사이버보안 및 인프라 보안국(CISA), FBI, 그리고 정부 파트너들이 Gunra 랜섬웨어 공격자가 피해 네트워크에 침입하는 방법에 대한 추가 기술 세부 정보를 공개했다. 최신 공동 권고문에 따르면, Gunra 계열 공격자들은 인터넷에 노출된 장치에서 발견되는 이미 알려진 두 가지 취약점을 통해 최초 침투 지점을 확보하고 있다. 여기에는 거의 모든 조직 네트워크 경계에 위치하는 에지 하드웨어, VPN 게이트웨이, 방화벽, 원격 접속 어플라이언스 유형이 포함된다.
이는 서비스형 랜섬웨어(RaaS) 운영에 대한 기존 경고의 후속 조치로, 기관들은 앞서 해당 조직이 의료 부문을 표적으로 삼는 행위와 데이터 탈취와 파일 암호화를 결합한 공격적인 이중 협박 수법을 실행하고 있다고 지적한 바 있다. 새 지침은 침입 자체의 메커니즘에 초점을 맞춰, 방어자가 정확히 어디에 주의를 집중해야 하는지 더 명확한 그림을 제공한다.
Gunra 공격자들이 악용 중인 취약점
권고문에 따르면, Gunra 공격자들은 새로운 제로데이 익스플로잇에 의존하지 않는다. 대신 인터넷에 노출된 장치, 즉 조직이 원격 근무, 사이트 간 연결, 외부 서비스 제공을 위해 공용 인터넷에 노출하는 소프트웨어와 어플라이언스에서 이미 알려진 두 가지 취약점을 악용하고 있다. 이러한 패턴은 대부분의 서비스형 랜섬웨어 계열 공격자들이 운영하는 방식과 일치한다. 이들은 값비싼 익스플로잇 개발에 투자하기보다, 패치되지 않은 시스템을 인터넷에서 스캔하고 원래 닫혔어야 할 문을 통해 들어간다. 방어자에게 주는 교훈은 명확하다. 공개 익스플로잇 코드를 공격자가 무기화하는 속도보다 실제 조직의 패치 주기가 더딘 경우가 많기 때문에, 이미 알려진 취약점은 공개된 후에도 오랫동안 위험하게 남는다.
내부 침투 후 Gunra가 거점을 확보하는 방법
Gunra 계열 공격자가 이러한 진입점 중 하나를 악용하면, 해당 접근 권한을 사용해 네트워크 더 깊숙이 이동한다. VPN 컨센트레이터나 방화벽 같은 인터넷 노출 장치는, 이를 장악하면 내부 시스템이 합법적인 것으로 간주하는 수준의 신뢰를 확보하는 경우가 많다는 점에서 특히 매력적인 표적이다. 그 이후 공격자는 지속성을 구축하고, 자격 증명을 수집하고, Gunra의 이중 협박 모델을 정의하는 데이터 탈취 및 암호화 단계에 대비해 네트워크를 매핑하기 시작할 수 있다. 최초 침해가 네트워크 에지에서 발생하기 때문에, 경계 장치를 '설정 후 방치'식 인프라로 취급하는 조직은 특히 더 위험에 노출된다. 이러한 장치는 대개 한 번 배포되고, 보안보다는 가동 시간에 맞춰 구성되며, 펌웨어나 패치 검토 없이 수년간 실행되는 경우가 많다.
격차를 좁히기 위한 패치 및 구성 단계
권고문의 핵심 권고는 Gunra만이 아니라 랜섬웨어 캠페인 전반에 폭넓게 적용되는 사항이다. 인터넷에 노출된 장치를 즉시 패치하고, 일반 업데이트보다 알려진 활발한 악용 취약점을 우선시하라. IT 및 보안 팀은 VPN 게이트웨이, 방화벽, 원격 접속 도구를 포함해 인터넷에 노출된 모든 장치의 최신 인벤토리를 유지하고, 각 장치가 지원되는 최신 버전을 실행 중인지 확인해야 한다. 즉시 패치할 수 없는 경우, 조직은 수정 사항이 적용될 때까지 해당 서비스를 오프라인으로 전환하거나 접근을 제한하는 것을 고려해야 한다. 모든 원격 접속 지점에 다중 인증(MFA)을 적용하고 비정상적인 로그인 활동에 대한 로깅 및 알림을 함께 구성하면, 장치에 패치되지 않은 결함이 있더라도 또 다른 저항 계층을 추가할 수 있다.
VPN 접근 제어와 네트워크 분할이 랜섬웨어 확산을 제한하는 이유
패치를 철저히 관리하더라도 어떤 조직도 항상 제로 노출을 보장할 수는 없다. 그래서 최초 수정 조치만큼이나 접근 제어와 분할이 중요하다. VPN 접근 범위는 엄격하게 설정해 사용자에게 전체 환경에 대한 광범위한 접근 권한이 아니라 실제로 필요한 네트워크 세그먼트에 대한 권한만 부여해야 한다. 손상된 에지 장치가 민감한 시스템, 백업 서버, 도메인 컨트롤러에 직접 도달할 수 없도록 네트워크를 분할하면, 단일 침해 사고로 끝날지 전체 규모의 랜섬웨어 사건으로 번질지가 갈릴 수 있다. 이러한 제어는 모든 침입을 막지는 못하지만, 공격자의 속도를 늦추고 암호화와 데이터 유출이 발생하기 전에 방어자가 탐지하고 대응할 시간을 벌어준다.
이것이 여러분에게 의미하는 바
IT 관리자와 보안 팀에게 이번 권고문은 Gunra와 같은 랜섬웨어 그룹이 정교한 신종 공격이 아니라 패치되지 않은 시스템과 지나치게 허용적인 네트워크 접근이라는 기본적인 요소를 계속 악용해 성공하고 있음을 상기시켜 준다. 효과적인 Gunra 랜섬웨어 보호는 조직이 인터넷에 노출하는 모든 장치에 대한 솔직한 감사에서 시작된다. 의료 부문이나 이전 Gunra 권고문에서 지명된 다른 부문에서 운영된다면, 이 그룹이 이미 해당 환경을 구체적으로 표적으로 삼겠다는 의지를 보여줬기 때문에 시급성은 더욱 높다.
실행 가능한 핵심 조치
조직은 VPN 게이트웨이와 방화벽을 포함한 모든 인터넷 노출 장치의 인벤토리를 작성하고, 알려진 취약점에 대한 패치 상태를 확인해야 한다. 다중 인증(MFA)과 최소 권한 VPN 권한으로 원격 접근을 제한하라. 단일 손상 장치가 백업이나 중요 시스템을 노출할 수 없도록 네트워크를 분할하라. Gunra의 의료 부문 표적 공격 및 이중 협박 전술에 관한 기존 CISA, FBI, NSA 권고문을 검토해 완전한 방어 계획을 수립하는 데 필요한 전체 기술 지표와 부문별 지침을 확인하라.
