글로벌 사이버 보안 리더 카스퍼스키는 오늘, 카스퍼스키 글로벌 연구분석팀(Global Research and Analysis Team, GReAT)의 최신 연구를 통해 빠르게 세력을 확장하고 있는 랜섬웨어 조직 '더 젠틀맨(The Gentlemen)'이 새로운 맞춤형 악성 도구를 활용해 공격 전술을 발전시키고 있는 것으로 나타났다고 밝혔습니다. 이 조직은 랜섬웨어 배포 전 정보 수집과 감염 시스템 제어를 위한 백도어(원격 제어용 악성 프로그램)와 새로운 랜섬웨어 실행 파일을 개발해 사용하고 있으며, 현재 전 세계 제조, IT 서비스, 의료, 금융 서비스, 건설, 물류 등 다양한 산업을 대상으로 활동하고 있습니다.

‘더 젠틀맨’은 2025년 중반 무렵 등장한 것으로 알려진 서비스형 랜섬웨어 조직으로, 빠르게 세력을 확대하고 있다. ‘더 젠틀맨’과 그 제휴 조직들은 주로 인터넷에 노출된 서비스의 취약점을 악용하거나, 탈취된 계정 정보를 이용해 피해 시스템에 최초 침투한다. 또한 적은 비용과 노력으로 가치 있는 지식재산을 보유한 기업에 접근하기 위해 초기 접근 브로커(IAB)와 협력했을 가능성도 제기된다. 카스퍼스키는 일부 피해 시스템에서 ‘더 젠틀맨’이 일반적으로 사용하는 방식과 다른 침투 기법이 랜섬웨어 감염 훨씬 이전부터 사용된 사실을 확인했다. 이는 최초 침투가 ‘더 젠틀맨’이 아닌 다른 위협 행위자, 특히 IAB에 의해 수행됐을 가능성을 시사한다.

‘더 젠틀맨’은 일반적인 RaaS 조직과 달리, 자체 개발 도구와 유연한 침투 기법을 활용하는 등 높은 수준의 공격 역량을 갖춘 것이 특징이다. 카스퍼스키 연구진은 공격자가 랜섬웨어를 실행하기 하루 전에 Go 언어로 개발된 새로운 맞춤형 백도어를 설치하는 것을 확인했다. 이 백도어는 감염된 시스템과 네트워크 정보를 수집하고 탐지를 피하기 위해 콘솔 창을 숨긴다. 또한 공격자와의 양방향 통신, 서버에서 전달되는 명령 실행, 정찰 기능을 수행해 공격자가 침해된 환경에서 활동을 확장하고 상황에 맞게 공격을 이어갈 수 있도록 지원한다.

카스퍼스키는 또한, C 언어로 개발된 새로운 랜섬웨어 변종도 발견했다. 현재는 일부 기업만 피해를 입은 것으로 확인됐다. ‘더 젠틀맨’은 그동안 여러 운영체제에서 사용할 수 있도록 Go 언어 기반 랜섬웨어를 주로 사용해 왔지만, 이번에 발견된 C 기반 변종은 윈도우 환경을 겨냥한 것으로 보인다. 이는 공격 조직이 실제 피해 환경에서 새로운 악성코드를 시험하며 공격 도구를 확대하고 있을 가능성을 보여준다.

주목할 점은, ‘더 젠틀맨’이 공격 과정에서 kavrmvr.exe(카스퍼스키 제품 제거 도구)를 이용해 카스퍼스키 보안 솔루션 삭제를 시도했다는 것이다. 그러나 카스퍼스키 보안 솔루션은 정상적으로 동작을 유지했으며, 해당 시도는 악성 행위로 탐지되어 차단됐다.

카스퍼스키 글로벌 연구분석팀(GReAT)의 파티흐 센소이 보안 전문가는 "’더 젠틀맨’은 비교적 최근 등장한 랜섬웨어 조직이지만 빠르게 위협 행위자들 사이에서 영향력을 확대하며 제휴 조직을 확보하고 주요 공격을 수행하고 있다. 새롭게 확인된 C 기반 랜섬웨어 변종을 시험하는 움직임은 이들이 공격 역량을 지속적으로 강화하고 있음을 시사한다. 이는 앞으로 더욱 안정적이고 확장 가능한 공격 체계로 이어질 가능성이 있다. 기업은 향후 랜섬웨어 공격이 더욱 활발해질 것으로 예상하고, 취약점 관리와 시스템 보안 강화를 최우선 과제로 추진해 침해 위험을 최소화해야 한다"고 말했다.

카스퍼스키는 지난 5월 12일 국제 랜섬웨어 대응의 날을 맞아 최근 랜섬웨어 동향을 담은 보고서를 발표했다. 카스퍼스키 시큐리티 네트워크(Kaspersky Security Network, KSN)에 따르면 2025년 랜섬웨어 탐지 비율이 가장 높은 지역은 중남미(8.13%)였으며, 이어 아시아·태평양(7.89%), 아프리카(7.62%), 중동(7.27%), 독립국가연합(CIS, 5.91%), 유럽(3.82%) 순으로 나타났다.

카스퍼스키는 랜섬웨어로부터 조직을 보호하기 위해 다음과 같은 보안 수칙을 권고한다.

사용하는 모든 기기의 소프트웨어를 항상 최신 상태로 유지해 공격자가 취약점을 악용해 네트워크에 침투하지 못하도록 차단해야 한다.

네트워크 내부에서의 횡적 이동과 인터넷으로의 데이터 유출 탐지에 방어 전략을 집중한다. 외부로 나가는 트래픽을 면밀히 모니터링해 공격자의 네트워크 연결을 탐지하고, 공격자가 변경하거나 삭제할 수 없는 오프라인 백업을 구축한다. 또한 필요하거나 비상 상황이 발생했을 때 신속하게 복구할 수 있도록 백업 접근성을 확보한다.

* 기업은 지능형 지속 위협 대응 솔루션과 엔드포인트 탐지 및 대응(EDR) 솔루션을 도입해 고도화된 위협 탐지, 조사 및 신속한 사고 대응 체계를 구축해야 한다. 또한 보안관제센터(SOC) 운영 인력이 최신 위협 인텔리전스(threat intelligence https://www.kaspersky.com/enterprise-security/threat-intelligence)를 활용하고 정기적인 전문 교육(professional training https://xtraining.kaspersky.com/)을 받을 수 있도록 지원해야 한다. 이러한 기능은 모두 카스퍼스키 넥스트(Kaspersky Next https://www.kaspersky.com/next)에서 제공된다.

보다 자세한 내용은 Securelist https://securelist.com/the-gentlemen-raas/120447/ 보고서에서 확인할 수 있다.

카스퍼스키, 랜섬웨어 '더 젠틀맨(The Gentlemen)' 분석… 신규 백도어·랜섬웨어로 공격 활동 확대