Gunra란 무엇이며 Conti의 유출된 코드에서 어떻게 진화했는가

Gunra 랜섬웨어는 유출된 Conti 랜섬웨어 소스에서 파생된 코드를 기반으로 2025년 4월 처음 등장했다. Conti는 내부 채팅 로그와 빌더 코드가 2022년 인터넷에 유출되기 전까지 가장 활발한 랜섬웨어 운영 중 하나였으며, 그 유출은 이후 복제 변종들의 소규모 산업을 형성하는 데 기여했다. Gunra는 더 능력 있는 후손 중 하나로, 처음부터 이중 갈취 기능을 내장하고 등장했다. 공격자는 피해자의 파일을 암호화하면서 동시에 민감한 데이터 사본을 훔친 뒤, 시스템 잠금 해제 요구와 함께 공개 폭로 위협을 지렛대로 사용한다.

2026년에 Gunra를 주목할 만한 이유는 단순히 그 계보 때문만이 아니라, 성숙해진 방식에 있다. 이 그룹은 이제 맞춤형 Tor 기반 협상 포털을 운영하며 피해자에게 지불을 압박하고, 요구가 충족되지 않으면 유출된 데이터를 공개하겠다는 위협을 더한다. 이는 업계가 추적해 온 광범위한 변화를 반영한다. 공격이 암호화 단독이 아니라 데이터 탈취 갈취를 중심으로 점점 구축되고 있다. 데이터를 먼저 훔치면 피해자가 백업에서 시스템을 복구하더라도 공격자에게 대체 지렛대가 생기며, 이것이 바로 Gunra가 가하는 압박의 종류다.

Gunra RaaS 제휴 모델이 위협을 증폭시키는 방식

Gunra 운영자들은 악성코드를 만드는 데 그치지 않았다. 2026년 이 그룹은 다크웹 포럼에서 제휴자를 모집하기 위해 공개적으로 광고하며 구조화된 서비스형 랜섬웨어(RaaS) 프로그램으로 공식화했다. 이 RaaS 구조가 중요한 이유는 랜섬웨어를 작성하는 사람과 이를 배포하는 사람을 분리하기 때문이다. 개발자는 코드와 협상 인프라를 유지·개선하고, 더 넓은 제휴자 집단이 실제 침입을 처리하며, 이들은 기술 수준과 표적 선택이 다양한 채로 여러 산업과 지역에 걸쳐 활동하는 경우가 많다.

실질적인 효과는 규모다. 자금이 풍부한 단일 운영자가 프랜차이즈 방식의 네트워크로 변모하면 더 많은 동시 캠페인, 더 다양한 초기 접근 기법, 그리고 단일 탐지 프로필을 구축하려는 방어자에게 더 어려운 문제가 생긴다. 여러 부문의 조직이 Gunra라는 이름 아래 표적이 되고 있는데, 이는 한 그룹이 유독 공격적이기 때문이 아니라 수십 명의 제휴자가 같은 플레이북을 각자의 방식으로 실행하고 있기 때문이다.

탐지 지표: Gunra 침입을 조기에 발견하기

Gunra는 제휴자 주도로 운영되기 때문에 초기 접근 방식은 사건마다 다르지만, 이중 갈취 공격의 근본적인 패턴은 식별 가능한 흐름을 따르는 경향이 있다. 보안 팀은 특히 낯선 클라우드 스토리지 엔드포인트나 Tor 출구 노드로의 대규모 또는 비정상적인 아웃바운드 데이터 전송을 주의 깊게 살펴봐야 한다. 유출은 일반적으로 암호화가 시작되기 전에 발생하기 때문이다. 합법적인 원격 접근 또는 파일 전송 도구의 예상치 못한 사용, 도메인 컨트롤러에 대한 자격 증명 접근 시도, 낯선 예약 작업이나 서비스의 갑작스러운 등장은 모두 랜섬웨어 배포의 일반적인 전조 증상이다.

