✅ 보고서 제목: LockBit 5.0 랜섬웨어 그룹 생태계 심층 분석 보고서

✅ 보고서 요약:

📌 LockBit 랜섬웨어 그룹은 어떤 조직인가요?

• LockBit은 2019년 9월 ABCD 랜섬웨어라는 이름으로 독자적인 활동을 시작하였으며, 2019년 12월 말부터 .Lockbit 확장자를 사용하면서 현재의 LockBit 브랜드를 구축하였습니다.
• 2020년 9월에는 자체적인 DLS를 구축하여 데이터 유출을 결합한 이중 갈취 전략을 도입하였으며, 이후 총 네 차례의 대규모 업데이트를 거쳐 2025년 9월 LockBit 5.0을 공개하였습니다. 이를 통해 LockBit은 현재까지 가장 오랜 기간 활동을 지속하고 있는 대표적인 RaaS(Ransomware-as-a-Service) 그룹 중 하나로 자리매김하였습니다.

📌 피해 현황

• 보고서 작성일 기준, LockBit의 DLS 상에 게시된 누적 피해 기업은 총 3,608건으로 확인되었으며, 2023년에 1,140건으로 가장 많았고, 2024년에는 법 집행 기관의 Operation Cronos 작전으로 인해 피해량이 대폭 감소하였으며, 2025년에는 LockBit 5.0 준비를 위해 실질적인 공격 활동이 감소하여 137건으로 집계되었습니다.
  • 국가가 'South Korea'로 분류된 LockBit 피해 기업 공개 기록은 총 9건으로 확인되었습니다. 2021년과 2022년 각 2건, 2023년 4건으로 증가하였으며, 2023년에 가장 많은 4건의 기록이 집중되었습니다. 이후 2024년에는 공개 사례가 없었고, 2025년에는 1건이 확인되었습니다.

📌 그룹 프로파일링

• LockBit 5.0 출시 이후 RAMP, Rehub 등 DDW(Deep and Dark Web) 포럼에서 활동하며 RaaS(Ransomware-as-a-Service)를 홍보하고 Affiliate를 모집하고 있습니다.
  • LockBit Affiliate 패널 해킹 사건 이후 2025년 9월 RAMP 포럼에 복귀하였으며, 평판 회복을 위해 타 RaaS 그룹을 견제하고 경쟁 그룹 Affiliate를 대상으로 패널 무료 접근권을 배포하는 등의 활동을 전개하였습니다.
  • Rehub에서는 RaaS 홍보 활동이 제한적이었으며, LockBit 5.0부터는 자체 인프라 기반 운영으로 외부 포럼 의존도를 낮춘 것으로 판단됩니다.

📌 Affiliate 패널 침투 조사 결과

• LockBit 5.0의 패널에서 제공하는 기능을 파악하였습니다.
  • LockBit의 내부 규정상 공격 금지 산업 분야는 별도로 존재하지 않으며, CIS 국가는 공격 금지 대상으로 확인되었습니다.

📌 바이너리 분석

• LockBit 5.0은 Windows, Linux 및 VMware ESXi 환경을 대상으로 총 4종의 랜섬웨어 빌드를 제공하며, 다중 플랫폼 공격과 대규모 암호화에 초점을 맞추고 있습니다.
  • LockBit Black: 기존 LockBit Black 랜섬웨어에서 API Resolving에 사용되는 XOR 키 값을 변경하였습니다.
  • LockBit ChuongDong: 암호화 비율 설정과 대용량 파일의 분할 암호화 기능이 추가되었습니다.
  • LockBit Linux/ESXi: 분석 회피, 부분 암호화, 자가 삭제 및 Free Space 덮어쓰기 기능을 지원합니다.

✅ 위협 탐지 권장 사항 및 조치 방안:

• LockBit 5.0은 Affiliate 모집부터 빌드 생성·협상까지 자체 인프라에 통합하고 Windows·Linux·ESXi 공격 역량을 제공하는 RaaS 운영체계로 재정비되었으므로, 외부 포럼뿐만 아니라 DLS와 Affiliate 인프라를 함께 모니터링하고 내부 확산 차단 및 핵심 가상화 자산 보호를 강화해야 합니다.