3분기 주요 랜섬웨어 동향… ESXi가 랜섬웨어 해커 공격 대상으로 부상
[SRT(에스알 타임스) 문재호 기자] 보안 전문 기업 이스트시큐리티는 올해 3분기 ‘알약’의 랜섬웨어 행위기반 사전 차단 기능을 통해 총 6만9,582건의 랜섬웨어 공격을 차단했다고 29일 발표했다.
하루 평균 755건의 랜섬웨어 공격이 차단된 셈이다.
이스트시큐리티는 24년 3분기 주요 랜섬웨어 동향으로 ▲ESXi, 랜섬웨어 공격자들의 주요 공격 타깃으로 부상 ▲리눅스 시스템을 타깃으로 하는 랜섬웨어 증가 ▲랜섬웨어 조직의 공격 전술 변화 ▲3분기 새로 등장한 RaaS 등을 꼽았다.
는 VMware의 하이퍼바이저로, ESXi 서버를 장악하면 해당 서버에서 동작 하는 다양한 가상 머신에 영향을 미칠 수 있기 때문에 랜섬웨어 공격자들의 주요 공격 대상으로 자리 매김했다.
6월, ESXi에서 인증 우회 취약점(CVE-2024-37085)이 발견된 이후, 아키라(Akira) 및 블랙바스타(BlackBasta), 블랙바이트(Black Byte) 등 다수의 해킹 그룹이 공격에 해당 취약점을 적극적으로 악용했다.
최근 발견된 플레이(Play) 랜섬웨어의 변종 역시 VMware ESXi 환경을 대상으로 공격하도록 설계된 것으로 확인돼, VMware ESXi를 타깃으로 하는 랜섬웨어의 공격은 지속되고 더욱 거세질 것으로 예상된다.
윈도우보다 상대적으로 안전하다고 간주된 리눅스 서버를 공격하는 랜섬웨어도 증가하고 있다.
맬록스(Mallox) 랜섬웨어의 변종이 발견됐는데, 윈도우 시스템만을 공격 대상으로 한 기존과 다르게 리눅스 시스템도 공격할 수 있도록 업데이트 됐다.
또한 크립티나(Kryptina) 코드를 기반으로 하는 새로운 맬록스 랜섬웨어 변종도 추가로 발견됐다. 이 새로운 변종은 크립티나라는 랜섬웨어의 유출된 코드를 기반으로 하고 있으며, 역시 리눅스 시스템에서의 공격을 위해 설계됐다.
2023년 말 리눅스 시스템을 대상으로 하는 저비용 서비스형 랜섬웨어(RaaS)로 출시됐지만 많은 주목을 받지는 못했다. 하지만 2024년 2월 해킹 포럼에 소스코드가 유출됐이고, 공격자들이 유출된 크립티나의 소스코드를 활용하여 맬록스 랜섬웨어 변종을 제작했다. 이렇게 제작된 변종은 '맬록스 리눅스(Linux) 1.0' 라고 명명됐다.
랜섬웨어 공격 전술이 변화하고 있는 가운데, 최근 발견된 기린(Qilin) 랜섬웨어 변종이 주목받고 있다. 이 변종은 특정 엔드 포인트에서 크롬(Chrome) 브라우저에 저장된 자격증명을 탈취하며, 탈취한 자격증명을 이용하여 다단계 인증(MFA)이 설정되지 않은 가상사설망(VPN)을 통해 네트워크 접근을 시도한다.
볼케이노 데몬(Volcano Demon) 그룹이 배포하는 루카로카(LukaLocker)는 윈도우(Windows)와 리눅스 시스템을 대상으로 하며, 공격자는 관리자 자격 증명을 활용하여 피해자의 네트워크에 침투한다. 특이한점은 익명의 번호로 빈번히 전화를 걸어 피해자를 압박한다는 것이다.
3분기에도 새로운 RaaS 그룹들이 등장했다.
시카다(Cicada)3301은 3분기에 새롭게 등장한 RaaS 그룹으로, 과거의 유명한 암호학 퍼즐의 이름을 차용했다. 러스트(Rust)로 작성돼 크로스플랫폼을 지원하며 주로 VMware ESXi와 같은 가상화 환경을 공격 대상으로 삼고 있다.
다른 랜섬웨어들과 마찬가지로 이중 갈취 방식을 사용하며, ALPHV/BlackCat과의 상당한 유사성이 있어 Cicada3301이 ALPHV/BlackCat의 핵심 인원이 만든 것으로 추정되고 있다.
이스트시큐리티 시큐리티대응센터(ESRC) 관계자는 “랜섬웨어 공격자들이 피해를 극대화시키고자 ESXi와 같은 가상화 솔루션을 주요 공격 타깃으로 삼고 있다” 면서 “보안 담당자들이 최신 보안 패치를 신속히 적용하고, 사용자 접근 권한을 철저히 관리하며, 정기적인 교육과 모니터링을 통해 사이버 공격에 대한 예방 및 대응 체계를 강화해야 한다”고 밝혔다.