건라 랜섬웨어 핵심시설 표적, 리눅스판은 무료복구 가능

미국 사이버보안·인프라보안청(CISA)과 연방수사국(FBI)이 8월 10일(현지시각) 랜섬웨어 조직 ‘건라(Gunra)’가 전 세계 핵심 기반시설을 겨냥하고 있다며 공동 보안권고를 발표했다. 이번 권고에는 국방부 사이버범죄센터, 국가안보국(NSA), 비밀경호국(미국 비밀경호국), 그리고 한국 경찰청까지 참여했다. 건라는 소속 제휴자들이 인터넷에 노출된 장비의 취약점을 악용해 침투하는 서비스형 랜섬웨어(RaaS) 조직이다. 공격 대상은 의료·보건, 금융, 정부, 전문서비스, 비영리 등 광범위한 분야에 걸쳐 있다. CISA는 “건라는 미국과 국제 조직에 계속 피해를 주고 있는 랜섬웨어 흐름의 또 다른 변종”이라고 규정했다.

콘티 소스코드로 탄생해 RaaS로 몸집 불린 건라

건라는 2025년 4월 처음 등장했다. 2022년 2월 유출된 콘티(Conti) 랜섬웨어 소스코드를 기반으로 만들어진 이중 갈취형 변종이다. FBI는 그해 4월 건라의 활동과 유출 사이트를 처음 포착했다고 밝혔다. 이후 2026년 1월부터는 다크웹 포럼에 정식 제휴자 프로그램을 열었다. 관리 패널, 맞춤형 랜섬웨어 빌더, 크로스플랫폼 락커 페이로드, 제휴자용 안내 문서까지 제공하는 본격적인 RaaS 체제로 전환한 것이다.

FBI는 최근 몇 달 사이 건라가 ‘골든 커뮤니티(Golden Community)’라는 새 브랜드명을 함께 쓰고 있다고 밝혔다. 침투 테스터와 화이트해커를 랜섬 수익 분배 조건으로 영입해 초기 접근 브로커로 활용하는 방식도 확인됐다. 초기엔 윈도 환경만 노렸지만 2025년 중반 리눅스 변종을 도입하며 공격 범위를 넓혔다. 권고문은 3월 기준 연구자들이 건라 리눅스 변종의 취약점을 발견해 파일 타임스탬프로 암호화 키를 재구성, 몸값을 내지 않고도 파일을 복구할 수 있는 방법을 찾아냈다고 전했다.

포티넷 방화벽 취약점 뚫고 이중 갈취

건라 제휴자들이 초기 침투에 주로 활용하는 통로는 포티넷(Fortinet)의 방화벽 소프트웨어 포티OS(FortiOS)와 포티프록시(FortiProxy)에 있는 인증 우회 취약점 CVE-2024-55591, CVE-2025-24472다. CISA는 앞서 이 두 취약점에 대해 별도로 경고한 바 있다. 인터넷에 노출된 VPN 게이트웨이의 자격증명 노출, SSH 접근제어 결함도 추가 침투 경로로 쓰인다.

침투에 성공하면 데이터를 탈취한 뒤 암호화까지 하는 이중 갈취 방식을 쓴다. 협상은 토르(Tor) 기반 포털을 통해 이뤄지며, 몸값을 내지 않으면 5~7일 안에 훔친 정보를 공개하겠다고 위협한다. 한국 경찰청과 FBI가 처리한 사건들을 보면 대부분 요구 금액이 1,000만 달러(약 142억 원, 1달러 1,417원 기준)를 넘었다. FBI는 “건라 조직원들이 피해 기업 경영진에게 이메일로 직접 몸값 지불을 요구하려 시도했지만 성과는 제한적이었다”고 전했다.

북한 라자루스 그룹과의 연결고리

건라를 둘러싼 또 다른 관심사는 북한 연계 해킹조직 라자루스 그룹(Lazarus Group)과의 관계다. 이번 공동 권고에 앞서 나온 연구에서는 라자루스 그룹이 써온 도구와 인프라 일부가 한국 조직을 노린 건라 공격에도 쓰인 정황이 제기됐다. 한국 보안업체 안랩(AhnLab)도 복수의 한국 정부기관과 함께 별도 권고를 내고 건라와 라자루스 그룹의 연결고리를 지목한 바 있다. 이번 CISA·FBI 공동 권고는 이 안랩발 경고에 뒤이어 나온 것이다.

산업 전반으로 번지는 랜섬웨어, 대응은

사이버보안업체 드래고스(Dragos)에 따르면 2026년 2분기 전 세계 산업 조직을 겨냥한 랜섬웨어 사건은 1,140건으로, 1분기보다 12% 늘었다. 이 가운데 건라가 저지른 것으로 파악된 산업 조직 공격은 2분기 4건 이상이었으며, 1분기에는 8건에 달했다.

CISA의 크리스 부테라(Chris Butera) 사이버보안 담당 부국장 대행은 “파트너 기관들과 함께 이번 권고에서 확인된 취약점을 신속히 완화하고, 권고 조치를 이행하며, 분야별 사이버보안 성과목표(CISA CPGs)에 맞는 보안 조치를 도입하길 권장한다”고 말했다. 당국은 운영체제·소프트웨어·펌웨어를 최신 상태로 유지하고 인터넷에 노출된 시스템의 알려진 취약점을 우선 패치하라고 강조했다. 백업은 물리적으로 분리·분할된 위치에 변경 불가능한 형태로 보관하고 오프라인 상태에서 정기적으로 복구 테스트를 하라는 권고도 나왔다. 네트워크를 세그먼트로 나눠 공격자가 침투한 장비에서 다른 시스템으로 옮겨가지 못하도록 막는 조치도 필수로 꼽혔다.