사이버 범죄는 거대한 산업입니다. 한 추정치에 따르면 2025년까지 미국과 중국에 이어 세계에서 세 번째로 큰 경제 규모가 될 것이며, 그 규모는 10조 5,000억 달러에 달할 것으로 예상됩니다.  

이 업계 내에서 해커는 새로운 특징과 기능을 갖춘 새로운 종류의 맬웨어를 지속적으로 개발합니다. 이러한 개별 맬웨어 변종은 시간이 지남에 따라 보안 소프트웨어를 더 효과적으로 회피하기 위해 새로운 변종을 생성합니다. 1980년대 이후 10억 개 이상의 다양한 맬웨어 변종과 변종이 생성되는 것으로 추정되며 사이버 보안 전문가들이 이 생성 속도를 따라잡기는 어렵습니다.

해커는 코드를 오픈 소스로 만들거나 다른 범죄자에게 판매하여 악성 코드를 공유하는 경우가 많습니다. 랜섬웨어 개발자들 사이에서는 서비스형 멀웨어가 널리 퍼져 있어 기술 전문 지식이 거의 없는 범죄자들도 사이버 범죄로 인한 수익을 거둘 수 있습니다.

환경은 항상 변화하고 있지만 악성 코드 변종은 몇 가지 일반적인 유형으로 분류될 수 있습니다.

'멀웨어' 및 '컴퓨터 바이러스'라는 용어는 종종 동의어로 사용되지만 바이러스는 엄밀히 말하면 특정 종류의 멀웨어입니다. 특히 바이러스는 합법적인 소프트웨어를 가로채어 자신의 복제본을 손상시키고 유포하는 악성 코드입니다.

바이러스는 스스로 행동할 수 없습니다. 대신 다른 실행 프로그램에서 코드 조각을 숨깁니다. 사용자가 프로그램을 시작하면 바이러스도 실행되기 시작합니다. 바이러스는 일반적으로 중요한 데이터를 삭제하고 정상적인 작동을 방해하며 감염된 컴퓨터의 다른 프로그램에 자신의 복사본을 퍼뜨리도록 설계되었습니다.

초기의 멀웨어 위협은 대부분 바이러스였습니다. 공용 장치를 통해 퍼진 최초의 멀웨어인 Elk Cloner는 Apple 컴퓨터를 표적으로 삼은 바이러스였습니다.

랜섬웨어는 피해자의 장치나 데이터를 잠그고 잠금을 해제하기 위해 일반적으로 암호화폐 형태의 몸값을 요구합니다. IBM의 X-Force Threat Intelligence에 따르면 랜섬웨어는 전체 공격 중 17%를 차지하며, 두 번째로 흔한 사이버 공격 유형입니다.

가장 기본적인 랜섬웨어 공격은 몸값을 지불할 때까지 자산을 사용할 수 없게 만들지만 사이버 범죄자는 피해자에게 더 강한 압박을 가하기 위해 추가 전술을 사용할 수 있습니다.

이중 갈취 공격에서 사이버 범죄자는 데이터를 훔치고 돈을 받지 못하면 유출하겠다고 위협합니다. 삼중 갈취 공격에서 해커는 피해자의 데이터를 암호화하여 탈취하고 분산형 서비스 거부(DDoS) 공격을 통해 시스템을 오프라인 상태로 만들겠다고 위협합니다.

몸값 요구 금액은 수만 달러에서 수백만 달러까지 다양합니다. 한 보고서에 따르면 평균 몸값 지불액은 미화 812,360달러입니다. 피해자가 비용을 지불하지 않더라도 랜섬웨어는 비용이 많이 듭니다. IBM의 데이터 침해 비용 보고서에 따르면 평균 랜섬웨어 공격 비용은 몸값 자체를 제외하고 454만 달러에 달합니다. 

해커는 백도어를 생성하거나 악용하여 원격 액세스 악성 코드를 사용하여 컴퓨터, 서버 또는 기타 장치에 액세스합니다. X-Force Threat Intelligence Index에 따르면 백도어 설치는 해커의 가장 일반적인 목표로 공격의 21%를 차지합니다.

