멀웨어 회피를 위한 구독 모델

성장하는 언더그라운드 시장은 가장 발전된 멀웨어 회피 기술 일부를 단순한 구독 기반 제품으로 재포장하고 있다. 확인된 크립터 판매자 24명의 활동을 상세히 다룬 보고서에 따르면, 이들이 제공하는 도구에는 이제 엔드포인트 탐지 및 대응(EDR) 회피와 메모리 내 실행이 포함된다. 이러한 능력은 한때 숙련되고 자원이 풍부한 공격자만의 전유물이었다. 오늘날에는 정당한 소프트웨어와 매우 비슷하게 판매되고 있다. 반복 청구되는 요금, 고객 지원, 정기 업데이트가 함께 제공된다.

이것이 중요한 이유는 크립터가 멀웨어가 현대 방어 체계를 통과하는 방식의 중심에 있기 때문이다. 크립터는 악성 코드를 난독화하거나 암호화하여 바이러스 백신 도구와 EDR 플랫폼이 이를 알려진 위협으로 인식하지 못하게 만든다. 그러한 서비스가 월 요금만 내면 누구나 빌릴 수 있는 것이 되면, 설득력 있고 탐지하기 어려운 공격을 시작하는 진입 장벽이 크게 낮아진다.

EDR 회피와 메모리 내 실행이 상품인 이유

EDR 도구는 모든 규모의 기업에서 표준 방어 계층이 되었으며, 알려진 시그니처와 파일을 단순 비교하는 대신 엔드포인트에서 의심스러운 행동을 감시한다. 이를 우회하기 위해 공격자들은 악성 코드를 디스크에 전혀 기록하지 않는 기법에 점점 더 의존한다. 대신 코드는 전적으로 컴퓨터 메모리에서 실행되므로 기존 탐지 방식이 포착하기 훨씬 어렵다.

보고서가 강조하는 것은 이 기법이 다른 EDR 우회 방법과 함께 더 이상 개별 해킹 그룹에 의해서만 개발되지 않는다는 점이다. 반복 가능한 서비스로 패키징되고 마케팅되며 판매되고 있다. 이러한 변화는 사이버 범죄 경제 전반에서 이미 나타나고 있는 더 넓은 추세를 반영한다. 랜섬웨어 운영은 맞춤형 익스플로잇보다 탈취한 신원에 점점 더 의존한다. 접근 권한을 사는 것이 처음부터 직접 구축하는 것보다 쉽고 저렴한 경우가 많기 때문이다. 서비스형 크립터도 같은 논리를 따른다. 다른 사람의 회피 기술을 구독할 수 있는데 왜 직접 개발하겠는가?

더 큰 그림: 성숙해지는 사이버 범죄 공급망

유사하고 표준화된 제품을 제공하는 활동 중인 판매자 24명이 등장했다는 것은 사이버 범죄 언더그라운드 내 공급망이 성숙해지고 있음을 시사한다. 이는 하나의 그룹이 새로운 기법을 독점하는 것이 아니라, 판매자들이 가격, 업데이트 빈도, 현재 제품의 탐지 회피 성능으로 차별화하는 경쟁 시장이다.

그러한 상업적 생태계는 원래 개발자 너머로 유능한 도구의 확산을 가속하는 경향이 있다. 이는 최근 보안 뉴스에서도 볼 수 있는 패턴이다. 24시간 안에 전체 네트워크를 암호화할 수 있는 빠르게 움직이는 랜섬웨어 변종부터 숨겨진 Tor 인프라를 통해 조정되는 갈취 작전까지. 핵심 공격 구성 요소가 제품이 되면, 이를 사용하는 사람들은 깊은 기술 전문 지식이 필요 없다. 구독권과 표적만 있으면 된다.

이러한 추세는 보안 연구자들이 여러 전선에서 추적하고 있는 새롭고 진화하는 위협의 더 넓은 패턴에도 들어맞는다. 여기에는 AI 지원 멀웨어와 산업 및 오픈소스 시스템에 걸친 취약점이 포함되며, 최근 새로운 보안 위협 종합 보도에서 다뤄졌다. 서비스형 크립터는 가격 등급과 고객 유지 전략까지 갖추면서 합법적인 소프트웨어 시장과 점점 더 닮아가는 사이버 범죄 경제의 또 하나의 조각이다.

이것이 당신에게 의미하는 것

대부분의 개인에게 이 소식이 하룻밤 사이에 새로운 개인적 위협이 나타났다는 뜻은 아니다. 크립터 서비스는 주로 조직을 표적으로 삼는 사이버 범죄자들이 기업 방어 체계를 통과해 멀웨어나 랜섬웨어를 침투시키기 위해 구매하고 사용한다. 하지만 이러한 추세는 디지털 개인정보 보호와 보안에 관심 있는 모든 사람에게 실질적인 의미를 갖는다.

첫째, 고급 보안 소프트웨어를 우회하는 데 필요한 도구가 상품화되고 더 널리 접근 가능해지고 있다는 신호이며, 이는 일반적으로 공격을 줄이기보다 늘린다. 둘째, 바이러스 백신 소프트웨어 하나와 같은 단일 방어 계층에 의존하는 것이 더 이상 충분하지 않은 이유를 강화한다. 공격자들은 바로 그러한 방어를 통과하도록 도구를 정교하게 만들고 있다.

기업과 IT 팀에게 이는 행동 모니터링, 네트워크 세분화, 일부 위협은 초기 탐지 계층을 통과할 것이라고 가정하는 것의 중요성을 강조한다. 일반 사용자에게는 자격 증명, 업데이트, 의심스러운 다운로드를 처리하는 방식을 포함한 전반적인 보안 태세의 강도가 그 어느 때보다 중요하다는 것을 상기시킨다.

실행 가능한 핵심 조치

  • 운영 체제, 브라우저, 보안 소프트웨어를 최신 상태로 유지하라. 회피 기술은 종종 오래된 방어를 표적으로 삼기 때문이다.
  • 기업은 EDR이나 바이러스 백신에만 의존해서는 안 된다. 네트워크 모니터링과 최소 권한 접근을 포함한 계층화된 방어가 여전히 필수적이다.
  • 원치 않는 첨부 파일이나 링크에 주의하라. 크립터는 일반적인 피싱 수법으로 전달되는 멀웨어를 위장하는 데 자주 사용되기 때문이다.
  • 상업화된 사이버 범죄 도구가 어떻게 진화하는지 이해하기 위해 지속적인 보안 보도를 따르라. 인식은 개인과 조직이 방어를 선제적으로 조정하는 데 도움이 된다.

EDR 회피와 메모리 내 실행 기술의 상업화는 사이버 범죄가 더 통제되고 있는 것이 아니라 더 접근하기 쉬워지고 있다는 분명한 신호다. 이러한 변화에 대해 계속 정보를 얻고 강력하고 계층화된 보안 습관을 유지하는 것이 이들보다 한 발 앞서는 가장 실용적인 방법으로 남아 있다.