LockBit 5.0 이중 협박 캠페인, 전 세계적으로 여전히 활발

LockBit 5.0은 여전히 전 세계 조직들을 공격하고 있으며, 이 그룹의 제휴자들은 완전히 방어하기 어려운 양방향 공격으로 접근 방식을 정교화했습니다. 최근 위협 인텔리전스에 따르면, LockBit 5.0 이중 협박 캠페인은 이제 무차별 암호화에만 의존하는 대신 데이터 절도와 혼란을 계산적으로 결합하여 피해자가 돈을 지불하도록 압력을 극대화하는 방식에 더 중점을 둡니다.

이것은 갑자기 등장한 새로운 랜섬웨어 패밀리가 아닙니다. LockBit은 서비스형 랜섬웨어(RaaS) 운영 중 가장 활발한 조직 중 하나로 오랜 세월 잘 기록된 역사를 가지고 있으며, 법 집행 기관의 '크로노스 작전' 제거 시도 이후 재부상한 과정이 보안 연구자들에 의해 면밀히 추적되어 왔습니다. 그룹이 어떻게 재건되어 현재 형태로 진화했는지에 대한 자세한 배경을 원하는 독자들을 위해, 저희의 LockBit 5.0 설명서에서 그 역사를 깊이 있게 다루고 있습니다. 이 글은 지금 당장 벌어지고 있는 일, 즉 현재 캠페인의 작동 원리와 조직이 이에 대응할 수 있는 방법에 집중합니다.

LockBit 5.0의 이중 협박 공격 작동 방식

제휴자들이 사용하는 공격 패턴은 의도적인 순서를 따릅니다. 파일이 암호화되기 전에, 공격자는 먼저 대상 네트워크에서 데이터를 빼냅니다. 이때 조용히 대량의 훔친 데이터를 외부 저장소로 옮기는 데 재활용된 합법적인 파일 전송 유틸리티인 Rclone이나, 이 작업을 위해 특별히 제작된 맞춤형 정보 탈취 악성코드 같은 도구를 사용합니다.

데이터가 빠져나간 후에야 암호화 단계가 시작되며, 이 단계는 빠르게 진행되도록 설계되었습니다. 제휴자들은 빠르고 간헐적인 암호화 루틴을 사용하는데, 이는 파일이 한 번의 연속적인 과정에서 모두 잠기는 것이 아니라 여러 차례에 걸쳐 묶음으로 잠긴다는 뜻입니다. 이 방식은 공격자가 대량의 파일을 신속하게 암호화하면서도 전통적인 모니터링 도구의 탐지를 더 어렵게 만듭니다. 암호화된 파일에는 무작위 파일 확장자가 부여되므로 복구 작업이 복잡해지고 피해 범위를 신속히 파악하기 어려워집니다.

그 결과 피해자는 이중 구속에 빠집니다. 조직이 백업에서 암호화된 시스템을 복원하고 복호화 키 비용을 지불하지 않을 수 있다고 해도, 공격자는 여전히 훔친 데이터를 보유하고 있으며 이를 유출하거나 판매하겠다고 위협할 수 있습니다. 바로 이 두 번째 지렛대가 랜섬웨어 업계 전반에서 이 모델이 효과적인 이유이며, LockBit 제휴자들이 윈도우, 리눅스, 가상화 환경 전반에서 이 방식을 계속 활용하는 이유입니다.

데이터 탈취가 이제 단순한 암호화가 아닌 진짜 위협인 이유

랜섬웨어를 주로 파일 암호화 문제로, 좋은 백업을 유지하면 해결할 수 있는 문제라고 생각하기 쉽습니다. 그런 생각은 현재 실제 압박 수단이 어디에 있는지 놓치고 있습니다. 데이터가 네트워크를 떠나면 백업으로도 노출을 되돌릴 수 없습니다. 고객 기록, 재무 데이터, 내부 커뮤니케이션, 지적 재산 등 훔친 파일은 피해 조직이 몸값을 지불하든 말든 이미 공격자의 손에 넘어간 상태입니다.

이 변화는 '복구'가 실제로 무엇을 의미하는지를 바꾸기 때문에 중요합니다. 깨끗한 백업에서 시스템을 복원하는 것은 운영 중단 시간을 해결하지만, 민감한 정보가 유출 사이트에 게시되거나 다른 위협 행위자에게 판매되는 것을 막지는 못합니다. 조직은 데이터 탈취를 암호화에 대한 사후 고려가 아닌 대비해야 할 주요 위험으로 다루어야 합니다.

강화 조치: 백업, 분할, 접근 제어

암호화된 오프라인 백업. 백업은 저장 시 암호화되고 주 네트워크에서 격리되어야 하며, 변경 불가능하거나 물리적으로 분리된 사본을 유지하는 것이 이상적입니다. 그래야 공격자가 광범위한 접근 권한을 얻더라도 복구 데이터에 접근하거나 조작할 수 없습니다.
네트워크 분할. 제휴자들은 암호화하기 전에 데이터를 빼내기 때문에, 침입자가 내부에 들어왔을 때 네트워크를 얼마나 멀리 이동할 수 있는지 제한하면 위험 데이터의 양과 암호화 단계에서 공격받을 수 있는 시스템 수를 줄일 수 있습니다.
비정상적 데이터 전송 모니터링. Rclone 같은 탈취 도구는 오용되는 합법적인 소프트웨어이므로, 보안 팀은 악성코드 시그니처뿐 아니라 비정상적인 외부 전송량이나 익숙하지 않은 파일 동기화 유틸리티 사용을 주시해야 합니다.
엄격한 접근 제어. 어떤 계정과 시스템이 민감한 데이터에 접근할 수 있는지 제한하면 공격자가 초기 침투 계정을 탈취하더라도 훔칠 수 있는 정보의 폭을 줄일 수 있습니다.
데이터 도난을 전제한 사고 대응 계획. 대응 계획은 암호화가 탐지되기 전에 데이터가 이미 유출되었을 가능성을 명시적으로 고려해야 하며, 그래야 법률, 커뮤니케이션, 규제 의무가 사후 고려되지 않습니다.

이러한 조치들은 특별히 새로운 것이 아닙니다. 중요한 것은 조용한 데이터 탈취 후 빠르고 간헐적인 암호화가 이어지는 LockBit 5.0 특유의 패턴을 염두에 두고 적용하는 것입니다.

이것이 의미하는 바

모든 규모의 조직에서 IT나 보안을 담당하고 있다면, 랜섬웨어 방어가 암호화 차단에만 머물러서는 안 된다는 실질적인 교훈을 얻을 수 있습니다. LockBit 5.0 이중 협박 공격은 백업 관행이 확실한 조직에서도 성공합니다. 탈취가 먼저 일어나고 압박 수단이 암호화에만 의존하지 않기 때문입니다. 이 시점에서 민감한 데이터를 어떻게 분할하고 누가 접근할 수 있으며 외부 전송이 모니터링되고 있는지 검토하는 것은 백업 위생만큼이나 중요합니다.

개인에게는 노출이 더 간접적이지만 여전히 실재합니다. 개인 데이터를 공유한 회사가 이런 종류의 캠페인에 피해를 입으면, 그 조직이 몸값을 지불하든 말든 여러분의 정보가 노출될 수 있습니다. 서비스에 공유하는 개인 데이터를 신중하게 선택하고, 이용하는 회사와 관련된 유출 통지를 주시하는 좋은 계기가 됩니다.