랜섬웨어란?

일부 캠페인은 공격자가 실행하는 고도로 표적화된 지능형 지속적 위협(APT)인 반면, 일부 캠페인은 대개 스크립트를 통해 실행되며 기회를 노립니다. 하지만 크게 두 가지로 나눌 수 있습니다. 파일을 암호화하여 랜섬 지불을 위해 볼모로 잡고 있는 공격을 크립토 랜섬웨어라고 하고, 사용자가 디바이스에 접속하지 못하도록 하는 랜섬웨어는 락커 랜섬웨어라고 합니다.

새로운 종류의 랜섬웨어, 악성 코드, 악성 소프트웨어, 악성 첨부 파일, 스케어웨어 및 기타 새로운 랜섬웨어 변종이 실제로 자주 나타납니다. 유료 RaaS(Ransomware-as-a-Service) 사례도 있습니다. 예를 들어 러시아를 중심으로 활동하거나 러시아어를 쓰는 전용 RaaS인 Rrevil(Ransomware Evil, Sodinokibi라고도 함)이 있습니다.

2~3년 전에는 대부분의 랜섬웨어 공격이 초기 침투 기법으로 악성 광고를 로딩할 수 있는 무작위 다수를 대상으로 한 광고 기법을 사용했습니다. 표적은 대기업의 회계부서에 근무하는 김모씨일 수도 있고 이메일을 읽으려는 평범한 할머니일 수도 있습니다. 랜섬웨어는 실제로 누가 표적인지를 구별하지 못했습니다. 모든 사람을 표적으로 삼았으며 피해자가 돈을 지불하면 좋고, 아니어도 그만이었습니다. 피해자가 될 수 있는 표적이 넘쳐나기 때문입니다.

그러나 2012년 이란에서 Saudi Aramco를 대상으로 한 사이버 공격에 Shamoon이 사용되기 시작하면서 모든 것이 바뀌었습니다. 공격자는 Shamoon으로 Aramco에서 대량의 정보를 추출할 수 있었고 추출이 끝난 후에는 Shamoon을 사용해서 공격받은 시스템의 마스터 부팅 레코드를 덮어씀으로써 다시 설치하기 전에는 사용할 수 없게 만들었습니다. 이러한 기능 손실 때문에 이 회사에서 장시간의 다운타임이 발생했습니다.

Locky는 2016년에 등장한 랜섬웨어 멀웨어입니다. 이 랜섬웨어는 청구서 결제 요청 등을 가장한, 악성 매크로를 포함한 Microsoft Word 문서가 첨부된 이메일로 전송됩니다. 사용자가 문서를 열면 알 수 없는 글자가 나타나고 여기에 'Enable macro if data encoding is incorrect'라는 문구가 표시되는 소셜 엔지니어링 기법입니다.

Petya는 2016년에 처음 세상에 모습을 드러낸 암호화 멀웨어의 일종입니다. 이 멀웨어는 Microsoft Windows 기반 시스템의 마스터 부팅 레코드를 감염시켜, 하드 드라이브 파일 시스템 테이블을 암호화하는 페이로드를 실행하고 Windows가 부팅하지 못하도록 합니다. 이후 시스템 접속 권한을 다시 얻으려는 사용자에게 비트코인으로 돈을 지불할 것을 요구합니다.

2017년으로 건너뛰어 보겠습니다. WannaCry와 NotPetya라는 두 가지 파괴적인 랜섬웨어 공격이 대기업과 정부 기관에 큰 피해를 입혔습니다. 이 두 공격은 인터넷이 얼마나 취약한지를 보여줬을 뿐만 아니라 제로데이 취약점을 이용하여 악의적으로 네트워크의 컴퓨터 간에 측면 이동하면서 마주한 모든 컴퓨터를 감염시키고 완전히 쓸모없게 만들었다는 점이 특징입니다. NotPetya와 WannaCry에 대해 많은 이야기가 오고 갔지만, 이제는 이 공격의 배후에 국가 단위의 사이버 공격자들이 관련되었던 것으로 밝혀졌습니다.

이후 크라임웨어 그룹들이 이러한 랜섬웨어 공격을 사용하기 시작했습니다. 이때까지는 주로 Zeus와 여기에서 파생된 변종 멀웨어를 사용하여 사람들의 은행 계좌를 해킹하고 돈을 빼돌리는 데 집중했습니다. 이는 시간이 오래 걸리고 복잡하며 위험한 작업이었습니다. 특히 실제로 돈을 받을 때 더욱 그랬습니다. 지금까지는 대기업만 표적으로 삼고 비트코인으로 많은 돈을 보내도록 협박하는 것이 더 쉬울 것이라는 인식이 우세했습니다. 따라서 랜섬웨어는 CISO가 걱정해야 하는 기업의 위협 요소이지, 무고한 민간인이 걱정해야 할 문제는 아니었습니다.

