2025년 2분기 랜섬웨어 위협은 더욱 정교하고 파괴적인 양상으로 진화하고 있으며, 이에 따라 국내외 보안 기술 및 대응 체계도 강화되고 있다. 특히 RaaS(서비스형 랜섬웨어) 생태계에서 드래곤포스와 같은 새로운 공격자 모델이 등장하고, 암호화에 그치지 않고 파일 파괴나 데이터 탈취 방식까지 결합된 신종 위협들이 확산되고 있다. 이러한 복합 공격에 대응하기 위해 각국 사법당국의 국제 공조도 활발해지고 있으며, 보안 솔루션 기업들은 실시간 차단 기반의 기술 강화로 피해 최소화에 주력하고 있다.

보안 전문 기업 이스트시큐리티(대표 정상원)는 2025년 2분기 보안 솔루션 ‘알약’을 통해 총 5만8575건의 랜섬웨어 공격을 행위 기반 사전 차단 기능으로 탐지·차단했다고 밝혔다. 이는 하루 평균 약 637건에 달하는 수치로, 단일 솔루션의 실시간 대응 역량을 보여준다.

이스트시큐리티는 랜섬웨어 탐지 외에도 최신 위협 동향 분석을 통해 기업과 사용자 대상 예방 경고도 함께 제공하고 있다.

국제 공조 작전으로 악성코드 인프라 무력화...랜섬허브 해체도

2025년 5월 19일부터 22일까지 유로폴(Europol)과 유로저스트(Eurojust)의 주도로 ‘엔드게임 2.0(Operation Endgame 2.0)’ 작전이 진행돼 다나봇(DanaBot), 콕봇(Qakbot) 등 악성코드 그룹의 서버 300여 대를 압수하고 도메인 650개 이상을 무력화했다.

전년 ‘엔드게임 작전’에 이은 연속 타격으로, 국제 공조의 랜섬웨어 대응이 조직 체포를 넘어 핵심 인프라 무력화 단계로 진화하고 있다. 특히 다나봇은 인프라에 심각한 피해를 입어 복구까지 장기간 소요될 전망이다.

드래곤포스 부상...RaaS 생태계 재편 가속화

2025년 4월 RaaS 조직 랜섬허브(RansomHub)는 공식 활동 중단과 인프라 폐쇄를 발표했으며, 경쟁 조직 드래곤포스(DragonForce)가 이를 인수했다는 주장이 뒤따랐다. 드래곤포스는 “랜섬웨어 카르텔(Ransomware Cartel)”을 선언하고, 화이트라벨 모델 기반의 분산형 생태계를 구축하여 암호화 모듈, 관리자 대시보드 등을 파트너에 제공한다. 수익의 80%를 파트너에 배분하는 방식은 공격 유인을 더욱 강화하는 구조로, 위협의 범위가 급속히 확대되고 있다.

신규 랜섬웨어와 고도화된 공격 방식 확산

2025년 2분기에는 건라(Gunra), 사일런트(Silent), 제이그룹(JGroup), 다이어울프(DireWolf), 아이엠엔 크루(IMN Crew), 데이터캐리(DataCarry), 새턴록(SatanLock) 등 다수의 신종 랜섬웨어가 발견됐다. 건라는 콘티(Conti) 기반으로 개발됐으며, WMI(Windows Management Instrumentation)를 이용해 섀도 복사본을 삭제하고 이중 갈취 전략을 채택하고 있다.

아누비스(Anubis)는 파일을 암호화함과 동시에 파괴하는 와이퍼(Wiper) 기능을 내장해 협상력을 높이며, 세이프페이(SafePay)는 민감 데이터를 선별 탈취 후 시간차 공개 전략으로 진화했다. 포그(Fog)는 시스템 관리 도구와 오픈소스 툴을 결합해 자동 전파 및 탐지 우회 기능을 탑재했으며, 인터록(Interlock)은 클릭픽스(ClickFix)와 가짜 캡차(CAPTCHA)를 통해 전문가조차 피해자로 만들고 있다.

기업 보안 정책과 교육 강화 필요

이스트시큐리티 시큐리티 대응센터(ESRC) 관계자는 “드래곤포스와 같은 분산형 카르텔 모델이 랜섬웨어 생태계를 재편하고 있으며, 공격 방식은 더 정교하고 파괴적인 방향으로 고도화되고 있다”고 설명했다. 이어 “보안 담당자들은 최신 보안 패치를 신속히 적용하고, 사용자 접근 권한을 철저히 관리하며, 정기적인 보안 교육과 시스템 모니터링을 통해 사이버 공격에 대한 대응 체계를 지속적으로 강화해야 한다”고 강조했다.

국제 공조 작전과 선제 차단 기술은 고도화되는 랜섬웨어 위협을 막기 위한 핵심 수단으로 부상하고 있다. 특히 서비스형 모델의 진화는 사이버 공격의 장벽을 낮추고 있어, 기업과 기관은 기술적 대응뿐만 아니라 정책, 교육, 협업을 포괄하는 다계층 방어 전략을 갖춰야 한다. 국내 보안 기술이 이 같은 흐름에 발맞춰 실시간 탐지와 자동 대응 역량을 강화하는 데 집중하고 있는 점은 긍정적인 변화다.

[알림] GTT KOREA GTT SHOW는 오는 8월 12일 오후 2시부터 3시까지 “피해 큰 BPF Door 같은 커널 기반 악성코드 막는 EDR과 마이크로세그멘테이션 실전 보안 전략”을 주제로 웨비나를 진행합니다. BPF Door 같은 커널 기반의 악성코드가 사용하는 공격 기법과 침투 단계별 위협의 소개, EDR과 마이크로세그멘테이션이 어떻게 상호보완적으로 작동하여 침입 초기 탐지부터 내부 확산 차단까지 이어지는 보안 체계의 구축 전략과 새로운 형태의 변종 공격에 유연하게 대응하는 제로 트러스트 기반 보안 전략을 실전 사례와 함께 제시합니다.