안랩과 전쟁나선 랜섬웨어 제작자…'갠드크랩'이 뭐길래

갠드크랩 감염화면./ 사진=블리핑 컴퓨터 닷컴

#"내가 발견한 보안 허점은 향후 몇 년간 안랩의 오점이 될 것이다."

지난 3일(현지시간) 미국 보안전문 매체 블리핑닷컴에는 자신을 '갠드크랩' 제작자라고 밝히는 한 사람이 접근해왔다. 이 사람은 "안랩의 킬 스위치에 대한 답변"이라며 "V3를 공격하는 코드를 삽입해 보복할 것"이라고 밝혔다. 안랩이 랜섬웨어의 킬스위치(암호화 차단 도구)를 만들어내자 보복에 나서겠다는 것.


실제로 캔드크랩 제작자의 이 같은 도발 이후 발견된 갠드크랩 4.3 버전에는 V3를 노린 악성코드가 다수 포함됐다. 이 악성코드들은 V3 프로그램의 과부하를 일으켜 최악의 경우 컴퓨터에 블루스크린을 띄우는 등 먹통으로 만든다. 그러나 안랩 측은 이 같은 내용은 블리핑컴퓨터로부터 전달받고 패치를 진행, 곧바로 대응 태세를 마련했다.

이 같은 신경전은 처음이 아니다. 안랩이 랜섬웨어의 공격을 무력화시키는 툴을 유포하면, 곧바로 이를 우회하는 변종코드를 제작하는 등 갠드크랩 제작자는 안랩과 신경전을 벌여왔다. 가령 안랩이 지난달 13일 갠드크랩 4.1과 4.1.1 버전을 무력화시킬 수 있는 킬스위치와 암호화 방지 툴을 공개하자 이후 4일 만에 변종이 등장했다. 갠드크랩 4.1.2로 불리는 변종은 허점을 보완, 알고리즘을 복잡하게 변경했다. 안랩이 새로운 암호화 차단 툴을 무료 배포하자 3일 뒤인 20일 또 다른 변종을 생산해냈다. 이 변종에는 안랩을 모욕하는 이미지 링크까지 넣었다.

랜섬웨어 '갠드크랩' 4.1.2 버전에 삽입된 안랩 조롱 문구./ 사진=안랩

갠드크랩은 감염 PC 주요 파일을 암호화하고 확장자를 변경한 뒤 데이터를 복구하려는 피해자에게 금전을 요구하는 랜섬웨어 악성코드다. 올해 1월 국내에 처음 등장한 후 피해를 늘려가는 추세다. 안랩에 따르면 갠드크랩 감염 수는 올해 1월 118개에서 2월 1165개로 급증했다. 다음 달인 3월에는 1723개를 기록, 4월에는 6만4809개로 감염 건 수가 껑충 뛰었다. 기승을 부리던 5월에는 10만9271대가 감염됐다. 그러나 안랩이 대응에 나서면서 6월에는 3만6345건으로 다소 감소했다.


갠드크랩은 웹사이트 접속 중 취약점을 통한 자동 감염, 메일 첨부파일 또는 링크를 통한 감염, 크랙 또는 정상 프로그램으로 위장해 사용자가 파일을 실행하도록 유도하는 등 다양한 방식으로 유포되고 있다. 특히 이력서 혹은 검찰 소환 통지서, 이미지 무단 사용에 대한 경고장 등으로 위장해 유포되면서 일반인의 피해가 커지고 있다. 첨부파일 확장자명도 실행파일이 아닌 것처럼 위장했다. 문서 파일을 뜻하는 ‘.doc’나 ‘.js’부터 국내 사용자들이 많이 사용하는 압축파일 확장자명인 ‘.egg’도 발견되고 있다. 이 때문에 일각에서는 지난해 5월 등장해 150여개국으로 퍼지며 최소 30만대 이상 감염시킨 랜섬웨어 ‘워너크라이’의 악몽이 재현되는 것 아니냐는 우려가 제기되기도 했다. 이에 안랩이 킬 스위치를 찾아내 피해 막기에 나서자 데이터 몸값으로 받는 가상통화 수익이 줄면서 화가 난 해커가 안랩을 상대로 '해킹 전쟁'을 선포했던 것이다.

안랩 측은 "갠드크랩이 새 버전에 넣은 공격 코드는 일반 파일을 감염시킨 후에 실행되는 데 V3가 감염 자체를 차단하는 만큼 작동하지 않는다"며 "다만 갠드크랩 제작자가 지속적으로 새 버전을 만들어온 만큼 이용자들은 출처가 불분명한 이메일에 첨부된 링크나 첨부파일을 주의해야할 것"이라고 말했다.