GandCrab 랜섬웨어

2020년 8월 11일 | 블로그, 어려운

더욱 정교하고 파괴적인 랜섬웨어 공격이 다가오고 있습니다.

벨라루스 사법 당국은 2017년부터 2018년까지 1000명이 넘는 피해자를 대상으로 랜섬웨어 '간드크랩(GandCrab)'을 유포한 혐의로 31세 남성을 체포했습니다 . 이 해커 는 피해자들에게 400달러에서 1500달러에 이르는 소액의 비트 코인을 요구했습니다. 비트코인 거래는 온라인에서 추적이 어렵기 때문에 해킹에 적합한 수단으로 이용되었습니다. 이 해커는 수백만 건의 피싱 이메일을 발송하여 피해자들을 공격했습니다. 이러한 랜섬웨어 공격은 벨라루스뿐만 아니라 미국, 영국, 우크라이나, 프랑스, 이탈리아, 러시아 등 여러 국가에서 발생했습니다. 당국은 이 해커가 개인이나 기업을 해킹하여 생계를 유지하는 전문 사이버 범죄자일 가능성이 높다고 보고 있습니다. 또한, 이 해커는 간드크랩 랜섬웨어를 사용했을 뿐만 아니라, 지하 포럼에서 악성 소프트웨어를 제작 및 판매한 것으로 드러났습니다.

갠드크랩이란?

인터넷은 SaaS(Software as a Service) , IaaS(Infrastructure as a Service) , PaaS( Platform as a Service) 와 같은 다양한 "서비스형(as-a-Service)" 제품들을 가능하게 했습니다 . 대표적인 "서비스형" 제품으로는 Salesforce, Slack, Microsoft O365 등이 있습니다. 해커 커뮤니티 또한 "서비스형" 모델을 적극적으로 활용하고 있습니다. 다크 웹의 지하 포럼에서는 해킹 도구, 계정 정보, 해킹 관련 조언 등을 거래하고 판매합니다. GandCrab은 바로 이러한 모델에 속합니다. GandCrab은 RaaS(Ransomware-as-a-Service)라고 불리며, 사용자가 직접 해킹 도구를 개발, 배포, 실행하는 번거로움을 없애줍니다. GandCrab 운영자가 대부분의 작업을 대신 수행해 줍니다. 운영자는 일반적으로 30%의 "수수료"를 받는데, 이는 Apple과 Google이 각각 SaaS 마켓플레이스에서 적용하는 방식과 유사합니다.

갠드크랩 개발사들은 2019년에 RaaS 서비스를 중단하며, "제휴사"들이 2억 달러 이상을 벌어들였고, 운영사들은 수억 달러를 벌어들였다고 자랑했습니다. 갠드크랩 개발사들은 갠드크랩 중단 이유에 대해 다음과 같은 성명을 발표했습니다.

"저희와 함께 일한 1년 동안, 사람들은 20억 달러 이상을 벌었습니다. […] 하지만 […] 모든 좋은 일에는 끝이 있습니다. 우리는 마땅히 누려야 할 은퇴 생활을 시작합니다. 악행을 저지르면 보복이 없다는 것을 증명했습니다."

REvil 및 MAZE 랜섬웨어

Sophos는 GandCrab 해커들이 활동을 중단한 것이 아니라 더욱 파괴적인 새로운 랜섬웨어 서비스를 계속 개발하고 있다고 보고 있습니다. 기존의 랜섬웨어는 파일을 암호화하여 데이터 접근성을 저해했지만, 강력한 백업 시스템 덕분에 기업들은 파일 복원을 통해 금전적 요구를 무시할 수 있었습니다. 전문가들은 GandCrab 제작자들이 데이터 기밀성을 노리는 새로운 랜섬웨어 공격을 개발하기 위해 기존 랜섬웨어를 중단한 것으로 추정합니다. CyberHoot은 올해 4월 MAZE라는 더욱 위험한 랜섬웨어 에 대해 보도한 바 있습니다 . MAZE는 기업의 중요 데이터를 유출하고 이를 공개 인터넷에 공개하겠다고 위협합니다. Sophos는 GandCrab 제작자들이 이와 유사한 목적으로 REvil 랜섬웨어를 개발 및 배포했다고 주장합니다. 2020년 6월, GSMLAW는 머라이어 캐리, 르브론 제임스, 니키 미나지, MTV, 유니버설 등 유명 인사와 기업의 개인 정보를 경매에 부치겠다고 위협하는 REvil 랜섬웨어 공격을 경험했습니다.

REvil과 MAZE 랜섬웨어는 기업에 가해지는 랜섬웨어 위협을 크게 증가시켰습니다. 백업만으로는 더 이상 이러한 공격에 대한 완화책이 될 수 없습니다. 기업은 스스로를 보호하기 위한 새로운 접근 방식이 필요합니다. CyberHoot은 기업이 감염 위험을 줄이는 접근 방식을 우선적으로 취해야 한다고 주장합니다.

어떡하지?

대부분의 사이버 보안 위협에 대응하는 가장 좋은 방법은 직원과 고객의 인식을 높이기 위한 교육입니다. 루시 시큐리티(Lucy Security)의 CEO인 콜린 바스터블(Colin Bastable)은 최근 발생한 가민 랜섬웨어 공격 에 대해 다음과 같이 언급했습니다.

"세상의 모든 보안 기술을 동원해도 결연한 공격자로부터 자신을 보호할 수는 없습니다. 손실의 97%는 사회 공학적 공격에서 비롯되고, 90% 이상이 이메일을 통해 시작됩니다."

이러한 통계를 염두에 두면 비즈니스 보안을 위한 첫 번째 단계는 바로 사용자 교육이라는 것이 분명해질 것입니다.

랜섬웨어 공격은 빈도, 정교함, 그리고 그 영향력이 점점 더 커지면서 더 많은 기업이 몸값을 지불해야 하는 상황에 놓이고 있습니다. 기업들이 몸값을 계속 지불하는 한, 해커들은 더욱 파괴적인 공격을 계속할 것입니다. CyberHoot은 기업들이 직원 교육을 통해 랜섬웨어 감염 가능성을 줄일 수 있도록 지원합니다.

CyberHoot 인식 교육 외에도 다음과 같은 추가 조치를 수행하여 비즈니스를 보호하고 이 흔한 공격 벡터의 희생자가 될 가능성을 줄이세요.