달갑지만은 않은 랜섬웨어•채굴 악성코드 감소세…왜?

2019년 상반기 악성코드 통계를 살펴보면, 다른 나라와 마찬가지로 국내에서도 랜섬웨어와 마이너(Miner, 암호화폐 채굴 악성코드)가 상당히 감소하는 추세를 보였다. 그러나 절대적인 수가 감소한 것은 분명하지만 긍정적으로 보기는 어려운 상황이다. 개인을 대상으로 한 랜섬웨어 및 마이너 악성코드 유포는 감소한 반면, 기업을 대상으로 한 공격은 오히려 증가했기 때문이다. 이 또한 국내외에서 공통적으로 나타나는 현상이다. 다만, 국내 랜섬웨어 추이 변화에는 다른 나라와는 조금 다른 특징이 있다.

안랩 시큐리티대응센터(AhnLab Security Emergency response Center, 이하 ASEC)가 발표한 2019년 상반기 국내 랜섬웨어 및 마이너 악성코드 통계와 특징을 살펴본다.

기업과 기관에 피해를 야기하는 악성코드는 다양하지만 공통적으로 문제가 되는 것은 역시 랜섬웨어와 마이너 악성코드이다. 이들은 시스템을 사용할 수 없게 하거나 시스템 성능을 저하시킴으로써 결과적으로 기업과 기관의 업무 연속성 및 생산성에 직접적인 영향을 준다. 기업 및 기관의 보안 담당자들이 랜섬웨어와 마이너 악성코드의 변화에 관심을 가져야 하는 이유도 이 때문이다.

2019년 상반기 랜섬웨어 감소 추세, 그러나…

ASEC이 집계한 바에 따르면, 올해 2분기 랜섬웨어 샘플 수는 47만4천건으로, 지난 1분기 33만6천건 대비 41.2% 증가했다. 그러나 2분기 랜섬웨어 감염 보고 건수는 4만1천건으로, 1분기 14만7백건에 비해 70.7% 급감한 것으로 나타났다. 이는 지난 2016년 이후 가장 낮은 수치다.

[그림 1] 2019년 상반기 랜섬웨어 통계(*샘플 수 및 감염 보고 건수)

지난 분기 대비 2분기에 랜섬웨어 샘플 수가 증가한 주요 원인은 갠드크랩(GandCrab) 랜섬웨어다. 지난 5월 말 공격자가 제작 중단을 선언하기 전까지 다양한 변종이 국내에 유포되면서 상반기 주요 랜섬웨어 중에서도 가장 많은 67%의 비율을 차지했다([그림2]참고). 상위 10종에 포함되지 않은 군소 랜섬웨어들이 전반적으로 증가한 것도 2분기 랜섬웨어 샘플 수가 늘어난 원인이 됐다.

[그림 2] 2019년 상반기 랜섬웨어 Top 10 (*샘플 수 기준)

2분기에 들어서며 랜섬웨어 감염 보고 건수가 급감한 원인도 역시 갠드크랩이다. [그림 3]에서 볼 수 있듯이 올해 3월부터 갠드크랩 감염 건수가 감소하기 시작했으며, 공격자가 제작 중단을 선언한 5월 말 이후부터 6월 사이에 급감했다. 결론적으로 상반기 국내 랜섬웨어 샘플 수 증가의 원인이자 감염 보고 건수 감소의 원인이 모두 갠드크랩이었다.

갠드크랩은 2018년 1월 처음 보고된 이후 2019년 6월까지 줄곧 최악의 랜섬웨어로 악명을 떨쳤다. 약 15개월의 활동 기간 동안 국내에서 발견된 샘플 수만 56만9천건, 감염 보고 건수는 50만2천건에 달한다. 월 평균 3만3천500건 가량의 피해가 발생했을 만큼 국내에서는 갠드크랩의 피해가 극심했다.

