새로운 랜섬웨어 계열이 아시아 IT 기업을 표적으로 삼다

이전에 알려지지 않은 스파이럴스(Spirals)라는 랜섬웨어 계열이 아시아의 한 IT 기업을 공격한 사례에서 확인되었다. 조사관들은 위협 행위자들을 전용 .onion 사이트로 추적했으며, 해당 사이트에서 공격자들은 자신들의 악성코드를 스파이럴스라고 부르고 있었다. 덕분에 연구자들은 그동안 탐지망 아래에서 활동하던 위협에 이름을 붙일 수 있게 되었다.

감염된 시스템에 남겨진 랜섬 노트는 단호하다. 6일 이내에 지불하지 않으면 공격자들이 탈취한 데이터를 공개한다는 내용이다. 피해자는 Tor 기반 포털로 이동해 비공개로 협상 조건을 논의해야 한다. 이는 전형적인 이중 협박(double-extortion) 구도다. 공격자는 파일을 단순히 잠그는 데 그치지 않고 암호화를 시작하기 전 민감한 데이터의 복사본을 먼저 빼돌려 피해자에게 두 가지 압박 수단을 동시에 확보한다.

최초 보도는 단일 IT 기업을 중심으로 이루어졌지만, 이름 붙은 .onion 유출 사이트, 엄격한 마감 시한, 익명 협상 채널 같은 수법은 현대 랜섬웨어 운영자들이 협박 사업을 수행하는 방식과 정확히 일치한다. 따라서 스파이럴스가 현재까지 표적으로 삼은 분야와 거리가 먼 조직이라도 이 위협을 이해할 가치가 있다.

공격 사슬 내부: 침해부터 Tor 기반 협박까지

이중 협박 공격은 대체로 예측 가능한 순서를 따른다. 공격자는 먼저 피싱, 노출된 원격 접속 서비스, 혹은 유출된 자격 증명 등을 통해 네트워크에 접근한다. 내부에 침투한 뒤에는 가치 있는 데이터와 시스템을 찾아 측면 이동하고, 민감한 파일의 복사본을 빼낸 다음 비로소 암호화 페이로드를 실행해 피해자가 자신의 시스템에 접근하지 못하게 만든다.

스파이럴스가 주목받는 지점은 이 마지막 단계의 속도다. 별도의 기술 분석에 따르면 스파이럴스 랜섬웨어는 24시간 이내에 네트워크 전체를 암호화할 수 있으며, 이는 기존의 많은 랜섬웨어 계열을 훨씬 능가하는 속도다. 이 속도는 암호화가 핵심 시스템을 잠그기 전까지 방어자가 침입을 탐지하고 억제할 수 있는 시간을 크게 단축시킨다. 바로 이 때문에 활성 감염 상황에서의 대응 시간이 그토록 중요한 것이다.

암호화가 완료되면 피해자는 Tor 포털로 연결되는 랜섬 노트만 남게 된다. 탈취된 데이터 공개까지 6일이라는 마감 시한은 법률 고문, 사고 대응팀, 법 집행 기관이 함께 신중하고 조정된 대응을 허용하기보다는 빠른 결정을 강요하는 압박 전술이다.

공격자가 협상에 Tor를 사용하는 이유, 그리고 그것이 보호하지 못하는 것

Tor는 협상 포털과 유출 사이트를 운영하는 랜섬웨어 운영자에게 자연스러운 선택이다. 이 네트워크는 트래픽을 여러 중계기를 거쳐 전송하기 때문에 사이트 운영자의 물리적 위치나 신원을 추적하기 어렵다. 협박을 사업처럼 운영하는 범죄 조직 입장에서 이 익명성은 인프라를 노출해 차단당할 위험 없이 공개 유출 사이트와 비공개 협상 채팅을 호스팅할 수 있게 해준다.

