송금하는 모습을 볼 수 있습니다. 두 주소 모두 러시아의 고위험 거래소인 Bitzlato에 있는 동일한 지갑으로 상당한 금액을 송금하고 있습니다. 확실하게 단정할 수는 없지만, 하단에 표시된 두 주소는 모두 ‘Phobos’와 ‘Crysis Dharma’에 대한 접근 권한을 판매하고, 두 계정에서 나온 자금을 Bitzlato 내 자신의 계정으로 다시 송금하는 동일한 RaaS(서비스형 해킹) 공급자가 관리하고 있을 가능성이 가장 높습니다.
랜섬웨어에 관한 좋은 소식과 나쁜 소식
안 좋은 소식은 RaaS가 수많은 사이버 범죄자들에게 확산됨에 따라, 규모와 형태를 불문하고 모든 기업이 공격에 대비해야 한다는 점입니다. 이제 랜섬웨어를 직접 개발하는 수고를 들일 필요가 없는 공격자들이 늘어나면서, 고도로 정교한 해커들이 신경 쓰지 않을 만한 소규모 조직을 공격하는 것만으로도 이들에게 수익을 올릴 수 있게 되었습니다. 이러한 악성 바이러스의 ‘시장’이 성숙해짐에 따라 RaaS 공급업체들이 점점 더 위험한 변종을 출시하며 차별화를 꾀함에 따라, RaaS 문제는 더욱 악화될 수 있습니다.
하지만 다행인 점은, 어떤 기업이든 몇 가지 간단한 단계를 성실히 따르기만 하면 랜섬웨어 공격으로부터 스스로를 보호할 수 있다는 것입니다. 빌 시겔(Bill Siegel)은 코브웨어(Coveware) 블로그에서 이러한 조치 중 일부를 소개하고 있습니다. 우선, 기업은 가장 중요한 문서를 세 부씩 저장해야 합니다. 하나는 로컬 드라이브에, 하나는 드롭박스(Dropbox)와 같은 클라우드 백업 시스템에, 그리고 하나는 USB나 외장 하드 드라이브와 같은 오프라인 물리적 저장 장치에 저장해야 합니다. 이렇게 하면 공격을 당하더라도 필요한 파일을 안전하게 보존할 수 있습니다. 공격을 사전에 방지하기 위해 빌은 기업들에게 운영 체제를 자주 업데이트하여 새로운 보안 패치를 적용하고, 강력한 안티바이러스 소프트웨어를 사용하며, 2단계 인증 및 비밀번호 관리자와 같은 보안 조치를 활성화하는 등 모범 사례를 따를 것을 권장합니다.
만약 귀사의 비즈니스가 랜섬웨어 공격을 당하게 된다면, 빌은 즉시 취해야 할 몇 가지 조치를 제시합니다. 첫째, Wi-Fi나 블루투스 등 연결된 모든 네트워크에서 영향을 받은 기기를 분리하고 전원을 꺼서 격리해야 합니다. 둘째, 랜섬웨어 공격의 흔한 침투 경로인 모든 원격 데스크톱 프로토콜(RDP) 포트를 닫아야 합니다. 마지막으로, 해커가 시스템에 접근할 수 있는 모든 권한을 상실하도록 모든 관리자 및 사용자 인증 정보를 업데이트해야 합니다. 그 후에는 백업본을 통해 가능한 한 많은 데이터를 복구해야 합니다. 빌은 FBI와 함께, 귀사가 중요한 데이터를 되찾을 다른 방법이 전혀 없는 경우가 아니라면 공격자에게 몸값을 지불하지 말 것을 권고합니다.
또한 랜섬웨어 공격을 당한 모든 기업에는 즉시 해당 사실을 신고해 줄 것을 간곡히 당부드립니다. 자사가 피해자가 되었다는 사실을 공개하고 인정하는 것이 두렵게 느껴질 수 있지만, 수많은 기업이 신고를 꺼리는 상황에서 법 집행 기관과 사이버 보안 업계가 문제의 전체적인 규모를 파악하고 이를 해결하기 위해 적절한 자원을 투입하기는 어렵습니다. 이러한 감시의 눈길에 대한 두려움은 결국 랜섬웨어 공격자들이 발각되지 않은 채 더 많은 피해자를 양산하는 데 일조합니다. 페덱스(FedEx)부터 영국의 국민보건서비스(NHS), 수많은 지방 정부에 이르기까지 랜섬웨어 공격을 당한 유수 기관들의 수를 고려할 때, 이제 이러한 공격과 관련된 오명을 떨쳐낼 때가 되었다고 생각합니다. 분명히, 랜섬웨어 공격은 어떤 조직에게나 발생할 수 있습니다.
만약 공격을 당한 경우, 수신된 몸값 요구 메시지의 스크린샷 등 가능한 한 많은 증거를 수집하여 수사관에게 보내야 합니다. 그래야 수사관들이 어떤 종류의 랜섬웨어에 감염되었는지 파악하고 대응책을 마련할 수 있습니다. 또한, 새로 도입된 랜섬웨어 신고 양식을 통해 체이널리시스 저희의 새로운 랜섬웨어 신고 양식을 통해 직접 신고할 수도 있습니다. 귀하가 제공해 주신 세부 정보는 공격자에 대한 더 많은 데이터를 수집하고, 법 집행 기관과 협력하여 공격자를 저지하는 데 도움이 될 수 있습니다.
이 블로그는 체이널리시스 2020년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 문서를 다운로드하려면 전체 문서를 다운로드하세요!
