반도체 전문 온라인 매거진 - 올포칩

글로벌 사이버 보안 기업 카스퍼스키(Kaspersky)는 글로벌 연구분석팀(GReAT)의 최신 연구를 통해 신흥 서비스형 랜섬웨어(RaaS) 조직인 더 젠틀맨(The Gentlemen)이 새로운 맞춤형 악성 도구를 개발해 공격 전술을 고도화하고 있다고 밝혔다. 해당 조직은 랜섬웨어 배포 전 정찰과 시스템 제어를 위한 전용 백도어 및 신규 랜섬웨어 실행 파일을 활용하고 있으며, 현재 전 세계 제조, IT 서비스, 의료, 금융, 건설, 물류 등 다양한 주요 산업 분야를 대상으로 전방위적인 공격을 감행하고 있다.

자체 개발 악성 도구 및 다각화된 최초 침투 기법 활용

더 젠틀맨과 제휴 조직들은 주로 인터넷에 노출된 시스템의 취약점이나 탈취한 계정 정보를 악용해 내부 네트워크에 최초 접근한다. 특히 적은 비용으로 기업의 지식재산을 탈취하기 위해 초기 접근 브로커(IAB)와 협업하는 정황도 포착됐다. 카스퍼스키는 랜섬웨어 감염 이전 단계에서 외부 위협 행위자가 미리 침투를 수행한 흔적을 확인하여 이 같은 협력 가능성을 뒷받침했다.

공격 과정에서는 Go 언어로 개발된 맞춤형 백도어가 활용된다. 공격자들은 랜섬웨어 실행 직전 이 백도어를 설치해 콘솔 창을 숨긴 상태에서 감염 시스템의 정보를 수집하고 정찰을 수행한다. 또한 명령 및 제어 서버와의 양방향 통신을 통해 공격 명령을 실행하며 피해 환경에 맞춰 침투 범위를 점진적으로 넓히는 전술을 펼친다.

C 기반 변종 랜섬웨어 테스트 및 향후 보안 대응 과제

카스퍼스키 연구진은 기존에 사용되던 Go 언어 기반 랜섬웨어 외에 윈도우 환경을 겨냥한 C 언어 기반의 신규 랜섬웨어 변종을 추가로 발견했다. 이는 공격 조직이 실제 표적 환경에서 새로운 악성코드를 시험하며 공격 도구를 다변화하고 있음을 보여준다. 한편 공격 과정 중 카스퍼스키 보안 솔루션 삭제 도구(kavrmvr.exe)를 악용한 방어 무력화 시도가 있었으나, 해당 시도는 정상 탐지되어 차단됐다.

카스퍼스키 글로벌 연구분석팀 파티흐 센소이(Fatih Sensoy) 보안 전문가는 "더 젠틀맨은 비교적 최근 등장했으나 제휴 조직을 빠르게 확보하며 위협을 확대하고 있다"라며 "새로운 C 기반 변종을 시험하는 움직임은 향후 더욱 안정적이고 확장된 공격 체계로 이어질 수 있는 만큼, 기업들은 취약점 관리와 보안 강화를 최우선 과제로 추진해야 한다"라고 강조했다.

카스퍼스키 시큐리티 네트워크(KSN) 통계에 따르면 랜섬웨어 탐지 비율이 가장 높은 지역은 중남미(8.13%)였으며, 아시아 태평양(7.89%), 아프리카(7.62%), 중동(7.27%), 독립국가연합(5.91%), 유럽(3.82%)이 그 뒤를 이었다. 고도화되는 랜섬웨어 위협에 대응하기 위해 각 산업군 기업들의 신속한 시스템 점검과 대비책 마련이 요구된다.