사이버 범죄자는 백도어를 통해 많은 것들을 할 수 있습니다. 데이터나 자격 증명을 훔치거나, 장치를 제어하거나, 랜섬웨어와 같은 훨씬 더 위험한 악성 코드를 설치할 수도 있습니다. 일부 해커는 원격 액세스 멀웨어를 사용하여 다른 해커에게 판매할 수 있는 백도어를 생성하며, 이러한 백도어는 각각 수천 달러에 달합니다.

Back Orifice 또는 CrossRAT과 같은 일부 원격 액세스 멀웨어는 악의적인 목적을 가지고 의도적으로 제작되었습니다. 해커는 합법적인 소프트웨어를 수정하거나 오용하여 디바이스에 원격으로 액세스할 수도 있습니다. 특히 사이버 범죄자들은 Microsoft 원격 데스크톱 프로토콜(RDP)의 도난당한 자격 증명을 백도어로 사용하는 것으로 알려져 있습니다. 

봇넷은 해커의 통제를 받는 인터넷에 연결된 맬웨어에 감염된 장치의 네트워크입니다. 봇넷에는 PC, 모바일 디바이스, 사물 인터넷(IoT) 디바이스 등이 포함될 수 있습니다. 피해자는 자신의 디바이스가 봇넷에 속해 있다는 사실을 알아차리지 못하는 경우가 많습니다. 해커는 종종 봇넷을 사용하여 대상 네트워크에 너무 많은 트래픽을 폭격하여 속도가 느려지거나 완전히 종료되는 DDoS 공격을 실행합니다.

가장 잘 알려진 봇넷 중 하나인 Mirai는 2016년 도메인 네임 시스템 제공업체 Dyn에 대한 대규모 공격으로 미국과 유럽에서 수백만 명의 사용자를 대상으로 트위터, 레딧과 같은 인기 웹사이트를 다운시킨 장본인입니다.

크립토재커는 소유자가 모르는 사이에 장치를 제어하고 이를 사용하여 비트코인과 같은 암호화폐를 채굴하는 악성 코드입니다. 기본적으로 크립토재커는 크립토마이닝 봇넷을 생성합니다.

암호화폐 채굴은 매우 컴퓨팅 집약적이고 비용이 많이 드는 작업입니다. 사이버 범죄자는 감염된 컴퓨터 사용자가 성능 저하 및 충돌을 경험하는 동안 이익을 얻습니다. 크립토재커는 종종 기업 클라우드 인프라를 표적으로 삼기 때문에 개인 컴퓨터를 표적으로 삼는 것보다 더 많은 리소스를 크립토마이닝에 사용할 수 있습니다. 

파일리스 멀웨어는 웹 브라우저나 워드 프로세서와 같은 합법적인 소프트웨어 프로그램의 취약점을 이용해 컴퓨터 메모리에 직접 악성 코드를 주입하는 공격의 일종입니다. 코드는 메모리에서 실행되므로 하드 드라이브에 흔적을 남기지 않습니다. 합법적인 소프트웨어를 사용하기 때문에 탐지를 피하는 경우가 많습니다.

많은 파일리스 멀웨어 공격은 Microsoft Windows 운영 체제에 내장된 명령줄 인터페이스 및 스크립팅 도구인 PowerShell을 사용합니다. 해커는 PowerShell 스크립트를 실행하여 구성을 변경하거나 암호를 도용하거나 기타 피해를 입힐 수 있습니다.

악성 매크로는 파일리스 공격의 또 다른 일반적인 벡터입니다. Microsoft Word 및 Excel과 같은 앱을 사용하면 텍스트 서식 지정이나 계산 수행과 같은 간단한 작업을 자동화하는 명령 집합인 매크로를 정의할 수 있습니다. 해커는 이러한 매크로에 악성 스크립트를 저장할 수 있습니다. 사용자가 파일을 열면 해당 스크립트가 자동으로 실행됩니다.

웜은 사람의 개입 없이 앱과 디바이스 간에 확산될 수 있는 자가 복제 악성 프로그램입니다. (사용자가 손상된 프로그램을 실행해야만 확산될 수 있는 바이러스와 비교). 다른 것은 하지 않고 단순히 퍼뜨리기만 웜도 있는 반면에 많은 웜은 더 심각한 결과를 초래합니다. 예를 들어, 약 40억 달러의 피해를 입힌 WannaCry 랜섬웨어는 연결된 디바이스 간에 자동으로 확산되어 그 영향력을 극대화하는 웜이었습니다.

