- 랜섬웨어 실행 하루 전 정보 수집·원격 명령 수행…제조·IT·의료·금융 등 공격

 

카스퍼스키가 랜섬웨어 조직 ‘더 젠틀맨(The Gentlemen)’이 자체 개발한 백도어와 윈도우용 신규 랜섬웨어를 활용하고 있다고 발표했다. 공격자는 랜섬웨어를 실행하기 전에 감염 시스템과 네트워크 정보를 수집하고 원격 명령을 수행하며, 제조와 IT 서비스, 의료, 금융, 건설, 물류 등 여러 산업을 겨냥한다. 더 젠틀맨은 2025년 중반 등장한 것으로 알려진 서비스형 랜섬웨어(RaaS) 조직이다. 인터넷에 노출된 서비스의 취약점을 악용하거나 탈취한 계정 정보로 피해 시스템에 침투하며, 초기 접근 브로커(IAB)를 통해 기업 내부 접근 권한을 확보했을 가능성도 제기됐다. 카스퍼스키 글로벌 연구분석팀(GReAT)은 일부 피해 시스템에서 더 젠틀맨이 주로 사용하는 방식과 다른 침투 기법이 랜섬웨어 감염 훨씬 전부터 실행된 사실을 확인하고, 연구진은 최초 침투를 다른 위협 행위자나 IAB가 수행한 뒤 더 젠틀맨에 접근 권한을 넘겼을 가능성이 있다고 분석했다.

 

랜섬웨어 실행 하루 전 맞춤형 백도어 설치

더 젠틀맨은 랜섬웨어를 실행하기 하루 전에 고(Go) 언어로 개발한 맞춤형 백도어를 설치했다. 백도어는 감염 시스템과 네트워크 정보를 수집하고 콘솔 창을 숨겨 실행 흔적을 줄인다. 공격자는 백도어를 통해 감염된 시스템과 양방향으로 통신하며 서버에서 전달한 명령을 실행한다. 내부 환경을 정찰한 뒤 다른 시스템으로 공격 범위를 넓히고, 피해 조직의 환경에 맞춰 후속 작업을 이어간다. 일반적인 RaaS 조직이 외부에서 확보한 도구를 조합하는 것과 달리 더 젠틀맨은 자체 개발 도구와 여러 침투 방식을 함께 사용한다.

 

C 언어 기반 윈도우용 랜섬웨어 시험

카스퍼스키는 C 언어로 개발한 새로운 랜섬웨어 변종도 발견했다. 현재까지 일부 기업에서만 피해가 확인됐으며, 윈도우 환경을 겨냥해 제작된 것으로 분석됐다. 더 젠틀맨은 기존에 여러 운영체제에서 실행할 수 있는 고 언어 기반 랜섬웨어를 주로 사용했다. 신규 변종은 특정 운영체제에 맞춘 공격 도구를 실제 피해 환경에서 시험하는 단계로 보인다. 공격 과정에서는 카스퍼스키 제품 제거 도구인 ‘kavrmvr.exe’를 이용해 보안 솔루션 삭제도 시도했다. 카스퍼스키 보안 솔루션은 실행 상태를 유지했으며 해당 작업을 악성 행위로 탐지해 차단했다.

 

중남미 랜섬웨어 탐지 비율 8.13%

카스퍼스키 시큐리티 네트워크(KSN)에 따르면 2025년 랜섬웨어 탐지 비율이 가장 높은 지역은 중남미로 8.13%를 기록했다. 아시아·태평양은 7.89%, 아프리카 7.62%, 중동 7.27%, 독립국가연합(CIS) 5.91%, 유럽은 3.82%로 집계됐다. 카스퍼스키는 지난 5월 12일 국제 랜섬웨어 대응의 날을 맞아 해당 수치를 포함한 최근 랜섬웨어 동향 보고서를 발표했다.

 

카스퍼스키 글로벌 연구분석팀 파티흐 센소이(Fatih Şensoy) 보안 전문가는 “더 젠틀맨은 비교적 최근 등장한 랜섬웨어 조직이지만 빠르게 영향력을 넓히며 제휴 조직을 확보하고 주요 공격을 수행하고 있다”며 “새롭게 확인된 C 기반 랜섬웨어 변종 시험은 공격 역량을 계속 높이고 있음을 보여주며, 기업은 취약점 관리와 시스템 보안을 우선해 침해 위험을 줄여야 한다”고 밝혔다.

 

#카스퍼스키 #더젠틀맨 #TheGentlemen #랜섬웨어 #백도어 #서비스형랜섬웨어 #RaaS #초기접근브로커 #IAB #사이버보안 #악성코드 #윈도우랜섬웨어