여기서는 어떤 단일 시그니처보다 로깅과 엔드포인트 가시성이 더 중요하다. Gunra는 Conti 코드베이스에서 파생됐지만 여러 제휴자에 의해 수정됐기 때문에, 한 샘플을 기준으로 만든 정적 탐지 규칙은 다른 제휴자가 사용하는 변종을 놓칠 수 있다. 프로세스의 외형이 아니라 동작에 초점을 맞춘 행위 기반 모니터링은 파일이 암호화되고 데이터가 이미 유출되기 전에 침입을 포착할 가능성을 높여준다.

완화 전략: 백업, 분할, 암호화된 통신

기본 사항이 여전히 가장 중요하다. 오프라인에서 검증된 백업은 협상 없이 복구할 수 있는 가장 신뢰할 수 있는 수단으로 남아 있으며, 네트워크 분할은 공격자가 거점을 확보한 뒤 이동할 수 있는 범위를 제한한다. 원격 접근 지점과 권한 있는 계정에 다중 인증을 적용하면, 랜섬웨어 조직이 단일 감염 머신에서 도메인 전체 제어로 권한을 확대하는 가장 일반적인 경로 중 하나를 차단할 수 있다. AI 가속 위협에 대비해 복구 태세를 재정비하는 조직들은 사고가 실제로 발생했을 때 사이버 복구를 일회성 백업 체크박스가 아닌 지속적인 규율로 다루는 것이 효과를 발휘한다는 점을 발견했다.

Gunra의 협상 지렛대는 훔친 데이터에 크게 의존하기 때문에, 공격자가 무엇이든 암호화하기 전에 접근할 수 있는 범위를 제한하는 것이 복구 계획만큼 중요하다. 암호화되고 접근 제어가 적용된 커뮤니케이션 및 파일 공유 도구는 평문이나 느슨한 권한으로 방치된 민감한 자료의 양을 줄여, 이중 갈취 그룹이 실제로 당신을 위협할 수 있는 재료를 축소한다. 협상 자체에 대해서도 냉철한 시각을 가질 필요가 있다. 랜섬웨어 지불 결과에 대한 연구는 지불이 향후 공격을 막는 경우가 드물다는 점을 보여주며, 이는 지불이 문제를 끝내기를 바라는 것보다 예방과 신속한 탐지가 훨씬 더 내구성 있는 보호를 제공한다는 사실을 뒷받침한다.

이것이 의미하는 바

규모에 관계없이 조직의 IT 또는 보안을 담당하고 있다면, Gunra의 RaaS 구조는 위협이 프로파일링할 단일 공격자가 아니라 공유 도구 키트를 사용하는 성장 중인 제휴자 네트워크라는 뜻이다. 이는 모든 새로운 샘플을 쫓는 데 집중하기보다 기본기를 강화하는 쪽으로 초점을 옮겨야 한다는 의미다. 강력한 접근 제어, 분할된 네트워크, 검증된 백업, 민감한 데이터를 위한 암호화된 채널이 그것이다. 개별 직원에게 실질적인 교훈은 더 단순하다. 예상치 못한 원격 접근 요청을 주의하고, 비정상적인 계정 활동을 신속하게 보고하며, 이제 파일 암호화뿐 아니라 데이터 탈취가 이러한 공격 전개의 중심에 있다는 점을 이해하는 것이다.

핵심 요약

  • Gunra는 Conti에서 파생된 이중 갈취 랜섬웨어 변종으로, 2026년에 전체 RaaS 제휴 프로그램으로 확장했다.
  • 제휴자가 다양하기 때문에 탐지는 정적 악성코드 시그니처보다 비정상적인 데이터 전송이나 자격 증명 오용 같은 행위에 초점을 맞춰야 한다.
  • 견고한 Gunra 랜섬웨어 보호는 오프라인 백업, 네트워크 분할, 다중 인증을 민감한 데이터의 암호화·접근 제한 처리와 결합한다.
  • Gunra에 몸값을 지불해도 향후 공격이 없을 것이라는 보장이 없으므로, 예방과 조기 탐지가 더 신뢰할 수 있는 투자다.