랜섬웨어 운영자들은 보안 연구원과 사법 기관이 인프라를 해체하기 시작한 후에도 인프라를 유지할 방법을 항상 찾아왔다. 최근 사례는 DeadLock이라는 그룹에서 나왔는데, 이들은 Polygon 블록체인의 활용 범위를 확장하고 개인정보 보호 중심 메시징 앱인 Session을 갈취 도구 모음에 추가했다. 랜섬웨어 블록체인 암호화 통신 도구의 결합으로 방어자들이 그룹의 작전을 교란하기가 훨씬 더 어려워졌으며, 이는 사이버 범죄자들이 합법적인 개인정보 보호 기술을 불법적인 목적으로 차용하는 광범위한 변화를 예고한다.

DeadLock이 Polygon 스마트 컨트랙트에 인프라를 숨기는 방법

DeadLock의 핵심 혁신은 명령 및 제어 구성의 일부를 Polygon 블록체인에 직접 저장하는 것이다. Polygon은 탈중앙 금융과 디지털 수집품 같은 합법적 애플리케이션에 주로 사용되는 탈중앙화 네트워크다. 블록체인 데이터는 단일 서버가 아닌 수천 개의 독립 노드에 분산 저장되므로, 경찰이나 호스팅 제공업체가 작전을 중단시키기 위해 압수할 수 있는 중심 지점이 없다. 스마트 컨트랙트에 접근하는 지점 하나가 차단되더라도 기본 데이터는 체인에 남아 네트워크 어디에서든 가져올 수 있다.

이는 이 그룹에게 완전히 새로운 전술은 아니다. DeadLock의 Polygon 기반 설정에 대한 이전 vpn.social 보도에서는 이 갱단이 차단 시도에도 살아남기 위해 C2 구성 데이터를 온체인에 저장하는 실험을 처음 시작한 과정을 자세히 다뤘다. 그 이후로 달라진 점은 범위다. DeadLock은 이제 블록체인 기반 인프라를 이용해 유출 콘텐츠, 즉 피해자가 몸값 지불을 거부하면 공개하겠다고 위협하는 훔친 데이터까지도 호스팅하고 있어, 신고 및 제거가 가능한 전통적 웹 호스팅에 대한 의존도를 더욱 낮추고 있다.

Session과 블록체인 유출 사이트가 사법기관 차단에 저항하는 이유

블록체인 인프라와 함께 DeadLock은 탈중앙화와 메타데이터 보호를 염두에 두고 구축된 암호화 메시징 앱인 Session을 도입했다. Session은 일반 사용자가 누가 누구와 대화했는지 기록하는 중앙 서버 없이 통신할 수 있도록 설계되었다. 이는 언론인, 활동가, 감시를 우려하는 일반인에게 정당하고 가치 있는 개인정보 보호 기능이다. DeadLock의 손에서 이 동일한 설계는 수사관들이 일반적으로 의존하는 중앙 집중식 통신 흔적을 남기지 않고 몸값 지불을 협상하고 갈취를 조율하는 도구가 된다.

전통적인 랜섬웨어 유출 사이트는 호스팅 제공업체나 IP 주소가 식별되면 압수될 수 있는 서버에 존재한다. 블록체인 호스팅 콘텐츠는 이를 완전히 우회한다. 소환장을 발부할 단일 웹 호스트도, 오프라인으로 만들 단일 서버도 없다. 피해자와의 통신에 암호화된 탈중앙 메시징을 결합하면서, DeadLock은 법 집행 기관과 사고 대응 팀이 공격 중인 랜섬웨어 작전을 교란하기 위해 역사적으로 사용해 온 압박 지점 대부분을 효과적으로 제거했다.

양날의 검: 방패이자 무기로서의 개인정보 보호 도구

이 이야기가 주목할 만한 이유는 DeadLock이 새로운 공격 기술을 발명했기 때문이 아니라, 좋은 목적으로 만들어진 도구를 재활용했기 때문이다. Polygon은 투명한 탈중앙 애플리케이션을 지원하기 위해 존재한다. Session은 일반인들의 사적인 대화를 감시와 검열로부터 보호하기 위해 존재한다. 두 기술 모두 범죄적 오용을 염두에 두고 설계되지 않았지만, 우연히도 랜섬웨어 그룹이 원하는 바로 그 복원력 속성을 제공한다.

