메두사 랜섬웨어가 중요 인프라에 대한 위협이 증가하는 이유

메두사는 항상 괴물 그 이상의 존재였습니다.  

고대 신화 에서 그녀의 시선은 남자를 돌로 변하게 했다. 르네상스 시대에 그녀는 아름다움이 치명적인 결과로 이어진 상징이었다. 오늘날 그녀는 변화의 상징으로 재조명받으며 패션, 대중문화, 그리고 여성 역량 강화의 상징으로 자리매김하고 있다.

오늘, 그녀는 대리석이나 신화 속이 아닌, 악성 소프트웨어의 형태로 돌아왔습니다. 2021년 6월 부터 활동해온 메두사의 서비스형 랜섬웨어(RaaS) 사업이 현재 전 세계 주요 기반 시설에 대한 공격을 강화하고 있습니다. 대상 산업 분야는 의료, 교육, 법률, 보험, 기술 및 제조 산업을 포함합니다.

2025년 첫 두 달 동안 메두사 랜섬웨어 공격 건수는 작년 같은 기간에 비해 두 배로 증가했습니다 . 이는 메두사 랜섬웨어가 쇠퇴하는 것이 아니라 오히려 가속화되고 있음을 나타내는 급격한 증가세입니다.

신화에서 메두사를 보는 것은 죽음을 의미했습니다. 사이버 보안에서 그녀를 간과하는 것은 전력, 물, 교통, 금융 시스템, 그리고 대중의 신뢰 등 세상을 움직이는 기반 시설을 위협할 수 있습니다. ‍

CISA와 FBI의 공동 경고

2024년 2월, CISA와 FBI는 #랜섬웨어중단: 메두사 랜섬웨어라는 공동 경고문을 발표했습니다.

병원, 금융기관, 학교, 정부 기관 등 300개 이상의 단체가 이미 피해를 입었습니다.

각 기관은 이러한 긴급 조치를 권고했습니다:

• 운영 체제, 소프트웨어 및 펌웨어가 패치되고 최신 상태인지 확인하세요.
• 네트워크를 세그먼트화하여 측면 이동을 제한합니다.
• 알 수 없거나 신뢰할 수 없는 출처에서 원격 서비스에 액세스하는 것을 방지하여 네트워크 트래픽을 필터링하세요.

랜섬웨어는 이제 국가적 위험입니다

랜섬웨어가 항상 이렇게 위험했던 것은 아닙니다. 1989년, 최초로 알려진 랜섬웨어 공격인 ' 에이즈 트로이목마 '는 플로피 디스크를 통해 유포되었으며, 우편으로 189달러의 몸값을 요구했습니다.

오늘날 Illumio의 글로벌 랜섬웨어 비용 연구 에 따르면 다음과 같습니다.

• 25% 공격 중 평균 12시간 동안 중요 시스템이 다운됩니다.
• 평균 몸값 요구액은 120만 달러를 초과합니다.
• 결제 후에도 모든 데이터를 복구한 피해자는 13%(% )에 불과했습니다.
• 봉쇄에는 130시간(약 11일) 이상, 약 18명의 인력이 투입됩니다.

랜섬웨어는 단순한 사이버 위협이 아닙니다. 시간과 돈, 그리고 인내심을 소모하는 일입니다. 그리고 이러한 문제가 핵심 기반 시설을 강타할 경우, 재정적 파탄을 초래하고, 공공의 안전을 위협하며, 심지어 정부를 불안정하게 만들 수도 있습니다.  

중요 인프라가 노출되는 이유

중요 기반 시설이 랜섬웨어의 표적이 되는 데에는 중요한 이유가 있습니다. 바로 그것이 중요하기 때문입니다.

"중요 인프라는 본질적으로 필수적이며, 이를 무너뜨릴 경우 그 파급 효과는 엄청납니다."라고 일루미오의 중요 인프라 솔루션 디렉터인 트레버 디어링은 말합니다. "중요 서비스에 대한 진정한 위협은 전기, 수도, 교통 시스템이 오프라인 상태가 되는 등 운영이 중단될 때입니다. 그때부터 상황이 정말 위험해집니다."

전력망에서 파이프라인에 이르기까지 사회의 근간은 종종 오래되고 패치할 수 없는 기술, 특히 레거시 ICS 및 SCADA 시스템으로 운영됩니다.

일루미오의 유럽-중동-아프리카 지역 시스템 엔지니어링 디렉터인 마이클 아제이는 이에 동의합니다.

"이러한 시스템은 업데이트하기 어렵고 공격자가 쉽게 악용할 수 있습니다."라고 그는 말합니다. "따라서 메두사와 같은 랜섬웨어의 이상적인 표적이 될 수 있습니다."

현대화의 속도가 빨라지고 있지만, 중요 인프라의 보안은 종종 뒤처지는 경우가 많습니다.