하지만 이런 시나리오에서 Tor 익명성이 해내는 것과 해내지 못하는 것을 분명히 해둘 필요가 있다. Tor가 보호하는 것은 공격자의 신원과 위치일 뿐, 피해자의 데이터가 아니다. 일단 파일이 유출된 후에는 Tor 협상 채널이 있다고 해서 민감한 정보가 이미 피해자의 통제를 벗어났다는 근본적인 사실이 바뀌지 않는다. 익명 채널을 통해 랜섬머니를 지불한다고 해서 탈취된 데이터가 실제로 삭제된다는 보장은 없으며, 나중에라도 판매되거나 재차 유출되지 않는다는 담보도 없다. 익명성 도구는 공격자의 운영 보안을 위한 것이지, 피해자의 데이터를 복원하거나 침해 사고를 되돌리는 데 아무런 도움이 되지 않는다.

방어 조치: 백업, 네트워크 분할, 사고 대응

스파이럴스 사례에서 얻는 실질적인 교훈은 Tor에 관한 것이 아니라, 공격이 시작되기 전부터 갖춰야 할 복원력에 관한 것이다. 이중 협박 랜섬웨어에 대항해 가장 큰 차이를 만드는 몇 가지 조치는 그리 복잡하지 않다.

  • 암호화된 오프라인 백업: 운영 네트워크와 격리되어 활성 침입 중에는 접근하거나 변경할 수 없는 백업은 여전히 랜섬머니 지불 없이 복구할 수 있는 가장 신뢰도 높은 방법 중 하나다.
  • 네트워크 분할: 초기 침투 후 공격자가 측면 이동할 수 있는 범위를 제한하면, 하나의 거점이 네트워크 전체 암호화 사태로 번지는 것을 막을 수 있다. 스파이럴스처럼 확산 속도가 빠른 계열에서는 더욱 중요하다.
  • 신속한 탐지 및 대응: 24시간 이내라는 암호화 소요 시간이 문서화된 이상, 최초 침투부터 완전한 잠금까지의 간격은 좁을 수밖에 없다. 비정상적인 데이터 전송과 권한 상승을 모니터링하면 암호화가 시작되기 전에 방어자가 개입할 가능성을 높일 수 있다.
  • 사고 대응 계획 수립: 법률, 커뮤니케이션, 기술 대응 역할을 사전에 정해둔 계획이 있으면 조직은 6일이라는 마감 압박 속에서 성급한 결정을 내리지 않을 수 있다.

이것이 시사하는 바

대부분의 독자가 랜섬웨어 Tor 협상 포털을 직접 마주할 일은 없겠지만, 스파이럴스 사례는 이런 공격이 어떻게 구성되는지, 그리고 양측 모두에게 속도가 왜 중요한지를 상기시키는 유용한 자료다. IT 공급자든 디지털 인프라에 의존하는 모든 비즈니스든 민감한 데이터를 다루는 조직이라면, 산업군과 무관하게 이중 협박 랜섬웨어 Tor 전술에 대한 노출 위험은 현실적이다. 핵심 방어는 공격자의 익명성 도구 사용에 맞서 싸우는 것이 아니라, 암호화도 유출 위협도 제대로 된 협상 레버리지를 갖지 못할 정도로 자신의 데이터와 시스템이 복원력 있게 만드는 일이다.

실행 가능한 핵심 사항

  • 존재 여부뿐 아니라 복원 속도까지 정기적으로 테스트하는 오프라인 암호화 백업을 유지하라.
  • 감염된 단일 엔드포인트가 전체 암호화로 번지지 않도록 네트워크를 분할하라.
  • 암호화 활동뿐 아니라 비정상적인 데이터 유출 징후까지 탐지할 수 있는 도구에 투자하라.
  • 랜섬 마감 시한 아래에서 당황하지 않도록 지금 사고 대응 계획을 수립하라.
  • 스파이럴스가 얼마나 빠르게 네트워크를 암호화하는지 확인하려면 24시간 이내 암호화 타임라인에 대한 기술 분석을 읽고 대응 가능 시간이 실제로 얼마나 좁은지 이해하라.