미 정보기관 경고 北 랜섬웨어 마우이 가 노리는 것
photo 픽사베이 7월 6일 미국 현지시간 미국 사이버 보안 담당기관인 미 사이버보안국 CISA 이 경고 AA22 187A 를 발령했다. 경고의 내용은 이랬다. 미 연방수사국 FBI 미 사이버보안국 미 재무부는 공동으로 일련의 해커들이 미국 전역의 의료기관을 목표로 랜섬웨어 공격을 하고 있다 고 밝혔다. 랜섬웨어는 몸값 Ransom 과 소프트웨어 Software 의 합성어로 시스템을 잠그거나 데이터를 암호화해 사용할 수 없도록 만든 뒤 이를 빌미로 금전을 요구하는 악성 프로그램을 말한다. 미국 측이 파악한 해커들은 북한 에 있다. 담당 기관들은 2021년 5월부터 북한의 해커들이 랜섬웨어 마우이 Maui 를 이용해 의료 기관을 공격해왔다고 밝혔다. 실제로 북한 해커들의 공격으로 피해를 입은 의료 기관들 중에는 오랫동안 정상 운영을 하지 못해 애를 먹은 곳도 있었다. 에릭 골드스타인 CISA 선임 디렉터는 이번 랜섬웨어를 국내 모든 규모의 조직에 중대한 위협 이라고 말했다. 이 기관들은 북한의 공격을 금전을 노린 것이라고 보고 있다. 생명을 다루는 의료서비스의 중단을 피하기 위해서라도 피해자가 돈을 지불할 가능성이 높기 때문이다. 의료기관들을 목표로 삼은 것도 그런 절박함 을 이용한 것이라고 추정한다. 북한 정찰총국과 연계된 해커들은 종종 외화 탈취를 위해 랜섬웨어를 유포해왔다. 지난 5월에도 미 보안업체 트렐릭스 Trellix 는 북한 해킹부대인 180 부대 와 관련한 해킹 조직이 변종 랜섬웨어 4종을 아시아 지역에 배포했다 고 보고했다. 이번 마우이 를 두고 미 연방수사국 FBI 미 사이버보안국 미 재무부는 절대 대가를 지불하지 말 것 을 권고하고 있다. 그렇게 한다고 해도 파일이나 기록이 복구된다는 보장이 없으며 북한 해커에게 금전을 건네는 행위는 대북 제재를 위반할 수 있어서다. 메시지도 없고... 보통의 랜섬웨어와 다르다 반대로 일부 보안 업체는 이게 정말 돈 때문일까 라는 의문을 갖고 있다. 보안 업체 스테어웰 Stairwell 의 실라스 커틀러 수석엔지니어는 마우이가 다른 보통의 랜섬웨어에서 흔히 볼 수 있는 기능들 중 빠져 있는 것들이 있다 고 분석했다. 일단 스테어웰은 마우이가 수동으로 암호화한다고 했다. 랜섬웨어는 자동으로 파일을 암호화하는 게 일반적이다. 스테어웰은 해커가 원격 운영으로 특정파일을 암호화하려는 것 같다 고 결론 내렸다. 랜섬웨어가 자동으로 암호화할 경우 무작위로 선정된 파일이 암호화 되는데 이럴 경우 중요하지 않은 파일들이 암호화될 수도 있다. 반대로 수동으로 조작한다면 해커가 노리는 파일만을 골라 공격하는 게 가능하다. 게다가 랜섬웨어는 보통 피해자들이 읽을 수 있는 협박 메시지 를 동봉하는데 마우이에는 그것도 없다. 해커는 랜섬웨어로 공격한 뒤 피해자와 커뮤니케이션을 해 무언가를 얻으려고 한다. 그러기 위한 공격이다. 그리고 노리는 것은 대부분 금전이다. 지난해 5월 미국 최대 송유관 운영기업인 콜로니얼 파이프라인이 랜섬웨어 공격으로 마비됐을 때도 해커는 75비트코인을 요구했다. 만약 피해자에게 아무런 메시지도 남기지 않는 랜섬웨어라면 사실 공격할 이유도 없다. AI 사이버 보안업체인 벡트라 Vectra 의 아론 터너 최고기술책임자 CTO 는 원격 운영자가 선택적으로 암호화하는 마우이는 단순한 랜섬웨어 활동이 아니다 라고 보고 있다. 그는 지적재산권 절도나 산업스파이 활동이 랜섬웨어와 결합됐을 가능성이 크다 고 말했다. 랜섬웨어로 눈길을 끌면서 뒤로는 다른 작업을 수행할 수 있다는 얘기다. 단순히 돈을 보고 움직인다고 보기에 마우이는 보편적이지 않아서다. ※주간조선 온라인 기사입니다.
미월 6일 미국 현지시간 미국 사이버 보안 담당기관인 미 사이버보안국 이 경고 AA22 187A 를 발령했는데 연방수사국 F 미 사이버보안국 미 재무부는 공동으로 일련의 해커들이 미국 전역의 의료기관을 목표로 시스템 잠식과 데이터 암호화를 빌미로 금전을 요구하는 악성 프로그램인 랜섬웨어 공격을 하고 있다고 밝혔다.