■ 카르텔 모델을 도입한 DragonForce 랜섬웨어

‍

📌 랜섬웨어 주요 소식

  - 25년 4월 랜섬웨어 피해 사례는 전월(773건) 대비 약 29% 감소한 550건을 기록

  - 4월 신규 랜섬웨어 그룹: Silent, BERT, Devman, Gunra, SatanLock

  - Everest, LockBit: xoxo라는 유저에의해 인프라 해킹

  - RansomHub: 4월부터 활동 중단

  - Play: Windows 권한 상승 취약점(CVE-2025-29824) 악용

‍

📌 DragonForce 랜섬웨어

23년 12월부터 활동하기 시작한 그룹으로, 최근 타 그룹을 이용해서 자신들의 입지를 넓히려는 움직임을 보이고 있다.

3월에는 BlackLock/Mamona 그룹의 인프라를 해킹한 후 다크웹 유출 사이트를 DragonForce 홍보 페이지로 변조했으며, 4월에는 RansomHub와 협력 관계를 맺고 인프라 운영을 위임 받았다며 자신들을 홍보했다. 특히 특정 유저가 "RansomHub는 DragonForce에 합병됐다"고 주장했으며, RansomHub가 활동 중단을 한 점으로 단순 협력이 아니라 인수의 가능성도 제기됐다.

DragonForce 랜섬웨어는 ChaCha8 알고리즘으로 파일을 암호화하고 암호화 키를 RSA-4096으로 보호한다. 그 외에도 총 여러 기능을 제어할 수 있는 5개의 실행 인자와 23개의 설정 값이 존재하며, 자체적으로 내부 네트워크에 랜섬웨어를 전파시키는 기능도 확인됐다. 또한 서명된 드라이버를 악용하는 BYOVD 기법을 사용하는 흔적도 발견됐다.

‍

SK쉴더스 화이트해커 그룹 EQST의 최신 보안 인사이트가 담긴 EQST insight 전문이 궁금하다면?

‍

‘더 알아보기’를 클릭해보세요!

👉 더 알아보기: https://www.skshieldus.com/kor/eqstinsight/ransomware2505.html

‍

◾ EQST(이큐스트)는 ‘Experts, Qualified Security Team’ 이라는뜻으로 사이버 위협 분석 및 연구 분야에서 검증된 최고 수준의 보안 전문가 그룹입니다.

‍

‍