자데퍼퍼의 두 번째 물결에서 달라진 점

랜섬웨어 그룹들은 지난 몇 년간 단일한 플레이북에 수렴해왔다: 먼저 데이터를 훔치고, 다음으로 암호화하며, 피해자가 지불을 거부하면 모든 것을 유출하겠다고 협박하는 것이다. 이를 이중 갈취(double extortion)라고 부르며, 거의 모든 진지한 랜섬웨어 조직의 기본 운영 모델이 되었다. 자데퍼퍼(Jadepuffer)는 이 스크립트에서 벗어났다.

복귀 보도에서 문서화된 최신 버전의 악성코드는 데이터 탈취 단계를 완전히 건너뛴다. 유출도 없고, 유출 사이트에 올라간 도난 파일도 없으며, 첫 번째 위협 위에 포개진 두 번째 위협도 없다. 대신 자데퍼퍼는 곧바로 암호화로 직행한다. 감염된 시스템의 파일이 잠기고, 랜섬 노트가 나타나며, 공격자의 유일한 협상 수단은 복호화 키에 대한 약속(또는 위협)뿐이다. 그게 전부다. 도난당한 고객 기록도, 유출된 계약서도, 다크웹 경매도 없다.

표면적으로는 공격자에게 한 걸음 후퇴한 것처럼 들린다. 이중 갈취가 존재하는 이유는 그것이 효과적이기 때문이다. 탄탄한 백업을 갖춘 조직조차도 도난당한 데이터가 공개되는 것을 막으려고 돈을 지불하는 경우가 있다. 그 지렛대를 포기하면 이론적으로 자데퍼퍼의 효과는 떨어져야 한다. 그러나 보도는 정반대의 상황을 시사한다. 이 두 번째 버전은 첫 번째보다 더 크고 더 악랄하다고 묘사되며, 이는 방어자에게 중요한 질문을 던진다. 데이터 노출에 의존해 피해자를 압박하지 않는다면, 자데퍼퍼는 대신 무엇에 의존하는 걸까?

암호화 전용 갈취가 여전히 위험한 이유

답은 간단하면서도 불편하다: 암호화만으로도 충분한 경우가 많다. 검증된 오프라인 백업이 없는 조직이라면, 네트워크의 모든 파일이 하룻밤 사이에 암호화되는 것은 데이터 도난 여부와 무관하게 사업 중단 사태다. 급여 시스템이 멈춘다. 환자 기록에 접근할 수 없게 된다. 네트워크 제어 소프트웨어에 의존하는 제조 라인이 암흑에 빠진다. 유출 위협이 없다고 해서 운영 중단이 덜 실질적이게 되지는 않는다.

이 점은 음미할 가치가 있는데, 많은 랜섬웨어 보도가 당연하게도 데이터 탈취 측면, 즉 무엇이 도난당했고 누가 영향을 받았으며 유출 사이트에 나타나는지에 집중하기 때문이다. 자데퍼퍼가 순수 암호화 모델로 다시 선회한 것은 운영 방해만으로도 몸값을 뜯어내기에 충분할 수 있다는 사실을 상기시킨다. 유출을 건너뛰는 그룹은 암호화를 촉발하기 전에 민감한 파일을 찾고, 패키징하고, 전송하는 시간을 들일 필요가 없기 때문에 피해자 네트워크 내에서 더 빠르게 움직이고 더 작은 발자국을 남긴다. 유출 사이트 지렛대를 포기하는 대가로 속도와 은밀함을 얻는 셈이다.

이번 자데퍼퍼 버전은 이 그룹이 도구 이력에서 보여준 더 넓은 패턴의 일부다. JadePuffer의 첫 AI 주도 랜섬웨어 공격에 관한 이전 보도에서는 침투의 상당 부분이 수동이 아닌 자동화로 이루어진 점이 주목할 만한 작전으로 묘사되었다. 같은 행위자의 관련 도구인 Encforge는 나름의 방식으로 표준 랜섬웨어 플레이북에서 벗어났다. Encforge의 Langflow 취약점(CVE-2025-3248) 악용을 통한 AI 인프라 도달을 포함해 이 그룹의 도구 키트가 어떻게 진화해왔는지에 대한 전체적인 흐름을 원하는 독자라면 이전 보도에서 유용한 맥락을 찾을 수 있을 것이다.

