락빗·콘티 RaaS 공격 탐지 500% '급증'…"통제할 수 없는 수준“

[아이뉴스24 김혜경 기자] 올해 상반기 리눅스 서버와 임베디드 시스템을 겨냥한 랜섬웨어 공격은 전년 동기 대비 두 자릿수 증가했다. '락빗(LockBit)'과 '콘티(Conti)' 등 서비스형 랜섬웨어(RaaS)가 기승을 부린 가운데 내년까지 전 세계 랜섬웨어 피해액은 40조원을 넘을 것으로 전망된다.

12일 트렌드마이크로 등에 따르면 올해 상반기 락빗과 콘티를 포함한 RaaS 공격 탐지는 전년 대비 500% 증가한 것으로 나타났다. 6개월 만에 탐지 횟수가 거의 두 배를 돌파한 셈이다.

락빗과 콘티에 이어 '블랙 바스타(Black Basta)'라는 신종 랜섬웨어가 존재감을 드러내고 있다. 해당 랜섬웨어는 2개월 만에 50개 기업을 공격한 것으로 나타났다. 상반기 차단된 보안 위협은 전년 동기 대비 52% 늘어난 630억개로 집계됐다.

랜섬웨어의 주요 공격 벡터 중 하나는 취약점 악용이다. 트렌드마이크로는 올해 상반기 944개의 취약점 권고를 발표한 바 있다. 이는 전년 대비 23% 증가했으며, 중요 버그 관련 권고 수는 지난해 같은 기간과 비교했을 때 400% 급증했다.

또 지능형 지속 위협(APT) 조직은 다양한 멀웨어(악성 소프트웨어) 도구를 결합해 공격 기법을 고도화하는 추세다. 현재 패치·업데이트 속도보다 공격자가 결함을 무기화하는 속도가 빠른 상황이다.

존 클레이(Jon Clay) 트렌드마이크로 위협정보 부문 부사장은 "글로벌 조직의 43%는 현재 공격 접점이 통제할 수 없는 상태까지 도달했다고 답한 바 있다"며 "조직은 확장되는 디지털 공격 접점을 이해하고 보호하기 위해 단일 통합 사이버보안 플랫폼을 우선 고려해야 한다"고 말했다.

팔로알토네트웍스가 최근 발표한 '유닛42 인시던트 대응 보고서'에 따르면 랜섬웨어 몸값이 가장 높은 업종은 금융과 부동산으로, 평균 몸값은 각각 800만달러(약 110억원), 520만달러(약 72억원)로 나타났다. 또 새로운 피해자가 4시간마다 유출 사이트에 게시되고 있으며, 몸값 요구 금액은 3천만달러(약 414억원), 실제 지불 금액은 8백만달러(약 111억원)에 이른 것으로 집계됐다.

침해사고 조사 결과 가장 영향을 많이 받은 업종은 ▲금융 ▲전문·법률 서비스 ▲제조 ▲의료 ▲첨단 기술 순으로 나타났다. 이 같은 산업군은 대량의 수익 창출이 가능한 민감 정보를 저장·전송·처리한다는 공통점이 있다고 팔로알토는 설명했다.

공격자들이 가장 많이 사용한 3가지의 초기 액세스 벡터는 ▲원격 데스크톱 프로토콜(RDP)에 초점을 맞춘 피싱 ▲알려진 소프트웨어 취약점 악용 ▲무차별적인 자격 증명 공격이다. 초기 접속을 위해 악용된 취약점은 ▲프록시셸(ProxyShell) 55% ▲로그포제이(Log4J) 14% ▲소닉월(SonicWall) 7% ▲프록시로그온(ProxyLogon) 5% 등의 순으로 조사됐다.

사고 대응 사례 중 13%는 무차별 자격 증명 공격에 대한 계정 잠금 조치를 마련하지 않았던 것으로 나타났다. 28%는 미흡한 패치 관리 절차가 침해 발생으로 이어졌고, 44%는 조직에서 엔드포인트 탐지 대응(EDR) 등의 보안 솔루션을 갖추지 않은 것으로 조사됐다.

이희만 팔로알토네트웍스 코리아 대표는 "기술력이 뛰어나지 않은 초보 공격자까지도 서비스형 해킹 툴을 사용해 공격에 뛰어들고 있다"며 "공격자들은 고객 서비스와 만족도 조사까지 실시하면서 조직화되고 있는 추세"라고 전했다.

아크로니스에 따르면 전 세계 랜섬웨어 피해액은 2023년까지 300억 달러(약 41조원)를 초과할 것으로 전망된다.

아울러 최근 공격자들은 암호화폐와 탈중앙화 금융(DeFi) 플랫폼을 겨냥한 공격에 집중하고 있다. 이들은 스마트 계약(smart contracts)의 결함을 악용하거나 멀웨어·피싱으로 복구 문구, 비밀번호를 탈취해 암호화폐 지갑과 거래소에 침투했다. 아크로니스 조사 결과 지난 2012년 이후 600억달러(약 83조원) 이상의 손실이 발생했다.