윈도우 운영체제(OS)의 디스크 암호화 기능인 '비트로커(BitLocker)'를 악용해 기업 데이터를 암호화한 뒤, 사내 프린터로 몸값 요구서(랜섬노트)를 출력하는 새로운 랜섬웨어 공격 수법이 확인됐다.
6일 카스퍼스키에 따르면 카스퍼스키 시큐리티 서비스 전문가들이 올해 5~6월 콜롬비아와 멕시코 기업을 대상으로 발생한 랜섬웨어 공격을 조사한 결과, 공격자들이 윈도우의 정상 기능인 비트로커를 악용해 데이터를 암호화하고 기업 프린터를 이용해 몸값 요구서를 출력하는 사례를 확인했다고 밝혔다.
공격자들은 인터넷에 노출된 원격 접속 서비스나 잘못 설정된 시스템을 통해 기업 내부망에 침투한 뒤 비트로커를 이용해 주요 데이터를 암호화했다. 이후 기업 프린터를 통해 몸값 요구서를 출력하며 피해 기업에 비용 지불을 압박했다. 피해자는 윈도우 탐색기에서 드라이브 옆 자물쇠 아이콘이 표시되고 파일에 접근할 수 없게 되면서 공격 사실을 인지한 것으로 나타났다.
콜롬비아 사례에서는 공격자가 인터넷에 노출된 원격 접속 서비스를 통해 핵심 데이터가 저장된 8TB 스토리지 서버에 침입했다. 이후 사용자 계정 정보를 변경하고 재무 데이터가 저장된 드라이브를 비트로커로 암호화한 뒤 프린터를 이용해 랜섬노트를 출력했다.
멕시코에서는 자신들을 'XEntry Team''라고 밝힌 공격자들이 공개된 소스 코드에서 유출된 계정 정보를 확보한 뒤, 설정이 미흡한 마이크로소프트 SQL(MS SQL) 서버를 통해 최초 침투한 것으로 조사됐다. 공격자는 이후 웹 서버의 보안 설정을 약화하고 수개월 동안 내부망 접근 권한을 유지했다. 해킹은 직원 PC 화면에 'Hacked by XEntry Team'이라는 문구가 표시된 블루스크린이 나타나고, 기존 계정으로 로그인할 수 없게 되면서 드러났다.
에두아르도 차바로 오발레 카스퍼스키 디지털 포렌식 및 사고 대응 그룹 매니저는 "공격자들은 합법적인 관리 도구를 악용해 데이터를 암호화하고 피해 기업에 몸값 지불을 압박하고 있다"며 "이러한 공격을 방어하기 위해서는 로그를 중앙에서 안전하게 관리하고, 보안 경고를 지속적으로 모니터링하며, 승인되지 않은 접근 징후를 신속하게 조사해야 한다"고 밝혔다.
이효은 카스퍼스키 한국지사장은 "국내 기업들은 높은 디지털 전환 수준과 함께 랜섬웨어 위협에도 지속적으로 노출되고 있다"며 "기업은 사고 이후 대응보다 예방 중심의 보안 전략으로 전환해야 한다"고 말했다. 이어 "시스템 취약점과 설정 오류를 정기적으로 점검하고, 비인가 접근을 지속적으로 모니터링하는 한편, 위협을 조기에 탐지하고 대응할 수 있는 체계를 구축해야 한다"고 덧붙였다.
카스퍼스키는 랜섬웨어 피해를 줄이기 위해 ▲엔드포인트 탐지·대응(EDR)과 확장형 탐지·대응(XDR) 등 통합 보안 플랫폼 구축 ▲관리형 탐지·대응(MDR) 및 사고 대응(IR) 서비스 활용 ▲원격 데스크톱 프로토콜(RDP) 보안 설정 강화 ▲애플리케이션 제어와 명령·제어(C2) 통신 모니터링 등 다계층 보안 체계를 구축할 것을 권고했다.