이스트시큐리티(대표 정상원)는 3분기 ‘알약’을 통해 총 33만2236건의 랜섬웨어 공격이 차단됐다고 11일 밝혔다. 이번 통계는 공개용 알약의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격수를 기준으로 집계한 것이다.
3분기 알약을 통해 차단된 랜섬웨어 공격이 총 33만2236건에 달했으며, 이를 월간, 일간 기준으로 환산 시 월평균 11만745건, 일평균 3692건의 랜섬웨어 공격이 발생한 것으로 확인됐다.
이번 통계는 일반 사용자를 대상으로 하는 공개용 알약에서 랜섬웨어 행위기반 차단 기능을 통해 차단된 공격 횟수만 집계했기 때문에, 패턴 기반 공격까지 포함하면 전체 공격의 수는 더욱 많을 것으로 예상된다.
이스트시큐리티 시큐리티대응센터(ESRC)는 “3분기 랜섬웨어 차단 횟수는 지난 2분기 대비 약 20% 감소한 것으로 나타났고, 특히 9월에는 10만여 건의 공격 차단이 발생해 2018년 2월 다음으로 랜섬웨어 유포가 적었던 것으로 확인됐다”며 “3분기 랜섬웨어 유포 감소 추세는 전반적인 공격 위협이 감소했다기보다는 7, 8월 여름휴가 시즌과 9월 추석 연휴 등의 영향으로 사용자의 PC 사용률이 줄어든 것과 관계가 있는 것으로 추측된다”고 설명했다.
실제로 라크니(Rakhni) 악성코드에서 처음 발견된 사용자 시스템 환경 확인 후 조건에 따라 가상화폐 채굴 또는 파일 암호화 공격을 선택하는 기능도 갠드크랩 4.3 버전부터 적용된 것으로 확인되는 등 2018년 한 해 동안 가장 많이 유포되었던 갠드크랩(GandCrab) 랜섬웨어는 지속적으로 버전을 업그레이드하며 여전히 강력한 보안 위협으로 주목받고 있다.
이 밖에 3분기 유포된 주요 랜섬웨어는 다음과 같다.
◆갠드크랩(GandCrab)= 2018년 1월부터 9월까지 가장 많이 유포된 랜섬웨어로, 계속적으로 버전을 업그레이드하면서 현재 5.0.4버전까지 발견됐다. 5점대 버전은 멀버타이징 공격을 통해 유포되고 있고, 4점대 버전에서의 암호화파일 확장명이 .KRAB이 아닌 5자리의 랜덤한 확장명을 사용하며, HTML형식의 맞춤법이 부실한 한국어 랜섬노트를 생성했다.
◆Ryuk= 헤르메스(Hermes) 랜섬웨어 변종으로 추정되는 여러가지 연관성이 확인됐고, 불특정다수보다는 랜섬머니를 지불할 여력이 있는 일정규모 이상의 기업을 주로 노린 랜섬웨어다.
◆키패스(KEYPASS)= 2018년 8월 발견된 후 꾸준히 유포가 확인되고 있다. STOP 랜섬웨어 변종으로 추정되며, 정상 프로그램으로 가장해 유포가 이뤄짐. 감염되면 .keypass 확장자를 추가한다.
◆크라켄크립토(KrakenCryptor)= 갠드크랩 랜섬웨어 유포에도 활용된 폴아웃 익스플로잇킷(Fallout EK)으로 유포된 랜섬웨어다. 사용자가 감염된 사이트에 방문할 경우 게이트웨이를 통해 폴아웃 EK가 호스팅된 페이지로 사용자를 리다이렉션한다. 랜섬노트에 텍스트로 제작한 크라켄(Kraken) 이미지가 상단에 노출된다.
◆아반테(Abantes)= 사용자 PC 감염 후 시스템을 로그오프하는 것뿐만 아니라 입력장치를 제어하고 시스템의 정상부팅을 불가하도록 만든다.
◆프린세스 로커(Princess Locker) 변종= 프린세스 로커와 동일한 랜섬노트를 사용한다. 토르 랜섬머니 결제페이지의 이름도 프린세스 이볼루션이다. 여러 협력사를 통해 배포되고 있는 서비스형 랜섬웨어(RaaS)로, 리그 익스플로잇을 통해 유포된다.
◆FBI 락커, 스크린락커(screenlocker)= FBI를 사칭하는 신종 악성코드다. 감염되면 랜섬웨어에 의해 파일이 암호화된 것처럼 보여주고 사용자를 속이지만 실제로 파일은 암호화되지 않으며, 감염된 컴퓨터의 화면을 잠그기만 한다.
김준섭 이스트시큐리티 부사장은 “3분기 연속 증가하던 랜섬웨어 공격의 증가 추세는 멈췄지만 아직 특별히 공격이 감소했을 만한 요인을 추정하긴 어렵고, 휴가 시즌과 명절 연휴가 기간 내 포함돼 PC 사용률 감소로 인한 일시적인 공격 감소 추세가 나타났을 가능성이 크다”며 “랜섬웨어 감염 피해 예방을 위해서는 사용 중인 운영체제(OS)와 SW, 백신 최신 업데이트는 물론, 중요한 자료의 수시 백업, 알 수 없는 출처의 이메일 첨부파일 등을 열람하지 않는 보안 수칙 준수 노력이 필요하다”고 당부했다.
한편 이스트시큐리티는 랜섬웨어 감염으로 인한 국내 사용자 피해를 미연에 방지하기 위해, 한국인터넷진흥원(KISA)과의 긴밀한 협력을 통해 랜섬웨어 정보 수집과 대응을 진행하고 있다.
