크라임웨어의 수익 구조와 조직 방어 전략

금전화를 목적으로 진화한 악성코드

크라임웨어(Crimeware)는 금전적 이득을 위해 만들어진 악성 소프트웨어를 가리킨다. 이 용어는 2005년 안티피싱 워킹그룹(APWG)에서 처음 사용됐으며, 현재는 사이버 보안에서 중요한 위협 범주로 다뤄진다.

초기의 크라임웨어는 키로거와 스파이웨어처럼 정보를 빼내는 데 집중했다. 이후 금융 정보를 노리는 악성코드와 랜섬웨어가 등장했고, 산업 스파이와 국가 기반시설 공격까지 목표가 확장됐다. 이 변화는 악성코드 기능의 고도화뿐 아니라 사이버 범죄 생태계가 분업화된 결과이기도 하다. Crimeware-as-a-Service(CaaS)가 자리 잡으면서 기술 지식이 부족한 범죄자도 공격 도구와 인프라를 활용할 수 있게 됐다.

⤢✕

공격 목적에 따라 달라지는 크라임웨어

랜섬웨어는 시스템이나 데이터를 암호화한 뒤 복구를 대가로 금전을 요구한다. 이메일 첨부파일, 악성 웹사이트, 취약점 공격을 침투 경로로 삼으며 WannaCry, Petya, Ryuk, REvil 등이 사례로 언급된다. 암호화 알고리즘과 암호화폐 지불 요구가 결합되고, 데이터 탈취 뒤 유출을 위협하는 이중 갈취도 사용된다.

뱅킹 트로이목마(Banking Trojan)는 금융 정보 탈취를 목적으로 설계된다. 정상 프로그램으로 위장하거나 웹 인젝션 기법을 사용하며, Zeus, Emotet, TrickBot 등이 대표 사례다. 맨인더브라우저(MitB), 키로깅, 화면 캡처 기능을 통해 금융 거래 정보를 노린다.

정보 탈취형 악성코드(Information Stealer)는 개인정보, 계정 정보, 쿠키를 수집한다. 브라우저 확장 프로그램이나 가짜 애플리케이션으로 위장할 수 있으며 Redline, Raccoon, Vidar 등이 사례다. 브라우저에 저장된 정보와 암호화폐 지갑, 시스템 정보가 주요 탈취 대상이다.

크립토재킹(Cryptojacking)은 피해자의 컴퓨팅 자원을 무단으로 이용해 암호화폐를 채굴한다. 웹사이트 방문 과정에서 스크립트를 실행하거나 악성코드 감염을 통해 동작하며, 시스템 자원 소모와 전력 소비 증가, 낮은 탐지율을 특징으로 한다.

감염은 신뢰와 취약점을 함께 노린다

피싱과 소셜 엔지니어링은 사용자의 판단을 공격 표면으로 만든다. 이메일 피싱은 위장된 발신자와 긴급성을 내세운 메시지로 악성 첨부파일 실행을 유도한다. 스피어 피싱은 특정 개인이나 조직을 겨냥하며, 비즈니스 이메일 침해(BEC)는 기업 임원 또는 파트너사를 사칭한다.

운영체제와 애플리케이션의 보안 결함은 취약점 공격의 표적이 된다. 패치가 발표되기 전 알려지지 않은 취약점을 활용하는 제로데이 공격도 여기에 포함된다. 드라이브 바이 다운로드는 웹사이트를 방문하는 것만으로 악성코드가 설치되는 방식이다.

공급망 공격은 신뢰하던 소프트웨어 공급자를 경유한다. 정품 업데이트 메커니즘을 악용해 악성코드를 퍼뜨릴 수 있으며, SolarWinds 해킹과 Kaseya 랜섬웨어 공격이 사례로 제시된다.

⤢✕

범죄 생태계가 제공하는 서비스와 거래

CaaS는 악성코드 개발과 공격 실행을 분리한다. 서비스형 랜섬웨어(RaaS)는 개발자가 공격자에게 악성코드와 인프라를 제공하고 수익을 공유하는 모델이다. 피싱 페이지 제작, 호스팅, 이메일 발송을 묶어 제공하는 서비스형 피싱 킷도 있다. 이 모델은 진입장벽을 낮추고 범죄 역할을 전문화하며 구독 모델을 채택한다.

