더 젠틀맨 랜섬웨어는 주로 맞춤형 백도어 설치와 RCE(원격 코드 실행) 취약점을 악용합니다. 감염되면 내부 통신 패턴이 달라지거나 보안 솔루션이 멈추는 등 외부로 나가는 의심스러운 트래픽이 잇따릅니다. GNU 디퓨도텔즈와 오픈 마르카토 같은 오픈 소스 취약점을 이용해 시스템 깊숙이 들어가 최고 관리자 권한을 장악하기도 합니다.
더 젠틀맨 랜섬웨어의 정체와 고도화된 공격 특성
더 젠틀맨(The Gentleman)은 카스퍼스키 연구로 그 존재가 확인된 신생 랜섬웨어 조직입니다. 이들은 기존 코드를 재사용하는 수준을 넘어 공격 대상 시스템에 맞춘 백도어와 랜섬웨어 실행 파일을 직접 만들어 배포할 정도로 정교합니다. 공격자가 타겟 기업의 네트워크를 미리 분석하고 그에 맞는 도구를 설계한다는 점에서 위협적입니다.
영상 DBDROP(2026.07)은 더 젠틀맨을 단순 스크립트 키디가 아닌 체계적인 해킹 전문 집단으로 분류했습니다. 정보 수집부터 감염 시스템 장악까지 단계별 전략을 세우며 전 세계로 세력을 확장하고 있습니다. 내부망에 들어간 뒤 바로 데이터를 암호화하는 것이 아니라 백도어로 권한을 올리고 내부 네트워크를 정찰하는 잠복 과정을 거치는 점이 일반 랜섬웨어와 다릅니다.
더 젠틀맨 랜섬웨어 공격 경로 및 증상의 기술적 분석
더 젠틀맨의 침투 경로는 매우 정교하며 주로 인프라 수준의 취약점을 노립니다. 대표적으로 GNU 디퓨도텔즈의 정수 오버플로우 취약점(CVE-2024-53910)과 오픈 마르카토의 서비스 거부(DoS) 취약점(CVE-2026-26270)이 실제 공격에 쓰였습니다. 이 취약점들은 일반 애플리케이션 계층보다 깊은 시스템 레벨에서 작동해 보안 솔루션 탐지를 피하고 시스템 전체를 무너뜨릴 수 있습니다.
위즈 io(Wiz.io) 보고서에 의하면 GitHub에 10만 달러의 버그 바운티가 걸린 치명적인 RCE 취약점이 발견된 뒤, 이를 악용하는 WP셸(WP-Shell) 같은 도구들이 실시간으로 활용되고 있습니다. 공격자는 이 도구로 원격에서 코드를 실행해 최고 관리자 권한을 뺏으며, 이 과정에서 정상 트래픽으로는 설명되지 않는 비정상 내부 통신이 생겨납니다.
감염 시 나타나는 증상은 다음과 같습니다. 첫째, 백도어를 통한 정찰 활동 결과로 내부 네트워크 통신 패턴이 평소와 달라집니다. 둘째, 시스템 주요 파일이 지워지거나 설치된 보안 솔루션이 강제로 꺼집니다. 셋째, RCE 취약점 악용으로 외부 C2 서버로 향하는 의심스러운 아웃바운드 트래픽이 늘어납니다. 특히 같은 오픈 소스나 펌웨어를 쓰는 여러 시스템에서 이런 증상이 동시에 나타난다면 조직적인 공격을 의심해야 합니다.
| 구분 | 주요 취약점 및 도구 | 영향 및 결과 | 비고 |
|---|---|---|---|
| 인프라 취약점 | CVE-2024-53910 (GNU 디퓨도텔즈) | 정수 오버플로우를 통한 시스템 침투 | 심층 레벨 공격 |
| 서비스 취약점 | CVE-2026-26270 (오픈 마르카토) | DoS 공격 및 서비스 마비 유도 | 가용성 저해 |
| 원격 코드 실행 | WP셸 (WP-Shell) 등 RCE 도구 | 최고 관리자 권한 장악 및 제어 | GitHub 취약점 악용 |
| 지속성 유지 | 맞춤형 백도어 (Custom Backdoor) | 내부 네트워크 정찰 및 지속적 접근 | 타겟 맞춤형 개발 |
제조·금융 CISO를 위한 실전 대응 가이드 및 보안 통제 조치
전문 조직의 공격을 막으려면 단순 백신 업데이트를 넘어 다층적 방어가 필요합니다. 특히 가용성과 보안성이 모두 중요한 제조 및 금융업계는 인프라 수준 취약점 관리가 최우선입니다.
- 비정상 내부 통신 모니터링 및 백도어 탐지: 정상 서비스 트래픽과 다른 내부 통신을 실시간으로 감시해야 합니다. 맞춤형 백도어는 기존 시그니처 기반 탐지를 피하므로 행동 기반 분석(Behavioral Analysis)으로 이상 징후를 조기에 찾아내야 합니다.
- 오픈 소스 및 펌웨어 즉시 업데이트: GNU 디퓨도텔즈 및 오픈 마르카토처럼 영향받는 오픈 소스와 펌웨어를 바로 최신 버전으로 패치해야 합니다. 시스템 근간을 흔드는 인프라 취약점은 정기적인 스캔과 즉각적인 패치 프로세스로 관리해야 합니다.
- 네트워크 트래픽 차단 규칙 적용: 방화벽 설정에서 WP셸 같은 공격 도구가 쓰는 특이 트래픽 패턴을 식별해 차단 규칙을 적용해야 합니다. 불필요한 외부 연결을 줄이고 신뢰할 수 없는 IP의 RCE 시도를 원천 차단하는 화이트리스트 기반 접근 제어가 필요합니다.
- AI 기반 보안 에이전트 및 연합체 활용: 안트로픽의 프로젝트 글래스윙(Project Glasswing)이나 구글의 코뎀데르(Codemnder) 같은 AI 기반 보안 연합체의 대응 방식을 도입하는 것이 좋습니다. AI 에이전트를 쓰면 취약점 식별, 검증, 자동 복구 속도를 높이고 글로벌 인텔리전스가 반영된 최신 위협 정보를 빨리 적용할 수 있습니다.
결론 및 보안 강화 제언
더 젠틀맨 랜섬웨어는 단순 악성코드 유포를 넘어 맞춤형 백도어 개발과 인프라 취약점 공략이라는 고도화된 전략을 씁니다. CVE-2024-53910과 CVE-2026-26270 같은 심층 취약점을 이용해 관리자 권한을 탈취하는 수법은 전통적인 보안 체계로는 막기 어렵습니다.
기업 보안 책임자는 내부 통신 패턴에 대한 정밀 모니터링을 강화하고 오픈 소스 구성 요소를 최신 상태로 유지해야 합니다. 여기에 AI 기반 자동화 대응 체계를 구축하는 데 주력해야 합니다. 지금 바로 내부 인프라의 오픈 소스 버전과 RCE 취약점 노출 여부를 점검해 잠재적인 침투 경로를 차단해야 합니다.