Warlock 랜섬웨어 후공격 활동 강화로 복구 불가능 피해 확대

Warlock 랜섬웨어 그룹이 암호화 외 데이터 파괴와 안티포렌식으로 복구를 원천 차단하며 랜섬웨어의 무자비한 진화 가속

• Warlock 랜섬웨어 운영자들은 전통적 파일 암호화에 그치지 않고 피해자 백업 시스템의 체계적 삭제와 로그 증거 제거를 통해 복구 가능성을 원천 차단하며, 지불 거부 시 영구적 사업 중단을 강요합니다.
• 이 그룹은 Cobalt Strike와 Brute Ratel 같은 고가상 C2(Command and Control) 프레임워크를 활용하여 탐지 회피와 권한 상승을 동시에 달성하며, 특히 Windows 이벤트 로그와 VSS(Volume Shadow Service) 볼륨을 선택적 삭제합니다.
• 공격 과정에서 PowerShell Empire와 Cobalt Strike의 Beacon을 연계해 네트워크 전파를 가속화하고, RDP 세션 하이재킹으로 관리자 활동을 위장하며 보안팀의 대응 시간을 최대한 지연시킵니다.
• Warlock의 진화는 LockBit와 BlackCat의 전술을 벤치마킹한 것으로, 다단계 확산과 AS-REP Roasting 같은 Kerberos 공격을 결합하여 중소기업부터 공공기관까지 타깃을 확대합니다.
• 이번 사례는 랜섬웨어가 단순 금전 갈취를 넘어 ‘디지털 파괴 무기’로 변모함을 보여주며, 글로벌 보험사들의 보상 거부 정책 변화와 국가적 복구 지원 체계 구축을 촉진할 것입니다.

이번 사건은 랜섬웨어가 복구를 포기하는 ‘킬체인’으로 진화했다는 점에서 주목할 필요가 있다. 단기적으로는 3-2-1 백업 규칙 준수, 중장기적으로는 불변 백업과 에어갭 전략의 법적 의무화가 필요하다.

출처: Dark Reading