FBI, CISA, NSA, 국방부 사이버범죄센터, 한국 사이버보안 기관들의 공동 권고문은 Gunra 랜섬웨어 운영자들이 가장 신뢰받는 기업 보안 도구 중 하나인 다중 인증(MFA)을 우회하는 방법을 찾아냈다는 사실을 확인했다. 일회용 코드를 훔치거나 로그인 세션을 피싱하는 대신, Gunra의 가맹자들은 피해 서버에서 인증 파일을 직접 수정했고, 이를 통해 암호화와 데이터 탈취를 감행하기 전에 내부에서 MFA 보호를 사실상 무력화했다.

이번 달 발표된 이 권고문은 서비스형 랜섬웨어(RaaS) 그룹들이 더 이상 MFA를 속임수로 넘어야 할 장애물로 여기지 않는다는 점을 공개적으로 비교적 명확하게 확인해 준 사례 중 하나다. 이들은 MFA를 일단 침투 거점을 확보한 뒤 간단히 재설정할 수 있는 인프라로 취급하고 있다.

Gunra가 서버 수준 MFA를 우회한 방법

권고문에 따르면, Gunra 가맹자들은 정부, 중요 기반시설, 기업 네트워크에 초기 접근 권한을 얻기 위해 Fortinet 방화벽 및 VPN 장비의 알려진 취약점과 Schneider Electric 시스템의 결함을 악용해 왔다. 일단 내부에 들어가면 공격자들은 로그인 창에서 MFA를 무력화하려 시도하는 대신 서버 자체에 저장된 인증 구성 파일을 노렸다.

이 파일들을 원본에서 수정함으로써 Gunra 운영자들은 일반적으로 무단 로그인을 차단하는 MFA 확인을 비활성화하거나 우회할 수 있었으며, 피해자의 두 번째 인증 요소가 전혀 필요하지 않았다. 이는 SIM 스와핑이나 푸시 알림 피로 공격처럼 사용자를 표적으로 삼는 일반적인 MFA 우회 기법과 중요한 차이가 있다. Gunra의 접근법은 애초에 정책을 강제하는 인프라를 표적으로 삼으며, 이는 결함이 행동적 차원이 아니라 구조적 차원에 있다는 뜻이다. 권고문이 Gunra가 의존한다고 밝힌 방화벽, VPN 장비 등 에지 장치의 알려진 취약점에 패치를 적용하는 것은, 이 문이 열리기 전에 닫을 수 있는 가장 직접적인 방법으로 남아 있다.

Gunra는 서비스형 랜섬웨어로 운영된다. 즉 핵심 악성코드는 한 그룹이 만들고 유지 관리하는 반면, 가맹자들이 개별 공격을 수행하며, 종종 이전 랜섬웨어 계열에서 유출된 코드를 재사용한다. 권고문에 따르면 이미 여러 국가의 정부, 의료, 중요 기반시설 표적을 공격한 만큼, 이러한 구조는 해당 작전이 부문과 지역 전반으로 빠르게 확산하는 데 도움이 되었다.

Linux 변종에 있는 한 줄기 희망

권고문은 또한 Gunra의 Linux 기반 암호화 도구에서 주목할 만한 약점을 지적한다. 연구자들은 암호화 과정이 파일 타임스탬프 흔적을 남기며, 일부 경우 공격자에게 아무것도 지불하지 않고도 복호화 키를 재구성하는 데 사용할 수 있다는 사실을 발견했다. 이 특정 변종에 피해를 입은 Linux 서버를 운영하는 조직에게는 범죄 집단과의 협상 대신 포렌식 분석을 통해 암호화된 데이터를 복구할 수 있는 길이 열린 셈이다.

이러한 구현 결함은 유출된 코드를 재사용하거나 변형하는 랜섬웨어 계열에서 드물지 않으며, 모든 Gunra 피해자가 무료로 복구할 수 있다는 의미는 아니다. Windows 측 암호화 도구는 동일한 약점을 공유하지 않는 것으로 보이며, 조직은 모든 복구 시도를 직접 해결할 문제가 아니라 경험이 있는 침해 대응 전문가의 업무로 다뤄야 한다. 그럼에도 이는 피해자들이 대개 돈을 내거나 백업에서 복구하는 것 중 하나를 선택해야 하는 랜섬웨어 환경에서 보기 드문 좋은 소식이다.

이 선택이 중요한 이유는 몸값을 지불해도 문제가 확실하게 해결되지는 않는다는 증거가 점점 늘고 있기 때문이다. Proofpoint 설문조사에서는 랜섬웨어 갱단에 돈을 지불하는 것이 종종 역효과를 낸다는 사실이 드러났다. 많은 조직이 지불 후에도 여전히 데이터를 잃거나 반복 공격을 겪었으며, 사용 가능한 복호화 도구를 받지 못한 경우도 많았다고 보고했다. Gunra 권고문은 이러한 패턴을 강화한다. 가장 안전한 방법은 협상이 아니라 예방과 복구 가능성이다.

이것이 여러분에게 의미하는 바

이 권고문을 읽는 대부분의 사람이 Gunra의 직접적인 표적이 되지는 않겠지만, 근본적인 교훈은 광범위하게 적용된다. MFA는 중요한 방어 계층이지만, 특히 공격자가 이를 강제하는 서버 측 구성에 접근할 수 있을 때는 완벽하지 않다. 기업, 병원, 학교, 지방 정부 기관의 IT 시스템을 관리하는 사람이라면 이 권고문은 방화벽과 VPN 장비 펌웨어가 최신 상태인지 확인하라는 신호다. Gunra의 초기 접근은 알려져 있고 패치 가능한 취약점에 크게 의존하기 때문이다.

일반 사용자에게 중요한 점은 이 특정 랜섬웨어 계열보다는 자신의 데이터를 어떻게 다루는가에 더 가깝다. 중요한 파일을 정기적으로 오프라인 백업해 두는 것은 공격자가 어떻게 침입하든 작동하는 몇 안 되는 방어 수단 중 하나로 남아 있다. 민감한 파일 사본을 얼마나 오래, 어디에 보관하는지도 사용하는 서비스가 침해당했을 때 노출 범위에 영향을 미친다. 자신의 데이터 보존 습관과 의존하는 플랫폼의 데이터 보존 방식을 이해하는 것은 단일 침해로 노출될 수 있는 것을 제한하기 위한 실질적인 조치다.

핵심 요점

노출된 Fortinet 또는 Schneider Electric 장비를 운영하는 조직은 Gunra 침투의 문서화된 진입점이므로 즉시 패치 적용을 최우선으로 삼아야 한다. IT 팀은 MFA가 활성화되어 있다는 이유만으로 제대로 작동한다고 가정하지 말고, 서버 측 인증 구성에 무단 변경이 있는지 감사해야 한다. Gunra에 피해를 입은 Linux 관리자는 권고문에 설명된 타임스탬프 기반 복구 결함을 고려할 때 파일이 영구적으로 손실됐다고 단정하기 전에 침해 대응 전문가와 상의해야 한다. 그리고 그 외의 모든 사람에게 이 권고문은 Gunra 랜섬웨어와 유사한 그룹이 오래된 인프라를 상대로 가장 자주 성공한다는 점을 다시 한번 상기시켜 준다. 따라서 패치 관리와 백업 규율이 어떤 단일 보안 도구보다 더 가치 있다.