오시리스 랜섬웨어 패밀리

사이버 보안 연구원들은 2025년 11월 동남아시아의 주요 외식 프랜차이즈 업체를 공격한 사건 이후, 이전에 보고되지 않았던 '오시리스(Osiris)'라는 이름의 랜섬웨어 계열을 발견했습니다. 분석 결과, 이는 새롭게 개발된 랜섬웨어 변종으로, 2016년 12월에 발견된 '록키(Locky)'에서 파생된 '오시리스' 변종과는 관련이 없는 것으로 나타났습니다. 개발자의 신원은 아직 밝혀지지 않았으며, 해당 악성코드가 서비스형 랜섬웨어(RaaS) 형태로 제공되는지는 확인되지 않았습니다.

공격 연쇄 및 초기 침해

피해 네트워크에서 확인된 가장 초기의 악성 활동은 랜섬웨어 배포 이전에 민감한 데이터를 유출한 것이었습니다. 공격자들은 Rclone을 사용하여 Wasabi에 호스팅된 클라우드 스토리지 버킷으로 정보를 전송했습니다. 이후 단계적으로 도구를 도입하여 제어권을 확보하고, 네트워크 측면으로 이동하며, 암호화를 위한 환경을 준비했습니다.

다양한 자급자족형 및 이중 용도 유틸리티를 활용하고 원격 관리 구성 요소를 도입하여 일반적인 행정 활동에 자연스럽게 녹아들고 조기 발견을 최소화했습니다.

INC 랜섬웨어 공격과의 연관성이 의심됩니다.

여러 지표는 이전에 INC 랜섬웨어(일명 Warble)와 연관된 공격자들과의 중복 가능성을 시사합니다. 특히 공격자들은 이전 INC 관련 사건에서 발견된 것과 동일한 파일명(kaz.exe)을 가진 Mimikatz 변종을 사용했습니다. 또한, 데이터 유출 인프라와 공격 기법은 이전에 해당 랜섬웨어 생태계에서 사용되었던 기법과 매우 유사하지만, 아직 확정적인 공격자로 지목되지는 않았습니다.

POORTRY 운전자와 BYOVD 전술

이번 침입의 핵심 특징은 엔드포인트 보안을 무력화하기 위해 BYOVD(Bring Your Own Virtue, 취약한 드라이버를 사용하는 공격) 방식의 공격에 사용된 POORTRY라는 악성 드라이버를 배포한 것입니다. 합법적이지만 결함이 있는 드라이버를 사용하는 기존의 BYOVD 공격과는 달리, POORTRY는 권한을 상승시키고 보안 도구를 종료하도록 특별히 설계된 맞춤형 드라이버입니다.

킬AV라는 유틸리티를 사용하여 취약한 드라이버를 로드하고 보호 소프트웨어를 비활성화하는 등 환경을 더욱 준비했습니다. 또한 원격 데스크톱 프로토콜(RDP)을 활성화했는데, 이는 지속적인 대화형 접근을 용이하게 하기 위한 것으로 보입니다.

오시리스 랜섬웨어의 기능

오시리스는 숙련된 위협 행위자들이 운영하는 것으로 추정되는, 정교하고 효과적인 암호화 페이로드로 묘사됩니다. 이 랜섬웨어는 하이브리드 암호화 모델을 구현하고 파일마다 고유한 암호화 키를 생성하여 복구를 매우 어렵게 만듭니다. 또한 광범위한 구성 옵션을 제공하여 운영자가 피해자 환경에 맞게 실행을 세밀하게 조정할 수 있도록 합니다.

주요 기능은 다음과 같습니다.

• 서비스 중지, 프로세스 종료, 백업 또는 복구 메커니즘 비활성화.
• 공격 대상 폴더와 파일 확장자를 정의하고, 완료 시 맞춤형 랜섬웨어 메시지를 생성합니다.

기본적으로 Osiris는 생산성 소프트웨어, 이메일 서버, 브라우저, 텍스트 편집기, 볼륨 섀도 복사본 및 Veeam과 같은 엔터프라이즈 백업 플랫폼과 관련된 프로세스 및 서비스를 적극적으로 종료하도록 구성되어 있습니다.

침입을 지원하는 데 사용된 도구

공격자들은 랜섬웨어 자체 외에도 정찰, 횡적 이동, 원격 관리 유틸리티 등 다양한 도구를 활용하여 운영 통제권을 유지했습니다. 침입 과정에서 확인된 도구는 다음과 같습니다.

• 네트워크 검색 및 실행을 위한 Netscan 및 Netexec.
• MeshAgent와 지속적인 원격 접속을 위한 Rustdesk 원격 데스크톱 애플리케이션의 맞춤형 빌드입니다.
• Rclone은 클라우드 스토리지로 데이터를 자동으로 유출하는 도구입니다.

진화하는 갈취 양상에 대한 시사점

암호화 랜섬웨어는 여전히 기업에 상당한 위협을 가하고 있지만, 이번 사건은 다면적인 협박 캠페인으로의 광범위한 진화를 보여줍니다. 데이터 탈취에 대한 강조 증가, 악성 드라이버를 통한 방어 회피, 그리고 암호화를 사용하지 않거나 하이브리드 공격의 확산은 위협의 지형을 넓히고 있습니다. 결과적으로 랜섬웨어는 더욱 광범위하고 복잡한 협박 생태계의 한 구성 요소일 뿐이며, 이에 걸맞게 적응력 있는 방어 전략이 요구됩니다.