트로이 목마는 유용한 프로그램으로 위장하거나 합법적인 소프트웨어 내에 숨어 사용자를 속여 설치하도록 합니다. 원격 액세스 트로이 목마 또는 'RAT'는 감염된 장치에 비밀 백도어를 생성합니다. '드로퍼'라고 하는 또 다른 유형의 트로이 목마는 발판이 마련되면 추가 멀웨어를 설치합니다. 최근 가장 파괴적인 랜섬웨어 변종 중 하나인 Ryuk은 Emotet 트로이 목마를 사용하여 장치를 감염시켰습니다.

루트킷은 해커가 컴퓨터의 운영 체제나 기타 자산에 관리자 수준의 권한으로 액세스할 수 있게 해주는 멀웨어 패키지입니다. 해커는 이렇게 상승된 권한을 사용하여 사용자를 추가 및 제거하거나 앱을 재구성하는 등 사실상 원하는 모든 작업을 수행할 수 있습니다. 해커는 종종 루트킷을 사용하여 악성 프로세스를 숨기거나 이를 탐지할 수 있는 보안 소프트웨어를 비활성화합니다.

스케어웨어는 사용자가 겁을 먹고 멀웨어를 다운로드하거나 사기꾼에게 민감한 정보를 넘기도록 유도합니다.스케어웨어는 대개 긴급한 메시지와 함께 갑작스러운 팝업으로 나타나며, 일반적으로 사용자가 법을 위반했거나 디바이스에 바이러스가 있다고 경고합니다. 이 팝업은 사용자에게 '벌금'을 지불하거나 실제 멀웨어로 판명된 가짜 보안 소프트웨어를 다운로드하도록 유도합니다.

스파이웨어는 감염된 컴퓨터에 숨어서 민감한 정보를 몰래 수집하여 공격자에게 다시 전송합니다. 키로거라고 하는 일반적인 스파이웨어 유형 중 하나는 사용자의 모든 키 입력을 기록하여 해커가 사용자 이름, 비밀번호, 은행 계좌 및 신용카드 번호, 주민등록번호 및 기타 민감한 데이터를 수집할 수 있도록 합니다.

애드웨어는 원치 않는 팝업 광고로 디바이스에 스팸을 전송합니다. 애드웨어는 사용자 모르게 무료 소프트웨어에 포함되어 있는 경우가 많습니다. 사용자가 프로그램을 설치하면 자신도 모르게 애드웨어도 함께 설치됩니다. 대부분의 애드웨어는 귀찮게 하는 정도에 불과하지만, 일부는 개인 데이터를 수집하거나 웹 브라우저를 악성 웹사이트로 리디렉션하거나 팝업 중 하나를 클릭하면 사용자의 디바이스에 더 많은 멀웨어를 다운로드하기도 합니다.

멀웨어 공격은 불가피하지만 조직이 방어를 강화하기 위해 취할 수 있는 조치가 있습니다. 이러한 조치에는 다음이 포함됩니다.

보안 인식 교육: 많은 멀웨어 감염은 사용자가 가짜 소프트웨어를 다운로드하거나 피싱 사기에 넘어가서 발생합니다. 보안 인식 교육을 통해 사용자는 소셜 엔지니어링 공격, 악성 웹 사이트 및 가짜 앱을 찾아낼 수 있습니다. 또한, 보안 인식 교육을 통해 멀웨어 위협이 의심되는 경우 어떻게 해야 하고 누구에게 연락해야 하는지에 대해 사용자에게 교육할 수 있습니다.

보안 정책: 보안되지 않은 Wi-Fi를 통해 중요한 자산에 액세스할 때 강력한 비밀번호, 다단계 인증 및 VPN을 요구하면 해커가 사용자 계정에 액세스하는 것을 제한하는 데 도움이 됩니다. 패치 관리, 취약성 평가 및 침투 테스트에 대한 정기적인 일정을 수립하면 사이버 범죄자가 취약점을 악용하기 전에 소프트웨어 및 디바이스의 취약점을 발견하는 데 도움이 될 수 있습니다. BYOD 디바이스 관리 및 섀도우 IT 방지 정책은 사용자가 자신도 모르게 멀웨어를 기업 네트워크에 가져오는 것을 방지하는 데 도움이 될 수 있습니다.