[그림 3] 2019년 상반기 갠드크랩 랜섬웨어 추이 (*샘플 수 및 감염 보고 건수)

갠드크랩과 함께 워너크립터(WannaCryptor, 일명 워너크라이) 랜섬웨어의 감염 건수도 현저히 줄어들면서 올해 상반기 랜섬웨어 감염 건수가 전체적으로 감소했다. 지난 2017년 5월 전 세계에 충격을 준 워너크립터 랜섬웨어는 일명 ‘이터널블루(EtenalBlue)’라고 불리는 SMB 취약점(MS17-010)을 통해 피해가 확산된 바 있다. 그 후 2년이 지난 올해 초에도 국내에서는 워너크립터 샘플 수와 감염 건수가 증가한 것으로 확인됐다([그림 4]참고).

특히 국내 기업의 경우, 여러 관리 및 절차 상의 문제로 관련 보안 패치를 적용하지 않은 곳이 많아 워너크립터 피해가 계속된 것으로 분석된다. 2분기에 들어서며 워너크립터 랜섬웨어 감염이 급감했지만, SMB 취약점을 이용하는 다양한 악성코드가 지속적으로 유포되고 있는 만큼 기업 보안 담당자들은 SMB 취약점 관리를 우선순위로 고려해야 한다.

[그림 4] 2019년 상반기 워너크립터 랜섬웨어 추이 (*샘플 수 및 감염 보고 건수)

2019년 상반기 뜻밖의 복병, 클롭과 블루크랩

지난 1분기, 뜻밖의 복병이 등장해 기업 보안 관리자들을 긴장시켰다. 바로 클롭 랜섬웨어(Clop ransomware)다. [그림 5]에서 볼 수 있듯이 지난 1분기 클롭 랜섬웨어 감염 건수가 급격히 증가했다. 2분기에 들어서며 감염건수가 눈에 띄게 줄어들었지만, 지난 7월 초 일부 기업을 중심으로 클롭 랜섬웨어 피해가 발생한 바 있다.

[그림 5]에서 또 하나 눈길을 끄는 것은 클롭 랜섬웨어 샘플 수에 비해 감염 보고 건수가 상당히 높다는 것이다. 클롭 랜섬웨어는 샘플 수를 기준으로 한 상반기 Top 10 랜섬웨어에 포함되지 않을 만큼 상대적으로 적은 비중을 차지했다. 그에 반해 감염 건수가 높았던 이유는 클롭 랜섬웨어의 유포 및 감염 경로가 여타 랜섬웨어와 상당한 차이를 보였기 때문이다.

[그림 5] 2019년 상반기 클롭 랜섬웨어 추이 (*샘플 수 및 감염 보고 건수)

클롭 랜섬웨어는 올해 초부터 특정 기관을 사칭, 악성 실행 파일이나 워드, 엑셀 등 악성 문서 파일을 첨부한 이메일을 이용해 국내 기업 및 기관을 대상으로 유포되고 있다. 지난 5월 말에는 국세청 등을 사칭하고 html 파일을 첨부하는 등 공격 방식을 변경했다.

[그림 6]은 클롭 랜섬웨어의 공격 과정을 요약한 것이다. 클롭 랜섬웨어 공격자는 특정 해킹 툴을 이용해 기업의 PC와 서버 시스템 장악을 시도한다. 이 과정에서 감염된 시스템이 타깃 기업의 액티브디렉토리(AD) 서버에 연결된 시스템인지를 확인한다. 내부 전파 과정을 거쳐 클롭 랜섬웨어는 최종적으로 AD 서버의 관리자 권한을 탈취하고, AD 서버에 연결된 PC나 서버 시스템으로 감염을 확산시킨다. 클롭 랜섬웨어가 AD 서버 권한을 탈취하면 감염이 확산될 수 있을 뿐만 아니라 AD 서버에 연결된 PC와 서버를 원격으로 제어해 정보 유출도 가능하기 때문에 더욱 각별한 주의가 필요하다.

