[2023년 랜섬웨어 공격 트렌트 분석보고서]

https://www.boannews.com/media/view.asp?idx=112514&kind=0
(2022년 12월 14일자 보안뉴스)

-중략-
세 가지 신규 랜섬웨어에 관하여
위의 세 가지 랜섬웨어 중 보훅의 경우 “이미 세 번째 버전이 등장한 상태”라고 전문가들은 보고 있다. 즉 개발자가 진지하게 랜섬웨어 향상과 업그레이드를 진행하고 있다고 볼 수 있다. 전문적인 대행 및 대여 서비스를 염두에 둔 것이라는 의심도 가능하다. 또한 보훅은 README.txt라는 파일에 협박 편지를 남겨둔다. 피해자들에게 고유 ID를 부여한 뒤, 그 ID를 사용해 공격자에게 이메일을 보내라는 내용이다. 이메일을 통해 협상을 진행하는 것으로 보인다.

스케어크로우도 피해자의 파일을 암호화 한다는 점, 그리고 협박 편지를 readme.txt 파일에 적어둔다는 점에서 보훅과 크게 다르지 않다. 하지만 피해자에게 전달하는 협박의 내용 자체는 조금 다르다. ‘이메일을 달라’는 대신 세 개의 텔레그램을 소개하며, 여기를 통해 공격자와 이야기를 진행하라고 안내하고 있기 때문이다. 금액은 명시되지 않고 있지만, 텔레그램을 통해 이야기를 이어가면서 자연스럽게 금액을 제시할 것이라고 포티넷은 보고 있다.

흥미로운 건 스케어크로우에서 콘티(Conti)의 흔적이 엿보인다는 점이다. 콘티는 현재까지 등장했던 랜섬웨어 중 가장 악명이 높으며, 사이버 범죄자들에 의해 가장 많이 사용되어 온 랜섬웨어 중 하나다. 콘티와 스케어크로우는 같은 암호화 알고리즘을 차용하고 있으며, 둘 다 WMI 명령 행 유틸리티를 사용해 셰도우 복사본들을 삭제한다. 스케어크로우는 현재까지 미국, 독일, 이탈리아, 인도, 필리핀, 러시아에서 주로 피해자들을 양산하는 중이다.

마지막으로 에이서트의 경우 앞서 언급된 두 가지 신규 랜섬웨어들과 비교했을 때 크게 다르지 않다. 다만 협박 편지를 팝업 창 형태로 띄운다는 게 다르다. 여기에는 공격자의 이메일 주소가 적혀 있고, 피해자가 돈을 냈을 경우 복호화 키가 나타날 칸도 마련되어 있다. 

암호화폐의 몰락, 랜섬웨어 공격자들에게 영향을 줄까?
랜섬웨어는 전체적으로 꾸준히 증가 중에 있다. 그리고 당분간 그 추세는 변하지 않을 전망이다. 보안 업체 루킹글래스(LookingGlass)가 분석한 바에 따르면 2022년 전반기에만 랜섬웨어에 실제적으로 당한 사례가 1133건이라고 한다. 이 중 절반 이상인 52%가 미국 기업들에서 발생했다. 당시 가장 활발했던 랜섬웨어는 록빗(LockBit), 콘티(Conti), 블랙바스타(Black Basta), 알프브이(Alphv)였다.