이는 개인정보 보호와 보안 세계 전반에 걸쳐 나타나는 동일한 긴장 관계다. 반체제 인사의 메시지를 권위주의 정부로부터 보호하는 동일한 암호화가 범죄자의 몸값 협상을 수사관으로부터 보호하기도 한다. 이는 개인정보 보호 기술 자체에 반대하는 주장이 아니라, 탈중앙화와 강력한 암호화가 방어자들의 계산 방식을 바꾼다는 사실을 상기시킨다. 전통적인 랜섬웨어 인프라에 대해서는 비교적 잘 먹혔던 차단 기반 교란 전략이 더 이상 중앙 서버에 의존하지 않는 작전에 대해서는 훨씬 덜 효과적이다.

기업이 갈취 복원력을 구축하기 위해 할 수 있는 일

사후에 DeadLock의 인프라를 교란하는 것이 이제 훨씬 더 어려워졌기 때문에, 실질적인 강조점은 예방과 대비로 다시 이동한다. 조직은 랜섬웨어 그룹이 데이터를 훔치고 접촉을 시작한 후에는 유출 사이트를 내리거나 통신 채널을 차단하는 것만으로는 갈취 시도를 멈추기 어렵다고 가정해야 한다. 따라서 강력한 백업 관행, 네트워크 세분화, 데이터 유출 전 침입을 신속하게 탐지하는 일이 이전보다 훨씬 더 중요해진다.

사고 대응 계획도 유출 사이트를 단순히 신고하여 제거할 수 없을 가능성을 고려해야 한다. 법무팀, 커뮤니케이션 팀, 기술 대응 팀은 공격자의 인프라가 기존 채널을 통해 사실상 멈추게 할 수 없을 때 어떻게 진행할지에 대한 공통된 이해를 공유해야 한다.

이것이 당신에게 의미하는 것

개별 사용자에게 DeadLock의 전술은 자신의 개인정보를 보호하는 도구인 암호화된 메시징 앱, 탈중앙화 서비스, 블록체인 기술이 설계상 중립적이라는 사실을 일깨워 준다. 그 가치는 누가, 왜 사용하는지에 전적으로 달려 있다. 범죄자도 사용한다고 해서 개인정보 보호 도구를 피할 필요는 없다. 다만 이 도구들이 제공하는 복원력이 양쪽 방향으로 작용한다는 점을 이해해야 한다. 특히 기업의 경우, DeadLock 사례는 공격이 시작된 후 랜섬웨어 블록체인 암호화 통신 인프라를 중단시키는 것이 점점 현실성이 떨어지고 있으므로 예방의 중요성이 더욱 커지고 있음을 보여준다.

핵심 요점

  • 현대의 랜섬웨어 그룹과 연결된 유출 사이트와 협상 채널은 신고나 차단 요청을 통해 제거되지 않을 수 있다고 가정한다.
  • 침해 후 교란 옵션이 줄어들고 있으므로, 데이터가 유출되기 전에 공격을 포착하기 위해 침입 탐지와 네트워크 모니터링에 투자한다.
  • 공격자의 인프라가 얼마나 복원력이 있든 몸값 요구의 협상력을 잃게 하려면 오프라인에서 검증된 백업을 유지한다.
  • 사고 대응 계획을 검토하여 전통적인 웹 기반 유출 사이트가 아닌 탈중앙화 및 블록체인 기반 갈취 인프라도 다룰 수 있도록 한다.

DeadLock의 진화는 랜섬웨어와의 싸움이 더 이상 신속한 차단만의 문제가 아니라는 점을 보여준다. 그룹들이 탈중앙화 및 암호화된 인프라에 더욱 의존하게 되면서, 복원력은 공격이 갈취 단계에 도달하기 훨씬 전부터 시작되어야 한다.