[그림 6] 클롭 랜섬웨어 공격 과정 요약

기업을 타깃으로 하는 랜섬웨어 공격은 이미 국내외에서 빈번하게 발생하고 있다. 대표적으로 올해 상반기 노르웨이에 위치한 세계 최대 규모의 알루미늄 제조사와 벨기에에 위치한 비행기 부품 제조사 등이 랜섬웨어에 감염돼 곤욕을 치렀다. 또 미국 등에서는 교통 시설이나 은행, 지방 자치 단체들이 랜섬웨어 감염으로 업무가 마비된 사례가 있었다. 국내에서도 몇 년 전 유명 호스팅 업체를 노린 표적형 랜섬웨어 공격으로 막대한 피해가 발생한 바 있다. 그러나 클롭 랜섬웨어는 특정 산업군을 대상으로 하기 보다는 일반적인 국내 기업 환경을 고려한 랜섬웨어로 추정된다. 즉, 전 세계적으로 랜섬웨어의 표적이 개인을 비롯한 불특정 다수에서 기업 및 기관으로 변화하고 있음을 짐작할 수 있다.

한편, 올해 상반기에 등장한 신규 랜섬웨어 중 대표적인 것이 블루크랩(BlueCrab)으로, 일명 소디노키비(Sodinokibi)라고도 불린다. 블루크랩 랜섬웨어는 올해 4월 처음 보고되었음에도 불구하고, 상반기 주요 랜섬웨어 Top 10에 포함될 정도로 급격히 증가했다.

[그림 7] 2019년 상반기 블루크랩 랜섬웨어 추이 (*샘플 수 및 감염 보고 건수)

블루크랩(BlueCrab)은 이름뿐만 아니라 유포 방법 또한 갠드크랩(GandCrab)과 매우 유사하다. 주로 이메일의 첨부 파일과 익스플로잇 킷(Exploit Kit)을 이용한 멀버타이징(Malvertising) 방식으로 유포되었다. 또 워드프레스(WordPress) 취약점을 이용해 유명 포털 사이트의 검색 결과 페이지 상단에 노출된 웹사이트를 통해 유포된 것도 갠드크랩과 동일하다.

블루크랩 랜섬웨어의 암호화된 설정 파일 내부에 특정 필드 값이 포함되어 있었는데, 블루크랩도 갠드크랩과 마찬가지로 ‘서비스형 랜섬웨어(Ransomware-as-a-Service, RaaS)’로 제작되었을 것으로 짐작되는 이유다. 올해 상반기에는 블루크랩의 샘플 수나 감염 건수가 갠드크랩 수준에 이르지는 못했지만, 블루크랩 관련 RaaS가 공격자들로부터 지속적인 관심을 받게 될 경우 하반기 최악의 랜섬웨어로 자리잡을 가능성도 있다. 따라서 블루크랩 랜섬웨어에 대한 관심과 대비가 필요하다.

그 밖에 상반기 신규 랜섬웨어로는 메이즈 랜섬웨어(Maze ransomware)가 있다. 메이즈 랜섬웨어는 CVE-2018-8174과 CVE-2018-15982 취약점을 이용하는 폴아웃 익스플로잇 킷(Fallout Exploit Kit)을 통해 유포되었는데, 국내 유명 보안 업체의 제품이 설치된 폴더를 암호화 대상에서 제외하는 등 국내 사용자를 대상으로 유포된 정황이 포착됐다.

2019년 상반기 국내 암호화폐 채굴 악성코드 통계

마이너(Miner) 악성코드는 랜섬웨어와 마찬가지로 샘플 수와 감염 보고 건수면에서 작년보다 감소했다. 2019년 상반기 마이너 악성코드 샘플 수는 121만8천 건으로, 지난해 같은 기간 186만8천 건 대비 34.7% 감소했다. 감염 보고 건수 또한 22만1천 건으로, 지난해 같은 기간 220만5천 건 보다 무려 89.9% 급감했다.