피해자 식별자와 랜섬 노트가 드러내는 것

주목할 만한 세부 사항 하나는 랜섬 노트 자체가 얼마나 체계적인가이다. 각 피해자에게 고유한 식별자가 부여되며, 노트에는 복호화 키와 연결된 경고가 포함된다. 이러한 구조는 우연이 아니다. 고유 ID를 통해 운영자는 여러 커뮤니케이션에서 어떤 피해자가 누구인지 추적하고, 지불을 특정 복호화 키에 연결하며, 혼선 없이 동시 다발적인 사건을 관리할 수 있다. 일회성 공격이 아니라 반복 가능한 작업으로 이를 운영하는 그룹에게서 기대할 만한 인프라다.

사고 대응자와 위협 인텔리전스 팀에게 랜섬 노트의 형식, 식별자 구조, 지불 지침 또한 유용한 아티팩트다. 이를 통해 사고가 자데퍼퍼와 같은 알려진 행위자와 진짜 연관된 것인지, 유출되거나 구매한 도구를 이용한 모방범에 의한 것인지 확인하는 데 도움이 되며, 이는 대응 방식과 향후 예상 시나리오를 결정하는 데 중요하다.

노출 줄이기: 네트워크 분할, VPN, 백업 전략

암호화 전용 랜섬웨어에 대한 실질적 대응은 도구가 진화해도 크게 바뀌지 않았다. 검증된 오프라인 백업은 여전히 비용을 지불하지 않고도 암호화 사태를 버틸 수 있는 가장 신뢰할 수 있는 단일 수단이다. 프로덕션 시스템과 동일한 네트워크에 있는 백업은 종종 다른 모든 것과 함께 암호화되므로, 백업 자체만큼 격리도 중요하다.

네트워크 분할은 공격자가 발판을 확보한 뒤 이동할 수 있는 범위를 제한하여 초기 침투가 성공하더라도 암호화 사태의 폭발 반경을 억제한다. 원격 접근 도구를 제한하고, 비정상적인 수평 이동을 모니터링하며, 광범위한 네트워크 신뢰 대신 엄격한 접근 통제로 구성된 VPN을 포함한 안전한 원격 접근 방식을 사용하면 하나의 침해된 자격 증명이 조직 전체의 운영 중단으로 이어질 확률을 낮출 수 있다.

이것이 당신에게 의미하는 것

귀하의 조직이 민감한 데이터를 다루거나 일상 운영을 네트워크 시스템에 의존하고 있다면, 자데퍼퍼의 두 번째 물결은 랜섬웨어가 당신을 해치기 위해 데이터를 훔칠 필요가 없다는 사실을 상기시킨다. 대규모로 이루어지는 암호화만으로도 공격자에게는 작동하는 비즈니스 모델이다. 즉, 백업 전략과 네트워크 분할이 데이터 유출 방지 못지않은 관심을 받아야 한다는 의미다. 어떤 단일 그룹의 다음 수를 예측하려 애쓰는 것보다, 랜섬 노트를 전혀 건드리지 않고 오프라인 백업에서 운영을 얼마나 빨리 복원할 수 있는지 점검하는 편이 훨씬 더 생산적인 연습이다.

핵심 요약

  • 자데퍼퍼의 최신 버전은 데이터 탈취를 완전히 건너뛰고 암호화만을 갈취 지렛대로 삼는다.
  • 암호화 전용 공격은 백업이 프로덕션 네트워크와 격리되지 않은 경우 이중 갈취만큼이나 파괴적일 수 있다.
  • 랜섬 노트 속 고유한 피해자 식별자는 즉흥적인 공격이 아닌 구조화된 반복 가능한 작전을 가리킨다.
  • 검증된 오프라인 백업과 네트워크 분할은 이 스타일의 공격에 대한 가장 효과적인 방어 수단으로 남는다.
  • 최소 권한 접근을 위해 원격 접근 및 VPN 구성을 검토하면 암호화가 시작되기 전에 침입자가 확산되는 범위를 제한할 수 있다.