백업: 민감한 데이터와 시스템 이미지의 업데이트된 백업을 네트워크에서 분리할 수 있는 하드 드라이브나 기타 장치에 보관하면 멀웨어 공격으로부터 쉽게 복구할 수 있습니다.

제로 트러스트 네트워크 아키텍처: 제로 트러스트는 사용자를 신뢰할 수 없고 항상 확인하는 네트워크 보안에 대한 접근 방식입니다. 특히 제로 트러스트는 최소 권한, 네트워크 마이크로세그멘테이션 및 지속적인 적응형 인증 원칙을 구현하여 사용자나 장치가 액세스해서는 안 되는 민감한 데이터나 자산에 액세스할 수 없도록 합니다. 멀웨어가 네트워크에 침투하면 이러한 제어로 인해 측면 이동이 제한될 수 있습니다.

인시던트 대응 계획: 다양한 유형의 멀웨어에 대한 인시던트 대응 계획을 미리 작성 하면 사이버 보안 팀이 멀웨어 감염을 보다 신속하게 근절하는 데 도움이 될 수 있습니다. 

위에서 설명한 수동 전술 외에도 사이버 보안 팀은 보안 솔루션을 사용하여 멀웨어 제거, 탐지 및 예방의 측면을 자동화할 수 있습니다. 일반적인 도구는 다음과 같습니다.

바이러스 백신 소프트웨어: '안티 멀웨어' 소프트웨어라고도 하는 바이러스 백신 프로그램은 시스템에서 감염 징후를 검사합니다. 사용자에게 경고하는 것 외에도 많은 바이러스 백신 프로그램은 탐지 시 악성 프로그램을 자동으로 격리하고 제거할 수 있습니다.

방화벽: 방화벽은 일부 악성 트래픽이 애초에 네트워크에 도달하지 못하도록 차단할 수 있습니다. 멀웨어가 네트워크 디바이스에 침투하는 경우 방화벽은 키로거가 키 입력을 공격자에게 다시 보내는 것과 같이 해커에게 보내는 통신을 차단하는 데 도움이 될 수 있습니다. 

SIEM(보안 정보 및 이벤트 관리) 플랫폼: SIEM은 내부 보안 도구에서 정보를 수집하고, 중앙 로그에 집계하고, 이상 징후에 플래그를 지정합니다. SIEM은 여러 원본의 경고를 중앙 집중화하기 때문에 맬웨어의 미묘한 징후를 더 쉽게 발견할 수 있습니다.

보안 오케스트레이션, 자동화 및 대응(SOAR) 플랫폼: SOAR은 서로 다른 보안 도구를 통합하고 조정하여 보안 팀이 실시간으로 멀웨어에 대응할 수 있는 반자동 또는 완전 자동화된 플레이북을 만들 수 있도록지원합니다.

엔드포인트 탐지 및 대응(EDR) 플랫폼: EDR은 스마트폰, 노트북, 서버와 같은 엔드포인트 디바이스에서 의심스러운 활동의 징후가 있는지 모니터링하고, 탐지된 멀웨어에 자동으로 대응할 수 있습니다.

확장 탐지 및 대응(XDR) 플랫폼: XDR은 사용자, 엔드포인트, 이메일, 애플리케이션, 네트워크, 클라우드 워크로드, 데이터 등 모든 보안 계층에 걸쳐 보안 도구와 운영을 통합합니다. XDR은 사전 위협 헌팅을 포함하여 복잡한 멀웨어 예방, 탐지, 조사 및 대응 프로세스를 자동화하는 데 도움이 될 수 있습니다.

공격 표면 관리(ASM) 도구: ASM 도구는 조직 네트워크의 모든 자산을 지속적으로 검색, 분석, 수정 및 모니터링합니다. ASM은 사이버 보안 팀이 멀웨어를 운반할 수 있는 승인되지 않은 섀도 IT 앱과 디바이스를 탐지하는 데 유용할 수 있습니다.

통합 엔드포인트 관리(UEM): UEM 소프트웨어는 데스크톱, 노트북, 모바일 디바이스를 포함한 조직의 모든 최종 사용자 디바이스를 모니터링, 관리, 보호합니다. 많은 조직에서 UEM 솔루션을 사용하여 직원의 BYOD 디바이스가 기업 네트워크에 멀웨어를 가져오는 것을 방지합니다.