보안 전문 기업 이스트시큐리티(대표 정상원)는 자사의 백신 프로그램 ‘알약’을 통해, 2021년 3분기 총 14만 3천 321건의 랜섬웨어 공격을 차단했다고 13일 밝혔다.

통계에 따르면 2021년 3분기 알약을 통해 차단된 랜섬웨어 공격은 ▲총 14만 3천 321건으로, 이를 일간 기준으로 환산하면 일평균 ▲약 1천 592건의 랜섬웨어 공격이 차단된 것으로 볼 수 있다.

또한, 올해 상반기 알약을 통해 차단된 랜섬웨어 공격은 총 31만 3,075건으로, 3분기에 차단된 공격까지 더하면 현재까지 총 45만 6천 396건에 이른다.

이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약 백신프로그램의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많을 것으로 추정된다.

다만, 최근 2년에 걸쳐 전체 랜섬웨어 탐지 건수는 지속적으로 감소하는 추세를 보였고, 3분기 역시 지난 2분기 대비 소폭 감소한 것으로 나타난 것으로 분석됐다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 ▲소디노키비(Sodinokibi) 랜섬웨어, 대규모 카세야(Kaseya) 공급망 공격 수행 ▲다크사이드와 유사한 블랙매터(BlackMatter) 랜섬웨어 등장 ▲록빗(Lockbit) 2.0 공격 기승으로 국내외 여러 기업에서 피해 발생 ▲’비너스락커’ 그룹이 유포하는 마콥(Makop) 랜섬웨어 국내 개인과 기업 공격 꾸준히 발생 등을 선정했다.

먼저 3분기 가장 큰 위협으로는 소디노키비(Sodinokibi) 랜섬웨어 그룹의 대규모 카세야(Kaseya) 공급망 공격을 꼽을 수 있다. 지난 7월 러시아 해커들로 구성된 소디노키비(Sodinokibi) 랜섬웨어 그룹은 IT 자동화 관리 소프트웨어인 카세야(Kaseya) 업데이트를 통해 공급망 공격을 수행했고, 이로 인해 최소 1,500개 이상의 기관이 피해를 입었다. 공격자들은 키세야 브이에스에이(Kaseya VSA) 소프트웨어의 제로데이 취약점(CVE-2021-30116)을 악용했다. 소디노키비(Sodinokibi) 해커들은 랜섬머니로 초기에 7천만 달러를 요구한 바 있다.

다크사이드(Darkside) 등 유명 랜섬웨어와 유사한 블랙매터(BlackMatter) 랜섬웨어가 발견된 점도 주목할 필요가 있다. 일본의 올림푸스(Olympus)를 공격한 것으로 알려진 블랙매터(BlackMatter)는 서비스형 랜섬웨어(RaaS) 형태로 운영되고 있으며, 윈도우, 리눅스 등 다양한 운영 체제 버전 및 아키텍처 용으로 제공되고 있다. 지난 5월에도 미국 송유관 기업인 콜로니얼 파이프라인(Colonial Pipeline)이 다크사이드(DarkSide) 랜섬웨어 공격으로 막대한 피해를 입었다.

8월에는 새로운 버전으로 업그레이드된 록빗(LockBit) 2.0 랜섬웨어 공격으로 국내외 다수 기업에서 피해가 발생했다. 자동차, 은행, 정부, 기술, 에너지, 통신 등 다양한 산업 분야에 서비스를 제공하는 것으로 알려진 글로벌 IT 컨설팅 기업인 액센츄어(Accenture)와 국내 기업 진양오일씰, 풀무원 미국 법인이 록빗(LockBit) 2.0 랜섬웨어 공격으로 피해를 입었다. 공격자들은 공격으로 획득한 기업 데이터를 유출하겠다고 협박하면서 랜섬머니 지불을 요구하는 이중 갈취(double extortion) 전략을 사용했다.

아울러 지난 2분기에 이어 3분기에도 비너스락커 그룹이 유포하는 마콥(Makop) 랜섬웨어가 국내에서 꾸준히 발견됐다. 공격자들은 주로 입사지원서, 이력서, 경력 사항, 포트폴리오, 견적 문의 또는 이미지 저작권 침해 관련 문서로 위장한 EXE 파일을 첨부한 스피어피싱 이메일 형태로 랜섬웨어를 유포했다. 지난 2분기에도 발견된 HWP 아이콘을 사용한 마콥(Makop) 샘플이 9월부터 다시 발견되고 있으며, 8월에는 GOMPlayerGlobal Setup File과 PDF 아이콘을 이용한 사례도 확인됐다. 공격자들은 파일명, 파일 설명, 확장명, 메일 주소 등을 다양하게 변경해가며 탐지망을 교묘히 피해 가는 수법을 이용했다.

이 밖에도 지난 8월 바북(Babuk) 랜섬웨어를 기반으로 하는 새로운 랜섬웨어 그루브(Groove)가, 9월에는 추석 키워드를 활용한 펜타(Penta) 랜섬웨어, 한국 기업 맞춤형 귀신(Gwisin) 랜섬웨어 등이 발견됐다. 3분기 새로 발견됐거나 주목할 만한 랜섬웨어는 다음과 같다.