Ryuk는 2018년 8월에 실제로 처음 발견된 랜섬웨어 제품군의 이름입니다. 이 제품은 인기 있는 일본 만화책 및 만화 시리즈에 등장하는 가상 캐릭터의 이름을 딴 것이며, 현재 전 세계의 시스템을 괴롭히는 가장 심각한 랜섬웨어 중 하나로 알려져 있습니다.

이제 2020년으로 넘어가 보겠습니다. COVID-19 팬데믹이 전 세계적으로 확산되고 대부분의 사람들이 재택근무를 하게 됨으로써 위협 모델, 리스크 요소 및 네트워크 아키텍처가 매우 짧은 시간에 완전히 바뀌었습니다. 그리고 랜섬웨어 공격자들도 방식을 바꾸기 시작했습니다. 이제 이들은 이중 갈취 공격을 통해 대기업을 표적으로 삼고 있습니다. 공격자가 기업에 침투할 뿐 아니라 파일을 암호화하고 이를 인질로 잡는 것입니다. 또한 중요하고 가치 있는 데이터를 탈취하여, 랜섬을 지불하지 않을 경우 데이터를 공개한다고 협박하기도 합니다.

랜섬웨어를 막기 위해 세그멘테이션을 장려하는 행정 명령
2021년 미국 백악관에서는 랜섬웨어 공격의 확장세에 대해 논의하면서 패치, 2FA, 업데이트된 보안 제품과 같은 보다 전통적인 예방 조치 및 권장 사항은 물론이고 종종 간과되고 있는 네트워크 세그멘테이션도 중요하다는 것을 강조했습니다.

네트워크 세그멘테이션은 경우에 따라 리스크를 차단하는 것은 물론, 적절히 구현된 경우에는 랜섬웨어 공격의 '공격 반경'을 억제하고 최소화함으로써 이중 갈취 공격의 리스크를 크게 줄이는 데 도움이 됩니다. 안티바이러스 소프트웨어 및 EDR이(링크  랜섬웨어의 실행을 방지하지 못하더라도 적절한 세그멘테이션은 그 피해를 억제하며 공격자가 네트워크를 측면 이동하면서 민감한 데이터를 훔치고 더 많은 시스템을 암호화하는 것을 막습니다.

Akamai의 고유한 소프트웨어 접근 방식을 통해 네트워크를 분할하면 서버, 애플리케이션, 다양한 운영 체제, 클라우드 인스턴스 사이에 '네트워크 사일로'를 만들 수 있습니다. 적절한 세그멘테이션 정책을 사용하여 랜섬웨어 리스크를 낮추는 방법의 장점은 간단하다는 것입니다. 비트가 유선(또는 Vswitch)을 통해 다른 시스템(또는 VM/컨테이너)으로 이동하거나 차단될 수 있습니다. 따라서 공격자가 네트워크에서 더 많은 리소스에 도달하려고 시도가 무용지물이 됩니다. 덕분에 방어자는 공격에 대응하고 기업 내 주요 이해관계자들에게 소식을 전할 수 있는 시간적 여유가 생기고, 주요 이해관계자들은 해당 공격의 피해에 대해 더 정확한 판단을 내릴 수 있습니다.

네트워크 세그멘테이션은 안티바이러스, 안티멀웨어 또는 EDR 플랫폼에 대한 대안이 아니며, 기업 전체에서 대규모 측면 이동 기반 공격의 리스크를 완전히 제거하거나 크게 낮추는 것으로 입증된 보완적 접근 방식입니다.

자세한 내용은 블로그 게시물을 확인하세요. 'EDR과 세그멘테이션의 차이점 이해하기'

하지만 네크워크 세그멘테이션이라는 솔루션이 있으면 이를 구현하는 것은 생각보다 훨씬 간단합니다. 세그멘테이션은 구현하기 어렵고 네트워크 엔지니어링 및 자산 관리에 세심한 주의가 필요하다고 여겨지기 때문에 종종 잊히거나 아예 무시되기도 합니다. 이 때문에 네트워크 세그멘테이션을 아예 포기하고 네트워크를 '플랫' 상태, 즉 모든 엔드포인트 또는 서버가 제한 없이 서로 통신할 수 있는 상태로 두는 경우가 많습니다.

최근까지, 네트워크 세그멘테이션은 방화벽을 가운데 두고 서로 다른 서브넷에 각기 다른 자산을 배치하는 것을 의미했습니다. 이 때문에 세분화가 허용되지 않았고, 네트워크 관리가 상당히 어려웠으며, 관리자는 여러 서브넷에서 IP 주소 할당을 관리하는 동시에 복잡한 방화벽 구성까지 관리해야 했습니다. 이로 인해 IT 직원이 네트워크를 설계하고 확장하기가 훨씬 더 어려웠으며, 잘못 구성하면 보안 리스크나 네트워크 장애가(경우에 따라서는 둘 다!) 발생할 수 있었습니다. 따라서 IT 직원은 세그멘테이션에 중점을 두지 않고 실행 방지 제품에 더 의존할 수밖에 없었고, 이로 인해 네트워크는 전혀 분할되지 않은 완전한 플랫 상태로 남아 있게 되었습니다.