다시 활동을 시작한 Metaencryptor 랜섬웨어

2026년 9월 랜섬웨어 피해 사례 수는 지난 8월(1,115건) 대비 하락한 854건으로 집계됐다.

ShinyHunters가 Clop 랜섬웨어 그룹의 다크웹 유출 사이트를 침해한 사례가 확인됐다. 초기 침투에는 Clop이 사용하던 Grav CMS^[1]의 경로 순회 취약점(CVE-2026-42608)이 악용됐다. 해당 취약점은 Grav CMS가 고유 식별값을 임시 파일 업로드 경로에 추가하는 과정에서 경로를 적절하게 검증하지 않아 발생한다. 공격자는 상위 경로로 이동하도록 조작한 문자열을 전달해 파일을 기존 임시 업로드 경로 외부에 기록한 뒤, 이를 이용해 유출 사이트를 변조했다. 이후 ShinyHunters는 서버에 저장된 소스 코드와 Grav 플러그인, 시스템 로그 및 다크웹 유출 사이트의 신원을 인증하는 개인키를 탈취했다고 주장하며, Clop을 협박했다.

한편, ShinyHunters는 Clop 랜섬웨어 그룹의 다크웹 유출 사이트뿐만 아니라 미국 연방수사국(FBI)의 채용 사이트와 지원자 포털 또한 침해한 것으로 확인됐다. 초기 침투에는 외부 업체가 관리하던 Oracle PeopleSoft^[2]의 원격 코드 실행 취약점(CVE-2026-35273)이 악용된 것으로 알려졌다. 공격자는 PeopleSoft의 환경 관리 기능에 연결되는 요청 경로 일부를 변형하여 웹 애플리케이션 방화벽의 차단 규칙을 우회한 뒤, 패치되지 않은 시스템에 접근했다고 주장했다. 해당 방식은 방화벽이 변형된 경로를 정상적으로 식별하지 못하는 반면, PeopleSoft를 구동하는 서버는 이를 기존 경로로 복원해 처리하는 차이를 이용한다. FBI는 외부 업체가 관리하는 플랫폼에 보안 패치가 적용되지 않아 침해가 발생했다고 밝혔다. 이번 사례는 외부 업체가 운영하는 플랫폼도 기관의 보안 관리 범위에 포함하고, 취약점 조치 여부를 지속적으로 검증해야 한다는 점을 보여준다.

9월에는 법 집행기관이 랜섬웨어 그룹을 대상으로 수사와 제재를 강화하는 움직임 또한 보였다. 2026년 9월 15일, 네덜란드 경찰이 ShinyHunters 그룹 연루 혐의로 암스테르담의 24세 남성을 체포한 것으로 확인됐다. 경찰은 해당 남성이 ShinyHunters와 관련된 범죄조직에 참여한 혐의를 받고 있다고 밝혔으며, 압수한 데이터 저장매체를 분석하며 수사를 진행하고 있다. 체포된 인물은 보안업체 Neo Security에서 공격 보안 책임자로 근무하던 Pepijn van der Stap으로 알려졌다. 미국 연방수사국(FBI)은 9월 29일 공식 발표를 통해 해당 남성을 ShinyHunters의 지도부로 의심되는 인물 중 한 명으로 지목하고, 네덜란드 경찰과의 공조 사실을 밝혔다. 다만 ShinyHunters 측은 해당 인물이 자신들과 관련이 없다고 주장했으며, 구체적인 조직 내 역할은 수사 중인 것으로 확인됐다.

한편 2026년 9월 30일, 독일 수사기관이 주도한 국제 공조 작전 Operation KillSwitch를 통해 랜섬웨어 그룹 KillSec의 유출 사이트가 압수된 것으로 확인됐다. KillSec은 2024년부터 활동을 시작해 Windows 및 VMware ESXi 환경을 겨냥한 RaaS^[3]를 운영한 그룹이다. 수사기관은 핵심 서버 5대를 확보하고, 110TB의 탈취 자료에 대한 추가적인 무단 접근을 차단했다. 또한 스페인, 그리스, 루마니아, 영국 등지 총 8곳을 수색해 KillSec의 관리자, 개발자, 협상 담당자 및 계열사로 활동한 혐의로 용의자 3명을 잠정 체포했다. 이 가운데 조직의 관리와 운영을 주도한 혐의를 받는 인물은 16세 청소년으로 알려졌으며, 개발자로 지목된 다른 용의자도 일부 혐의와 관련된 행위 당시 미성년자였던 것으로 파악됐다.

2026년 9월에는 총 11개의 신규 랜섬웨어 그룹이 등장한 것으로 확인됐다. 이들 그룹은 모두 자체 다크웹 유출 사이트를 운영하고 있으며, Galago 그룹을 제외한 10개 그룹은 현재까지 활동을 이어가고 있는 것으로 파악됐다.

