러시아계 '정보협박범' 돌아왔다…기업 랜섬웨어 '주의보'

카스퍼스키, '올드그렘린' 활동 재개 탐지…제조·리테일 기업 공격 대상

피해자에게 최대 1700만달러에 달하는 몸값을 요구하는 등 악질 '정보 협박범'이 활동을 재개한 것으로 나타났다.

8일 글로벌 사이버 보안 기업 카스퍼스키(지사장 이효은)에 따르면 카스퍼스키 위협 리서치팀은 올해 초 러시아어권 랜섬웨어(Ransomware) 그룹 '올드그렘린(OldGremlin)'의 새로운 공격을 식별해 주의가 필요하다고 강조했다.

카스퍼스키 로고.

올드그렘린은 과거 2020년에서 2022년까지 주로 활동한 랜섬웨어 그룹으로, 마지막으로 식별된 공격은 2024년이다. 단일 피해자에게 1700만달러에 육박하는 거액의 몸값을 요구하기도 하는 랜섬웨어 그룹으로 알려졌다.

카스퍼스키 위협 리서치팀은 이번에 식별한 공격 행위도 과거 전술과 일치한다고 밝혔다. 몸값 요구 문서와 파일 경로에 처음으로 공격자가 '올드그렘린'이라고 명시하기도 했다.

구체적으로 올해 사건을 올드그렘린과 연결지을 수 있는 단서로, 일관된 전술과 이전 캠페인에서 재사용된 암호화 공개키(Cryptographic Public Key)를 확인했다고 카스퍼스키는 설명했다.

올해 표적이 된 분야로는 제조, 기술, 리테일, 헬스케어 등 조직으로 올드그렘린은 과거 평균 약 49일 동안 내부에 잠복한 뒤 파일을 암호화하는 전략을 사용한 것으로 알려졌다. 또한 카스퍼스키는 올드그렘린의 명령 및 제어(C2) 서버가 퍼블릭 인터넷에서 접근 가능한 점도 확인했다.

최근에 확인된 올드그렘린의 공격 툴킷은 크게 ▲원격 접근 백도어 ▲패처(Patcher) ▲마스터 ▲클로즈더도어(Closethedoor) 등 네 가지 주요 구성 요소로 이뤄져 있다.

원격접근 백도어는 공격자가 감염된 컴퓨터를 원격으로 제어할 수 있는 툴킷이다. 패처는 합법적인 윈도우 드라이버의 취약점을 약용해 서명되지 않은 드라이버 차단 기능을 끄고, 그룹의 악성 드라이버를 로드해 보안 툴을 무력화하는 툴킷이다.

마스터는 파일 암호화 프로그램으로, 독립 시행 파일 또는 노드.js 애드온애드온(Node.js add-ons) 형태로 작동해 로컬 호스트(localhost:8010)에서 질의 시 현재 암호화 진행 상태를 보고하는 툴킷이다.

클로즈더도어는 데이터 암호화 과정 중 네트워크에서 디바이스를 격리하고, 몸값 요구 문서 등을 배포하고 흔적을 삭제하는 것을 말한다.

이처럼 올드그렘린은 합법적 툴과 악성 드라이버를 혼합해 공격을 고도화하고 있는 추세다. 이효은 카스퍼스키 한국지사장은 "한국의 빠른 기술 산업 발전은 사이버 공격의 주요 표적이 되고 있기 때문에 기업들은 역동적인 방어 체계를 반드시 구축해야 한다"며 "카스퍼스키 제품군은 이런 목적을 위해 설계된 확장 가능한 솔루션으로, 복잡한 사이버 환경에서 선제적 방어와 신속한 대응을 가능하게 지원한다"고 밝혔다.

한편 카스퍼스키는 기업이 랜섬웨어로부터 보호하기 위한 권장 사항으로 ▲소프트웨어 최신 상태 항시 유지 ▲외부로 나가는 트래픽에 주의를 기울여 사이버 범죄자의 네트워크 연결 탐지 ▲침입자가 조작할 수 없은 오프라인 백업 설정 ▲최신 인텔리전스 정보를 활용해 위협 행위자들이 실제로 사용하는 전술 및 기법을 사전에 파악하는 것 등을 꼽았다.