랜섬웨어 공격 새 유형 등장...디스크 암호화 '비트로커' 악용

카스퍼스키, 멕시코와 콜롬비아서 발견...이효은 지사장 "예방중심 전환해야"

글로벌 사이버보안 기업 카스퍼스키(한국지사장 이효은)는 지난 5월부터 6월까지 콜롬비아와 멕시코 기업을 대상으로 발생한 일련의 랜섬웨어 공격을 조사한 결과, 공격자들이 윈도우 OS의 정상적인 윈도우 디스크 암호화 기능인 '비트로커(BitLocker)'를 이용해 데이터를 암호화하고 기업 프린터를 악용해 몸값 요구서를 출력하는 새로운 공격 수법을 확인했다고 6일 밝혔다.

이번 조사는 카스퍼스키 시큐리티 서비스(Kaspersky Security Services) 전문가들이 했다. 이번 공격에서는 시스템 설정 오류를 악용한 침투, '비트로커'를 이용한 디스크 암호화, 그리고 기업 프린터를 통한 몸값 요구서 전달이 공통적으로 확인됐다.

공격자는 대상 기업의 인프라가 침해됐으며 데이터 접근 권한을 복구하려면 몸값을 지불해야 한다고 통보했다. 피해 사용자는 윈도우 탐색기에서 드라이브 옆에 자물쇠 아이콘이 표시되고, 비트로커에 의해 시스템이 암호화되면서 파일에 접근할 수 없게 된 사실을 가장 먼저 인지했다.

카스퍼스키가 조사한 사례 가운데 하나는 콜롬비아에서 발생했다. 공격자는 인터넷에 노출된 원격 접속 서비스를 통해 침입했으며, 이 서비스는 기업의 핵심 데이터를 저장한 8TB 스토리지 장치와 연결된 서버에 구성돼 있었다. 공격자는 시스템에 대한 제어권을 확보한 뒤 사용자 계정 정보를 변경하고, 주로 재무 데이터를 저장하고 있던 드라이브를 비트로커로 암호화했다. 이후 데이터를 사용할 수 없도록 만든 뒤, 해당 기업의 프린터를 이용해 몸값 요구서를 출력해 배포했다.

이효은 카스퍼스키 한국지사장(사진=지디넷코리아 DB).

멕시코에서 발생한 또 다른 사고에서는 자신들을 'XEntry Team'이라고 밝힌 공격자들이 공개된 소스 코드에 노출된 로그인 계정 정보를 확보한 뒤, 잘못 설정된 마이크로소프트 SQL 서버를 통해 최초 침투한 것으로 확인됐다. 이후 공격자는 데이터베이스를 넘어 웹 서버의 보안 설정을 약화시키고 수개월 동안 기업 인프라 내부에서 지속적인 접근 권한을 유지했다. 이러한 침해는 직원들의 PC 화면에 'Hacked by XEntry Team'이라는 문구가 표시된 블루스크린이 나타나고, 기존 계정으로 시스템에 로그인할 수 없게 되면서 드러났다.

카스퍼스키 에두아르도 차바로 오발레 디지털 포렌식 및 사고 대응 그룹 매니저는 "이번 사례는 최근 랜섬웨어 공격이 반드시 정교한 악성코드에만 의존하지 않는다는 점을 보여준다"면서 "공격자들은 인터넷에 노출된 서비스, 잘못된 시스템 설정, 그리고 기업 환경에 이미 존재하는 합법적인 관리 도구를 악용해 데이터를 암호화하고 피해 기업에 몸값 지불을 압박하고 있다"고 밝혔다. 이어 일부 사례에서는 프린터로 몸값 요구서를 출력하는 방식까지 활용해 피해자에게 심리적 압박을 가하고 요구의 긴급성을 더욱 부각시켰다면서 "이러한 공격을 방어하기 위해서는 로그를 중앙에서 안전하게 관리하고, 보안 경고를 지속적으로 모니터링하며, 승인되지 않은 접근 징후를 신속하게 조사해야 한다"고 말했다.

카스퍼스키 이효은 한국지사장은 "국내 기업들은 높은 디지털 전환 수준과 함께 랜섬웨어 위협에도 지속적으로 노출되고 있다"면서 "최근 공격자들은 기존 기업 시스템과 설정상의 취약점을 악용하는 데 그치지 않고, 심리적 압박 기법까지 결합해 공격의 성공 가능성을 높이고 있다"고 짚었다. 

이어 기업은 사고 이후 대응보다 예방 중심의 보안 전략으로 전환해야 한다면서 "시스템 취약점과 설정 오류를 정기적으로 점검하고, 비인가 접근을 지속적으로 모니터링하는 한편, 위협을 조기에 탐지하고 대응할 수 있는 체계를 구축해야 한다. 이러한 선제적 대응이 점차 고도화되는 랜섬웨어 공격으로부터 기업의 운영 연속성과 핵심 자산을 보호하는 핵심 경쟁력이 될 것이다"라고 밝혔다.