2026년 9월에 등장한 Vexy 랜섬웨어 그룹은 현재까지 다크웹 유출 사이트에 총 18건의 피해 사례를 게시했다. 해당 그룹은 다크웹 포럼을 통해 RaaS 파트너를 모집하며, Rust 언어로 개발된 랜섬웨어를 제공한다. 랜섬웨어는 AES-256 알고리즘으로 파일을 암호화한 뒤 해당 키를 RSA 알고리즘으로 한 번 더 암호화하는 이중 암호화 방식을 적용했다고 주장한다.

2026년 9월에 등장한 Vladivostok 그룹은 다크웹 유출 사이트가 발견됐지만, 현재까지 피해 사례가 확인되지는 않았다. 해당 그룹은 다크웹 유출 사이트를 통해 침투테스트 전문가, 보안 연구자 및 기업 내부 직원과의 협력 의사를 밝혔으며, 협력자에게는 협상 금액에 따라 최대 60%의 수익을 배분할 수 있다고 홍보했다.

2026년 9월에는 기존 랜섬웨어 그룹들의 지속적인 활동으로 총 854건의 피해 사례가 확인됐다. 이 가운데 국내를 목표로 한 공격은 제조 분야 6건, 유통 분야 2건, 의료 분야 1건, IT 분야 1건, 교육 분야 1건 등 총 11건으로 집계됐다.

2026년 9월 TheGentlemen 그룹은 총 105건의 피해 사례를 게시했다. 8월 대비 감소한 모습을 보였으나, 9월에 가장 많은 피해 사례를 게시한 그룹으로 확인됐다. 또한 9월 30일에는 국내 제조업체를 공격하고, 해당 업체의 정보를 그들의 다크웹 유출 사이트에 게시한 것으로 확인됐다.

Qilin 그룹은 2026년 9월 총 75건의 피해 사례를 게시하며 두 번째로 많은 피해 건수를 기록했다. 또한 해당 그룹은 Cisco Secure Firewall Management Center(FMC)^[4]의 정적 자격 증명 취약점(CVE-2026-20316)을 악용해 초기 침투한 뒤 Qilin 랜섬웨어를 배포한 사례가 확인됐다. 해당 취약점은 낮은 권한의 계정에 정적 자격 증명이 존재해, 인증되지 않은 원격 공격자가 해당 계정으로 로그인하고 민감한 정보에 접근할 수 있다. 공격자는 FMC에 접근한 뒤, 정상 관리 유틸리티인 package_info.pl^[5]을 이용해 악성 license.tmp 파일을 root 권한으로 실행했다. 이후 내부 시스템 정보를 수집하고 Active Directory 서비스 계정과 MySQL 계정의 자격 증명을 탈취했으며, 이후 내부 시스템을 탐색하고 백신 프로그램의 동작을 중단시키기 위해 자체적으로 개발한 보안 제품 종료 도구를 배포한 뒤, 최종적으로 Qilin 랜섬웨어를 실행했다.

2026년 9월 Akira 그룹은 총 36건의 피해 사례를 게시하며 8월의 31건 대비 증가한 모습을 보였다. 해당 그룹은 미국 제조업체 AK Stamping을 공격하고, 30GB 분량의 SQL 데이터와 내부 자료를 공개하겠다고 협박했다.

2026년 8월 처음 등장한 Storm 그룹은 9월 한 달간 총 36건의 피해 사례를 게시하며 활동을 이어갔다. 이 그룹은 다크웹 유출 사이트의 메뉴형 챗봇을 통해 몸값 지불 절차를 진행한다. 초기에는 20%의 할인율을 내걸지만, 시간이 지날수록 할인율을 10%, 5%로 낮추다가 최종적으로는 할인을 적용하지 않는 방식이다. 또한 그룹의 랜섬웨어는 C++로 제작됐으며, 암호화한 파일의 확장자를 .encrypted로 변경하는 특징이 있다.

2026년 9월 INC 그룹은 총 35건의 피해 사례를 게시하며 다섯 번째로 많은 피해 건수를 기록했다. 해당 그룹은 9월 23일 미국 로펌 Lemon Law를 공격해 기업 내부 정보와 고객 정보를 포함한 16GB 분량의 데이터를 탈취했다고 주장했으며, 탈취 자료 일부를 자체 다크웹 유출 사이트에 게시한 것으로 확인됐다.

2023년 8월, 처음 공개적으로 확인된 Metaencryptor 랜섬웨어 그룹은 같은 해 9월 등장한 LostTrust 그룹과 암호화 프로그램 및 다크웹 유출 사이트의 유사성이 확인되면서, LostTrust로 리브랜딩했을 가능성이 제기됐다. 그러나 LostTrust 등장 이후에도 두 그룹의 유출 사이트가 동시에 운영됐으며, Metaencryptor 명칭을 사용한 피해 사례를 게시하는 활동도 이어졌다. 한동안 Metaencryptor는 피해 사례 게시가 뜸했으나, 2026년 들어 다시 활발히 움직이고 있다. 특히 9월에는 국내 기업 2곳을 공격했다고 주장하며 관련 피해 사례를 다크웹 유출 사이트에 올렸다.