"유선 제어 시스템이 보안에 미치는 영향을 충분히 고려하지 않은 채 이더넷과 Wi-Fi로 대체되고 있습니다."라고 Dearing은 말합니다. "또한 많은 제조업체가 기본 보안이 취약한 장비를 출시하고 조직이 보안을 강화하기 위해 할 수 있는 일을 제한합니다."

많은 중요 인프라 조직은 공공 소유이거나 국가 자금에 의존하고 있습니다. 이는 느린 조달, 복잡한 감독, 제한된 예산을 의미합니다. 다시 말해, 방어가 제대로 이루어지지 않는 거대한 표적이라는 뜻입니다.

중요 인프라에 대한 공격이 얼마나 심각해질 수 있을까요?

CISA와 NSA의 공동 보고서 에 따르면, 2023년에는 가장 흔한 취약점 15개 중 11개가 제로데이 취약점으로 악용되었습니다. 공격 속도와 규모는 공격자들이 방어자들이 취약점을 패치하기 전에, 특히 중요 시스템에서 얼마나 빠르게 취약점을 무기화하는지를 보여줍니다. 랜섬웨어 공격 방식이 진화함에 따라 공격자들은 사소한 취약점을 심각한 위협으로 전환하여 핵심 기반 시설을 불안정하게 만들고 필수 서비스를 중단시킬 가능성을 높이고 있습니다.  

하이브리드 시대를 위해 개발된 랜섬웨어

메두사는 제로데이 취약점이나 요란한 익스플로잇을 필요로 하지 않습니다. 조용하게 작동하며, 클라우드 앱이 온프레미스 데이터 센터에 연결될 수 있는 하이브리드 환경에 맞게 설계되었습니다. ‍

메두사는 네트워크 내부에 이미 존재하는 도구를 활용하여 탐지를 회피하는데, 이를 '네트워크 내부에서 살아남기(living off the land , LotL)'라고 합니다. 새로운 악성 소프트웨어를 유포하는 대신, 내장 프로그램과 취약점을 악용하여 정상적인 운영 체제에 섞여 들어갑니다.

여기에는 다음이 포함될 수 있습니다:

• PowerShell
• WMI(Windows 관리 계측)
• 원격 데스크톱 프로토콜(RDP)
• ConnectWise ScreenConnect
• SSH(Linux 및 Unix 시스템에서)  

"이러한 도구는 허용되고 신뢰할 수 있으며 공격자가 원하는 액세스 권한을 이미 가지고 있습니다."라고 Adjei는 말합니다. "도구보다는 도구의 권한과 범위가 더 중요합니다."

스크린커넥트나 솔라윈즈와 같은 원격 관리 소프트웨어는 사전 승인된 상태로 제공되기 때문에 특히 매력적입니다. 대규모로 연결, 모니터링 및 제어하도록 설계된 이 기능은 공격자가 시스템 전반에 걸쳐 즉각적인 영향력을 행사할 수 있는 힘을 배가시킵니다.

랜섬웨어가 IT 시스템처럼 행동할 때는 경보를 울리지 않을 수도 있습니다.

아제이의 말처럼, "최신 랜섬웨어는 정문을 부수고 들어오는 것이 아니라, 마치 스파이처럼 잠입합니다."

측면 이동: 메두사가 퍼지는 방법

공격자는 자신이 원하는 곳이 아닌 쉬운 곳에 공격합니다. 그런 다음 크라운 주얼에 도달할 때까지 시스템별로 네트워크를 통해 조용히 이동합니다.

측면 이동 에는 두 가지 유형이 있습니다.

• 호스트 내재적 권한 상승: 시스템 내부에서의 권한 상승(예: svc-ndscans)
• 호스트 외부 방식: RDP 또는 WinRM을 통해 컴퓨터 간 이동

일반적인 메두사 공격에서는 두 가지 유형이 함께 작용합니다. 첫째, 그들은 기기 내부의 제어권을 확보합니다. 그런 다음, 그들은 그 접근 권한을 이용하여 조용히 네트워크 전체로 퍼져나갑니다. ‍

데이터 유출 및 이중 탈취  

메두사는 또한 데이터를 암호화하고 유출하는 이중 갈취 방식을 사용하며, 복구를 위해 몸값을 요구하고 훔친 데이터를 온라인이나 다크 웹에 게시, 판매 또는 유출하지 않겠다는 약속을 요구합니다.

마지막 단계에서는 공격자가 민감한 데이터를 찾아서 훔쳐서 명령 및 제어 서버로 다시 보냅니다. 이러한 콜백 트래픽은 DNS 텍스트 레코드 또는 ICMP 패킷과 같은 기술을 사용하여 일반적인 통신 포트를 통해 터널링될 수 있으며, 이는 기존의 방어 체계를 눈에 띄지 않게 통과하도록 설계된 방법입니다.

메두사를 외면하지 마세요

오늘날 랜섬웨어 위협의 범위, 규모, 위험성에 대해 자세히 알아보세요:

• 최근 진행된 웨비나, '숫자로 보는 랜섬웨어'를시청하세요.
• 랜섬웨어의 전 세계적 비용 연구 보고서를다운로드하세요.