다크웹 마켓플레이스에서는 악성코드와 익스플로잇 킷, 탈취한 계정 정보·카드 정보·개인식별정보가 거래된다. 주문형 해킹이나 DDoS 공격 서비스도 제공된다.

수익화 방식은 랜섬웨어 몸값처럼 직접 갈취하는 형태에 그치지 않는다. 탈취한 정보를 다크웹에서 판매하거나, 침투한 네트워크의 접근권한을 Initial Access Broker를 통해 판매할 수 있다. 금융계정과 온라인 서비스 계정에 접근해 불법 거래를 수행하는 계정 탈취도 포함된다.

예방부터 복구까지 이어지는 방어 체계

기술 통제는 여러 계층에서 구성된다. 엔드포인트에서는 EDR/XDR 솔루션과 행위 기반 탐지를 활용할 수 있고, 네트워크에서는 침입탐지·방지 시스템, 방화벽, 네트워크 세그먼테이션을 적용한다. 이메일 영역에서는 스팸 필터링, 첨부파일 샌드박스 분석, DMARC/SPF/DKIM 구현이 대응 수단이 된다. 정기적인 패치 적용, 취약점 스캐닝, 보안 업데이트도 취약점 관리의 일부다.

운영 측면에서는 임직원 대상 정기 보안 교육과 피싱 시뮬레이션, 사이버 공격 대응 프로세스와 정기 모의훈련이 필요하다. 백업은 3-2-1 전략, 즉 3개 복사본·2개 미디어·1개 오프라인이라는 구성을 따른다. 제로 트러스트 아키텍처는 ‘신뢰하지 않고 항상 검증’하는 원칙을 적용한다.

사이버 보험은 랜섬웨어 등을 포함한 사이버 공격 손실을 보상하는 수단이 될 수 있다. 국가 간 수사 협력과 정보 공유, 범죄자 추적 및 처벌 강화 역시 정책·법적 대응 범주에 속한다.

⤢✕

공격과 방어가 향하는 변화

랜섬웨어는 데이터 암호화에 데이터 유출 위협을 결합하는 이중 갈취 전략으로 발전하고 있다. 스마트 기기와 산업용 IoT 장비를 겨냥하는 공격, 소프트웨어 업데이트와 개발 파이프라인을 경유하는 공급망 공격도 증가하고 있다. 사이버 보험 가입 조직을 우선 표적으로 삼는 전략도 등장했다.

앞으로는 인공지능 기반 피싱과 자동화된 취약점 탐색, 클라우드 서비스의 취약점을 노린 크라임웨어가 늘어날 수 있다. 국가 행위자와 범죄 조직의 경계가 모호해지고, NFT와 메타버스 등 새로운 디지털 자산도 공격 대상이 될 수 있다.

방어 기술은 행위 기반 탐지와 이상 징후 포착을 위한 AI 활용, 허니팟과 디코이 시스템으로 공격자를 유인하고 탐지하는 디셉션 기술, 양자 컴퓨팅 시대에 대비한 양자 암호화 기술 개발 방향으로 진전하고 있다.

대응 역량을 뒷받침하는 정보 자원

정보 공유 커뮤니티로는 정보관리기술사 커뮤니티(KPC95), 보안 전문가 포럼, FIRST, MITRE ATT&CK, VirusTotal Community를 활용할 수 있다. 보안 업체 블로그와 itpewiki.tistory.com 같은 전문 블로그, KISA 보안공지, US-CERT 권고문, 보안 업체 위협 보고서도 위협 정보를 확인하는 자료가 된다. 사이버 보안 MOOC, 웨비나, 컨퍼런스 자료는 교육 자원으로 활용할 수 있다.

YARA 룰, Sigma 룰, 악성코드 분석 도구는 오픈소스 대응 도구의 범주에 속한다. NIST Cybersecurity Framework, ISO 27001, MITRE ATT&CK은 방어 체계와 위협 분석을 위한 프레임워크로 참고할 수 있다.

크라임웨어에 대한 대응은 기술 통제만으로 완성되지 않는다. 조직의 보안 문화, 다중 보안 계층을 갖춘 심층 방어(Defense-in-Depth), 네트워크와 시스템 활동의 지속적 모니터링, 위협 정보 공유, 공격 이후에도 핵심 기능을 유지하는 복원력이 함께 작동해야 한다. 기술·프로세스·인력을 결합한 장기적 대응과 보안 커뮤니티의 지식 공유가 그 기반이 된다.