이에 본 보고서에서는 Metaencryptor 랜섬웨어의 주요 동작 방식과 특징에 대한 분석 결과를 공유함으로써, 향후 발생할 수 있는 관련 랜섬웨어 위협에 보다 효과적으로 대비할 수 있도록 하고자 한다.

Metaencryptor 랜섬웨어에서 확인된 실행 인자는 --enable-shares 하나로, 네트워크 공유 폴더를 추가로 탐색할지 여부를 정한다. 해당 인자를 사용하면 네트워크 공유 폴더를 재귀적으로 열거해 암호화 대상에 추가하며, 사용하지 않으면 추가 탐색하지 않는다. 로컬 드라이브와 이동식 드라이브, 연결된 네트워크 드라이브에 대한 탐색과 파일 암호화는 인자 사용 여부와 관계없이 수행한다.

Metaencryptor 랜섬웨어는 드라이브를 순차적으로 탐색해 모든 디렉터리를 확인하고 암호화 대상을 지정한다. 이 과정에서 특정 확장자와 경로 등 일부 항목은 암호화 대상에서 제외된다. 확인된 암호화 예외 확장자와 탐색 제외 경로는 아래 표와 같다.

또한 암호화 대상 파일에 접근하기 위해 파일을 점유하고 있는 특정 프로세스와 서비스를 우선 종료한다. 확인된 종료 대상 서비스 및 프로세스 목록은 아래와 같다.

이후 암호화가 완료되면 복구를 방해하기 위해 VSS(Volume Shadow Copy Service)를 통해 생성된 백업 데이터를 삭제한다. 아래는 해당 목적으로 사용된 명령어이다.

Metaencryptor 랜섬웨어는 암호화 과정에서32바이트 길이의 암호화 키를 생성하고, 이를 이용해 AES-256(CBC) 알고리즘으로 파일을 암호화한다. 이후 파일 복호화에 필요한 AES 암호화 키를 RSA-2048 알고리즘으로 보호한 뒤 암호화된 파일 내부에 저장한다.

이때 랜섬웨어는 파일 크기에 따라 암호화 범위를 달리하는 부분 암호화 방식을 사용한다. 파일 크기가 16바이트 이하인 경우에는 암호화 대상에서 제외하며, 16바이트를 초과하고 10MB 이하인 경우에는 파일 전체를 암호화한다. 10MB를 초과하고 100MB 이하인 경우에는 파일의 앞부분 10MB만 암호화하며, 100MB를 초과하고 20GB 이하인 경우에는 10MB를 암호화한 뒤 100MB를 건너뛰는 과정을 파일 끝까지 반복한다.

또한 20GB를 초과하고 100GB 이하인 경우에는 50MB를 암호화한 뒤 5GB를 건너뛰며, 100GB를 초과하고 500GB 이하인 경우에는 100MB를 암호화한 뒤 2GB를 건너뛰는 과정을 파일 끝까지 반복한다. 500GB를 초과하고 500TB 이하인 경우에는 1GB를 암호화한 뒤 10GB를 건너뛰는 과정을 파일 끝까지 반복하며, 500TB를 초과하는 파일은 암호화 대상에서 제외한다.

Metaencryptor 랜섬웨어는 로컬 드라이브와 이동식 드라이브, 연결된 네트워크 드라이브를 탐색해 암호화 대상을 확인한다. 또한 --enable-shares 인자가 사용되면 네트워크 공유 폴더를 재귀적으로 탐색해 암호화 대상으로 추가한다. 이에 따라 ASR^[6] 규칙을 활성화해 비정상적인 프로세스 동작과 의심스러운 파일 접근 행위를 차단하고, 행위 기반 탐지 솔루션으로 비정상적인 파일 탐색, 네트워크 공유 접근, 실행 파일 복사 및 원격 서비스 생성 행위를 조기에 탐지할 필요가 있다.

또한 EDR 솔루션 도입과 최신 보안 패치 적용을 통해 취약점 악용에 따른 침투나 비정상 행위를 신속히 식별하고 차단하도록 해야 한다. 내부 네트워크를 업무 영역과 주요 서버 영역 등으로 분리하고, SMB 및 관리 공유 경로에 대한 접근 권한은 업무상 필요한 사용자에게만 부여해야 한다.

백업 복사본은 별도의 네트워크 구간, 외부 저장소, 오프라인 매체 등에 주기적으로 분산 보관해 시스템이 암호화되더라도 데이터 복구가 가능하도록 해야 한다. 이때 백업 장치에 대한 접근 권한을 최소화하고, 정기적인 복구 테스트를 실시해 백업 데이터의 무결성과 실제 복구 가능 여부를 확인해야 한다.