한미 합동 사이버보안 권고문 배포
건라, 2025년 등장해 '서비스형 랜섬웨어'로 확대
다크웹에 피해기업 명단·자료 일부 게시…백업자료 삭제 사례도
한미 수사당국이 국제 랜섬웨어 조직 '건라(GUNRA)'의 최신 공격 수법을 공개하고 기업과 기관에 보안 강화를 당부했다.
경찰청 국가수사본부는 11일 미국 연방수사국(FBI)과 사이버보안·인프라보안국(CISA), 국가안보국(NSA), 국방부 사이버범죄센터(DC3), 비밀경호국(USSS)과 함께 건라 랜섬웨어에 대한 사이버보안 권고문을 배포했다고 밝혔다.
이번 권고문에는 한미 수사기관의 공동수사 과정에서 확보한 최신 공격기법과 침해지표가 담겼다.
건라는 지난해 4월 처음 확인된 국제 랜섬웨어 조직이다. 올해 1월부터는 랜섬웨어 개발자가 공격 도구를 다른 범죄자에게 제공하고 공격에 성공하면 몸값을 나눠 갖는 '서비스형 랜섬웨어(RaaS)' 형태로도 운영되고 있다.
경찰과 FBI 분석에 따르면 건라 공격자는 보안장비 등 시스템의 취약점을 악용해 네트워크 접근 권한을 확보한 뒤 기업이나 기관 내부에 침투해 랜섬웨어를 유포하는 것으로 나타났다. 공격 대상은 보건의료와 금융, 제조·건설, 운송·물류, 정부·공공시설 등 다양한 분야에 걸쳐 있다.
이들은 단순히 파일을 암호화하는 데 그치지 않고 이른바 '이중 탈취형' 수법도 사용하는 것으로 확인됐다. 파일을 암호화하기 전에 내부 데이터를 빼낸 뒤 피해 기업에 돈을 요구하는 방식이다.
다크웹 사이트에 피해 기업 명단과 탈취 자료 일부를 올리고, 돈을 지급하지 않으면 자료를 공개하거나 판매하겠다고 협박한 사례도 확인됐다.
복구 자체를 어렵게 만드는 수법도 동원했다. 한 피해 사례에서는 주 데이터센터와 재해복구센터에 저장된 백업·보관 자료까지 삭제한 것으로 파악됐다.
한미 당국은 랜섬웨어 피해를 막기 위해 가상사설망(VPN)과 원격접속 등 외부 접근을 통제하고 최신 보안패치를 적용할 것을 권고했다. 다중인증을 통한 계정 관리 강화와 안전한 백업체계 구축도 필요하다고 강조했다.
권고문에 포함된 침해지표를 활용해 시스템 기록과 이상 행위를 점검하고, 랜섬웨어 감염이나 침해 정황이 발견되면 공격자와 직접 접촉하지 말고 경찰에 신고할 것도 당부했다.
독자들의 PICK!
경찰청 국가수사본부는 현재 건라 랜섬웨어와 관련한 공격을 수사하고 있다. 추가로 확보하는 위협정보도 관계기관과 기업에 공유할 계획이다.
경찰 관계자는 "유사한 랜섬웨어 공격에 대비해 국제사회 및 민·관 협력을 강화하고 대응 역량을 높여나갈 방침"이라고 밝혔다.