[그림 8] 2019년 상반기 마이너 악성코드 통계(*샘플 수 및 감염 보고 건수)

2017년 말, 비트코인 등 주요 암호화폐(Cryptocurrency)의 가치가 급작스럽게 상승하면서 마이너 악성코드 샘플 수와 감염 건수가 동반 상승했다. 그러나 2018년부터는 암호화폐 시세와 마이너 악성코드 추이가 꼭 비례하지는 않았다. 이러한 추세는 올해 상반기 들어 더욱 뚜렷하게 드러났다. [그림 8]에서 볼 수 있는 것처럼 올해 3월부터 비트코인 가치가 꾸준히 상승세를 보이고 있지만 마이너 악성코드 샘플 수와 감염 건수는 오히려 급감했다.

한편, 올해 상반기에 유포된 마이너 악성코드가 주로 채굴한 암호화폐는 모네로(Monero)로 확인되었다. 그러나 국내 기업에 유포된 마이너 악성코드의 상당수는 어떤 암호화폐를 채굴하든 비트코인으로 보상 해주는 나이스해시(Nicehash) 알고리즘을 채택하고 있었다. 2019년 상반기에 비트코인 가치가 다시 상승하면서 일부 공격자들이 채굴 알고리즘에 재빠른 변화를 준 것으로 보인다. 결국 암호화폐 시세가 예전만 하지 못하다고 해서 마이너 악성코드가 완전히 약화될 것으로 속단하기는 이르다. 경기종합지수처럼 암호화폐 가치가 선행지수 지표가 된다면 하반기에는 마이너 악성코드 샘플 수와 감염 보고 건수가 증가할 가능성도 배제할 수 없다.

공격자가 원하는 것은 안정적인 수익원?

올해 상반기에 랜섬웨어와 마이너 악성코드가 전반적으로 감소하는 양상을 보인다는 것은 분명 고무적인 소식이다. 특히 감염 건수가 감소했다는 것은 해당 악성코드의 변종에 대해 유포 단계부터 시의적절하게 대응했다는 것으로 평가할 수 있다,

그러나 위에서 살펴본 것처럼, 랜섬웨어 수와 감염이 전반적으로 감소한 것은 분명하지만 기업을 타깃으로 하는 표적형 랜섬웨어 공격으로 변화했다는 것에 주목할 필요가 있다. 한때 직접적으로 암호화폐를 채굴하는 마이너 악성코드가 증가하면서 랜섬웨어가 소멸할 것이라는 관측이 나오기도 했다. 그러나 2019년 현재, 우리나라뿐만 아니라 세계적으로도 마이너 악성코드보다 랜섬웨어가 기업 보안에 더 심각한 위협이 되고 있다.

앞에서도 언급한 것처럼 암호화폐의 시세가 등락을 반복하면서 공격자들에게 안정적인 수익원이 되지 못한 것이 마이너 악성코드 위협이 둔화된 원인으로 보인다. 또 암호화폐 종류가 다양해지면서 비트코인 등 주요 암호화폐의 가치가 공격자들의 기대치만큼 오르지 않은 것도 이유다. 결국, 공격자는 수익성이 약해진 마이너 악성코드 대신 직접적으로 수익을 얻기 위해 기업을 겨냥한 랜섬웨어에 힘을 싣고 있는 것으로 분석된다.

랜섬웨어의 타깃이 기업으로 변화하면서 지능형 위협(Advanced Persistent Threat, APT) 형태의 랜섬웨어 공격으로 발전할 것이라는 관측이 지배적이다. 따라서 기업의 피해를 예방하기 위해서는 랜섬웨어 유입 경로부터 확산, 최초 감염 시스템 등에 대한 전방위적인 대응 방안을 마련해야 한다. 특히 워너크립터와 클롭 랜섬웨어 사례에서 확인한 것처럼 취약점에 대한 보안 패치 적용과 공유 폴더 및 중요 시스템의 관리자 계정 관리를 지속적으로 강화하는 노력이 필요하다.​