[논문 리뷰] A Tale of Two Markets: Investigating the Ransomware Payments Economy

Kris Oosthoek, Jack Cable외 1명|arXiv (Cornell University)|2022. 05. 10.

Advanced Malware Detection Techniques인용 수 7

한 줄 요약

이 논문은 13,500건 이상의 비트코인 랜섬웨어 지불금을 총 1억 100만 달러가 넘게 추적하는 커뮤니티 기반 추적기인 Ransomwhere를 사용하여 랜섬웨어 지불 경제를 분석한다. 두 가지 병렬 시장—상품형 랜섬웨어와 랜섬웨어 as 서비스(Ransomware as a Service, RaaS)—를 규명하였으며, RaaS는 거래당 수익이 더 높고, 믹서와 위조 거래소를 통한 빠른 money laundering을 구현하며, 운영 면에서 더 높은 전문성과 복잡성을 보이며, 법 집행 기관의 간섭을 훨씬 더 어렵게 만든다.

ABSTRACT

Ransomware attacks are among the most severe cyber threats. They have made headlines in recent years by threatening the operation of governments, critical infrastructure, and corporations. Collecting and analyzing ransomware data is an important step towards understanding the spread of ransomware and designing effective defense and mitigation mechanisms. We report on our experience operating Ransomwhere, an open crowdsourced ransomware payment tracker to collect information from victims of ransomware attacks. With Ransomwhere, we have gathered 13.5k ransom payments to more than 87 ransomware criminal actors with total payments of more than $101 million. Leveraging the transparent nature of Bitcoin, the cryptocurrency used for most ransomware payments, we characterize the evolving ransomware criminal structure and ransom laundering strategies. Our analysis shows that there are two parallel ransomware criminal markets: commodity ransomware and Ransomware as a Service (RaaS). We notice that there are striking differences between the two markets in the way that cryptocurrency resources are utilized, revenue per transaction, and ransom laundering efficiency. Although it is relatively easy to identify choke points in commodity ransomware payment activity, it is more difficult to do the same for RaaS.

연구 동기 및 목표

• 실제 데이터 수집을 통해 랜섬웨어 지불 생태계의 구조와 발전을 이해하기 위해.
• 특히 RaaS 및 상품형 랜섬웨어 시장에서 랜섬웨어 행위자들이 암호화폐 수익을 어떻게 관리하고 러닝머니를 처리하는지 분석하기 위해.
• 두 시장 간의 지불 행동, 거래 속도, 러닝머니 전략의 차이를 규명하기 위해.
• 거래 패턴을 바탕으로 랜섬웨어 지불금 회수 가능성을 법 집행 기관의 간섭 측면에서 평가하기 위해.
• Ransomwhere 추적기와 데이터셋을 공개함으로써 향후 연구를 가능하게 하기 위해.

제안 방법

• 공개된 추적기인 Ransomwhere를 통해 피해자로부터 수집된 랜섬웨어 지불 정보를 종합하는 커뮤니티 기반 데이터 수집.
• 5년 간 87명의 랜섬웨어 행위자들에 대한 13,497건의 비트코인 거래를 블록체인 포렌식 기법을 사용해 분석.
• 운영 패턴과 기술적 관행을 기반으로 행위자를 상품형 랜섬웨어와 RaaS로 분류.
• 피해자 지갑 주소에서 러닝머니 기관(예: 거래소, 믹서)으로의 첫 번째 전송을 추적하여 러닝머니 속도와 방법을 평가.
• 주소 배후의 법적 실체를 식별하는 데 한계가 있어, 러닝머니 기관 분포에 대해 백분율 기반 보고를 사용.
• 거래 흐름을 추적하고 러닝머니 효율성과 시간을 추정하기 위해 포렌식 기법을 적용.

실험 결과

연구 질문

• RQ1 상품형 랜섬웨어와 RaaS 행위자 간의 지불 행동은 거래량, 거래당 수익, 러닝머니 속도 측면에서 어떻게 다를까?
• RQ2 상품형 랜섬웨어와 RaaS 행위자들이 주로 사용하는 러닝머니 메커니즘은 무엇이며, 이는 추적 가능성에 어떤 영향을 미치는가?
• RQ3 왜 RaaS 행위자들에 대한 법 집행 기관의 간섭이 상품형 랜섬웨어 운영자들보다 더 어렵게 되는가?
• RQ4 RaaS 행위자들이 얼마나 자주 믹서와 비KYC 거래소를 사용하여 거래 흐름을 은폐하는가?
• RQ5 RaaS의 운영 구조는 어떻게 더 높은 수익 창출과 더 높은 방해에 대한 저항력을 가능하게 하는가?

주요 결과

• 2019년 이후 랜섬웨어 as 서비스(RaaS)가 지배적인 위치를 차지하며, 상품형 랜섬웨어보다 거래당 수익과 총 수익 모두 더 높게 발생시킨다.
• RaaS 행위자들은 피해자당 유일한 비트코인 주소를 사용하는 등 더 정교한 기법을 활용하여 익명성과 추적 불가능성을 높인다.
• RaaS 행위자들은 평균적으로 수시간 내지 수일 내로 자금을 러닝머니하는 데 성공하며, 상품형 랜섬웨어 행위자들은 체계적인 러닝머니 전략이 없어 훨씬 느리다.
• RaaS 행위자들은 주로 믹서와 위조 거래소(소유권을 은폐하기 위해 설계된 서비스)를 사용하는 반면, 상품형 랜섬웨어 행위자들은 직접적인 거래소 이전에 의존하여 더 많은 포렌식 증거를 남긴다.
• RaaS 행위자들이 믹서와 비KYC 거래소를 사용함으로써, 경찰 기관이 훔친 자금을 회수하는 데 상당히 어려움을 겪는다.
• 본 연구는 상품형 랜섬웨어의 핵심 지점은 감지하기 쉬우나, 지불 금액이 낮아 복구에 대한 동기가 떨어지므로 회수에 덜 유혹되며, 반면 RaaS는 속도와 전문성으로 인해 간섭에 큰 도전 과제를 안긴다.