DeadLock으로 알려진 한 랜섬웨어 조직이 공격 인프라를 그대로 유지할 새로운 방법을 찾았습니다. 바로 명령 및 제어(C2) 구성의 일부를 Polygon 블록체인에 숨기는 것입니다. 이 그룹은 이중 협박을 통해 이미 전 세계 80곳이 넘는 피해자를 주장하고 있으며, 암호화폐를 움직이는 탈중앙화 원리를 그대로 차용해 방어자와 법 집행 기관이 작동을 중단시키기 더 어렵게 만들고 있습니다.

DeadLock이 Polygon에 명령 인프라를 숨기는 방식

전통적인 랜섬웨어는 보안 연구원이나 법 집행 기관이 식별하고 압수하거나 싱크홀할 수 있는 서버에 의존합니다. DeadLock의 운영자는 C2 구성 데이터를 통상 암호화폐 거래와 탈중앙화 애플리케이션에 쓰이는 공용 네트워크인 Polygon 블록체인에 직접 저장함으로써 그 취약점을 우회하는 것으로 보입니다.

구성 세부 정보를 블록체인 트랜잭션이나 스마트 컨트랙트에 기록함으로써, 악성 코드는 특정 서버 하나에 호스팅되지 않은 출처에서 명령을 가져올 수 있습니다. 압수할 도메인도, 연결을 끊으라고 압박할 호스팅 제공업체도 없습니다. Polygon 네트워크 자체가 작동하는 한 DeadLock이 의존하는 데이터는 계속 접근 가능합니다. 이는 보안 팀이 온체인 인프라를 실험하는 다른 악성 코드 계열에서 지적해 온 더 넓은 추세와 맞닿아 있지만, 실제 활동 중인 랜섬웨어 캠페인에서 등장했다는 점은 이 기술이 개념 증명 연구를 넘어 얼마나 빠르게 확산되고 있는지 보여줍니다.

이 접근 방식은 DeadLock이 이미 적극적으로 사용하는 전술을 기반으로 합니다. 앞서 보도된 DeadLock 랜섬웨어가 Defender, 백업, 이벤트 로그를 제거하는 방식에서 자세히 다룬 것처럼, 이 그룹은 익숙한 침투 방법과 함께 피해자의 복구를 돕거나 조사관이 공격을 추적할 만한 모든 것을 없애는 데 집중합니다.

블록체인 기반 C2가 기존 서버보다 제거하기 어려운 이유

랜섬웨어 제거 작업은 일반적으로 명령 서버, 도메인 등록 기관, 협조할 호스팅 업체 같은 중앙 집중식 장애 지점을 찾아 교란하는 데 달려 있습니다. 퍼블릭 블록체인은 그런 단일 표적을 제공하지 않습니다. Polygon 역시 다른 블록체인 네트워크처럼 수천 개의 독립 노드에 분산되어 있으며, 거래를 삭제하거나 주소를 차단할 수 있는 중앙 운영자가 없습니다.

바로 그런 복원력 때문에 탈중앙화 원장은 법 집행 노력보다 오래 버티려는 공격자에게 매력적입니다. 보안 연구원이 DeadLock이 사용하는 특정 컨트랙트나 지갑 주소를 식별해도, 한번 기록된 데이터를 블록체인에서 현실적으로 삭제하기는 어렵습니다. 조사관은 그 활동을 모니터링하고 관련 지갑을 추적할 수는 있지만, 데이터센터에 있는 임대 서버를 상대할 때처럼 지렛대를 당길 수는 없습니다. 이는 싸움의 균형을 바꿉니다. 방어자는 더 이상 인프라 공급망을 교란하는 데 기대기보다 감염된 시스템에서 악성 코드의 행동을 탐지하는 데 집중해야 합니다.

표적 대상과 이중 협박이 피해자에게 의미하는 것

현재 전 세계적으로 80곳이 넘는 조직에 이른 DeadLock의 피해자 수는 금전적 동기의 랜섬웨어 그룹 사이에서 표준이 된 이중 협박 모델을 반영합니다. 악성 코드는 피해자의 파일을 암호화해 핵심 시스템 접근을 차단하는 한편, 운영자는 몸값을 지불하지 않으면 훔친 데이터를 공개하겠다고 동시에 위협합니다. 이는 피해자에게 운영 복구와 데이터 유출로 인한 손해 방지라는 두 가지 이유를 제공합니다.

두 번째 위협이 초래하는 결과는 이 사이트에서 이전에 다룬 사례에서 구체화되었습니다. DeadLock 랜섬웨어 침해로 Diater의 10년간의 기록이 노출된 사건에서, 민감한 건강 데이터가 위험에 처한 바이오 제약 회사의 사례가 바로 그것입니다. 이 사건은 이중 협박 캠페인이 몸값 결정으로 끝나지 않음을 보여줍니다. 유출된 데이터는 공격이 해결된 후에도 오래도록 유통될 수 있으며, 침해와 직접 관련 없는 환자, 고객, 파트너에게까지 영향을 미칩니다.

이것이 의미하는 바

대부분의 독자는 DeadLock 같은 랜섬웨어 그룹의 직접적인 표적이 되지 않겠지만, 이러한 공격의 파급 효과는 개인 데이터가 공격 대상 조직의 시스템 안에 있는 일반 사람들에게까지 미칩니다. 블록체인에 저항하는 C2 설정은 위반 사실이 발생했을 때 여러분에게 일어나는 일을 바꾸지 않습니다. 공격자의 백엔드 인프라가 아무리 정교해도, 여러분의 정보는 유출을 통해 그대로 노출될 수 있습니다.

조직에게 주는 교훈은 더 직접적입니다. 랜섬웨어 그룹은 테이크다운이 실제 억지력이 되었기 때문에 암호화폐 세계에서 복원력 기술을 빌려오고 있습니다. 이는 싸움이 점점 더 침해 및 암호화 시점에서 일어나야 하며, 사후에 인프라를 교란하는 데 의존할 수 없음을 의미합니다.

DeadLock 같은 랜섬웨어에 대한 실질적 방어

몇 가지 기본 원칙이 여전히 어떤 단일 보안 제품보다 중요합니다. 랜섬웨어가 닿거나 주 시스템과 함께 삭제할 수 없는 오프라인 불변 백업을 유지하십시오. 네트워크를 분할하여 단일 엔드포인트가 침해되더라도 공유 드라이브와 서버 전체가 암호화되는 것을 막으십시오. 엔드포인트 탐지 도구를 최신 상태로 유지하고, 보안 소프트웨어 비활성화나 이벤트 로그 삭제와 관련된 행동을 모니터링하십시오. 이는 DeadLock이 네트워크를 완전히 장악하기 전에 사용했던 패턴입니다.

랜섬웨어의 블록체인 C2 제거 저항성 등장은 공격자가 어떤 단일 방어 도구보다 더 빠르게 적응하고 있음을 상기시킵니다. 계층화된 보안, 검증된 백업, 신속한 탐지는 예방만으로 충분하지 않을 때 피해를 제한하는 가장 신뢰할 수 있는 방법으로 남아 있습니다. DeadLock과 같은 그룹의 작동 방식을 계속 주시하고 지금 기본적인 보호 조치를 취하는 것이, 다음 뉴스 헤드라인을 장식할 침해에 대한 노출을 줄이는 가장 실용적인 방법입니다.