달라진 점: 건라의 RaaS 모델 전환
FBI가 건라 랜섬웨어에 대한 새로운 경고를 발표했습니다. 이 위협은 단일 그룹의 작전에서 완전한 서비스형 랜섬웨어(RaaS) 사업으로 빠르게 진화했습니다. 실질적으로 이는 건라의 원래 개발자만 공격을 수행하는 것이 아니라는 뜻입니다. 이제 그들은 멀웨어와 인프라를 제휴자, 즉 실제 침입을 수행하고 핵심 그룹과 수익을 나누는 범죄 파트너에게 라이선스하거나 임대하고 있습니다.
이 변화가 중요한 이유는 RaaS 모델이 공격의 규모와 범위를 가속화하는 경향이 있기 때문입니다. 한 팀이 천천히 피해자를 노리는 대신, 수십 명의 독립적 제휴자가 각자 네트워크 침입 기법을 가지고 서로 다른 산업과 지역에서 동시에 같은 랜섬웨어를 배포할 수 있습니다. FBI 권고는 건라가 계속해서 이중 갈취 방식을 사용하고 있음을 확인합니다. 피해자의 데이터를 암호화하는 동시에 그 복사본을 훔친 뒤, 몸값을 내지 않으면 전용 유출 사이트에 훔친 파일을 공개하겠다고 위협하는 것입니다.
건라가 이번 확장 이전에 어떻게 명성을 쌓았는지에 대한 배경은 건라의 이중 갈취 공격에 대한 이전 보도에서 이 그룹이 여러 부문에 빠르게 확산하며 연구자들의 주목을 처음 받은 과정을 다뤘습니다.
이중 갈취가 '백업에서 복원만 하면 된다' 방어를 무너뜨리는 이유
수년간 랜섬웨어 공격에서 살아남기 위한 표준 조언은 단순했습니다. 좋은 백업을 유지하고, 공격을 받으면 감염된 시스템을 밀어내고 깨끗한 복사본에서 복원하라는 것이었죠. 이 조언은 여전히 중요하지만 더 이상 문제 전체를 해결하지는 못합니다. 건라 랜섬웨어의 이중 갈취는 정확히 이를 무력화하도록 설계되었습니다.
이유는 이렇습니다. 피해 조직이 백업에서 시스템을 완전히 복원할 수 있고 자신의 파일을 잠금 해제하기 위해 절대 비용을 지불하지 않더라도, 공격자는 이미 암호화하기 전에 해당 민감 데이터의 복사본을 빼돌렸습니다. 백업은 데이터 손실을 막아주지만, 훔친 파일이 유출되거나 판매되는 것을 막지는 못합니다. 건라의 유출 사이트는 바로 그 두 번째 압박을 가하기 위해 존재합니다. 돈을 내지 않으면 고객 기록, 재무 문서, 내부 커뮤니케이션이 공개됩니다.
이것이 보안 팀이 이제 랜섬웨어를 단순한 시스템 다운타임이 아니라 데이터 도난과 노출의 관점에서 논의하는 핵심 이유입니다. 운영을 빠르게 복원하는 것은 여전히 가치 있지만, 공격자가 데이터 사본을 확보한 이상 그들이 가진 협상력을 제거하지는 못합니다.
건라 제휴자 확대에 따른 위험 대상
건라가 이제 RaaS 구조로 운영되기 때문에 잠재적 피해자 풀이 넓어질 가능성이 높습니다. RaaS 제휴자는 일반적으로 기회주의적이며, 항상 특정 산업을 노리기보다는 노출된 원격 접근 지점, 패치되지 않은 소프트웨어, 취약한 자격 증명 관리 등 악용 가능한 약점을 보이는 조직을 공격합니다. 즉 대기업뿐 아니라 다양한 규모와 부문의 조직이 더 쉬운 침입 경로를 제공한다는 이유만으로 표적이 될 수 있습니다.
FBI의 경고는 정부, 의료, 금융 및 기타 부문의 방어자들이 건라를 틈새 우려가 아니라 활동 중이며 진화하는 위협으로 다뤄야 한다는 신호입니다. 더 많은 제휴자가 이 그룹의 도구를 채택할수록 건라에 기인한 공격의 양과 다양성도 커질 가능성이 높습니다.
심층 방어 전략 구축
VPN을 포함해 어떤 단일 도구도 랜섬웨어를 혼자서 막을 수 없습니다. VPN은 전송 중인 데이터를 보호하고 내부 네트워크 자원이 공개 인터넷에 노출되는 것을 줄이는 데 도움이 될 수 있지만, 공격자가 이미 손상된 시스템 안에 들어와 있다면 파일을 훔치는 행위를 막지는 못합니다. 진짜 해답은 계층화된 방어입니다.
우선순위를 둘 만한 몇 가지 실용적 계층은 다음과 같습니다.
- 신뢰할 수 있는 오프라인 백업: 랜섬웨어가 백업에 접근해 함께 암호화하지 못하도록 백업을 주 네트워크에서 격리하세요.
- 데이터 최소화: 실제로 필요한 민감 데이터만 저장하고 나머지는 삭제하거나 보관하세요. 공격자는 보유하지 않은 것을 유출할 수 없습니다.
- 네트워크 분할 및 접근 제어: 수평 이동을 제한해 하나의 손상된 계정이 전체 네트워크에 도달하지 못하게 하세요.
- 네트워크 수준 개인정보 보호 도구: VPN과 보안 원격 접근 솔루션은 인터넷에 노출되는 공격 표면을 줄여 제휴자가 쉬운 진입점을 찾기 어렵게 만듭니다.
- 패치 관리: 많은 RaaS 제휴자는 새로운 기법보다 알려졌지만 패치되지 않은 취약점을 악용하므로 업데이트를 최신으로 유지하면 쉬운 침입 경로를 차단할 수 있습니다.
이것이 여러분에게 의미하는 바
소규모 비즈니스의 IT를 운영하든 단순히 자신의 기기를 관리하든, 건라 랜섬웨어 이중 갈취 모델은 데이터 보호가 복구 이상의 문제임을 상기시킵니다. 애초에 공격자가 훔칠 수 있는 것을 제한하고, 성장하는 제휴 네트워크가 만들어내는 기회주의적 스캐닝과 악용에 시스템이 얼마나 노출되는지 줄이는 것이 핵심입니다.
핵심 요점
- 건라 랜섬웨어는 RaaS 모델로 전환했으며, 이제 더 많은 제휴자가 그 도구를 사용해 공격을 시작할 수 있습니다.
- 이중 갈취는 복호화 비용을 지불해도 훔친 데이터가 유출되는 것을 막지 못한다는 뜻입니다.
- 백업은 여전히 필수적이지만 데이터 최소화 및 접근 제어와 함께 사용해야 합니다.
- VPN 같은 네트워크 개인정보 보호 도구는 완전한 해결책이 아니라 방어 계층 중 하나입니다.
- 패치를 최신으로 유지하고 인터넷에 노출되는 서비스를 제한하면 확장 중인 제휴자에게 쉬운 표적이 될 가능성이 줄어듭니다.
