Help Net Security의 보고서는 랜섬웨어 조직의 운영 방식에서 우려스러운 변화를 설명합니다. Aur0ra 랜섬웨어 배후 그룹은 AI 에이전트에게 탈취한 자격 증명을 제공하고, 에이전트가 피해자 네트워크를 통해 도메인 관리자 접근 권한을 향해 이동하도록 허용한 것으로 알려졌습니다. 요컨대 AI 에이전트, 랜섬웨어, 탈취한 자격 증명의 조합은 더 이상 이론적인 위험이 아닙니다. 한때 숙련된 인간 운영자가 필요했던 작업을 수행하는 데 실제로 사용되고 있습니다.
공개된 세부 정보는 제한적이므로, 우리가 아는 것과 모르는 것을 신중히 구분할 필요가 있습니다. 아래에서는 보고서의 내용, 그것이 중요한 이유, 그리고 노출 위험을 줄이는 실용적인 단계를 설명합니다.
Aur0ra 그룹이 AI 에이전트로 한 일
보고서에 따르면, Aur0ra 운영자들은 단순히 피싱 이메일을 작성하거나 몸값 요구서를 다듬는 데 AI를 사용하지 않았습니다. 그들은 탈취한 자격 증명을 AI 에이전트에게 넘기고, 해당 에이전트가 도메인 관리자 접근 권한에 도달하는 것을 목표로 피해자 네트워크를 이동하도록 허용했습니다.
이 맥락에서 AI 에이전트란 목표를 받아들이고, 단계를 결정하고, 명령을 실행하고, 결과를 읽고, 조정할 수 있는 소프트웨어입니다. 인간 공격자가 각 명령을 입력하고 각 응답을 해석하는 대신, 에이전트가 그러한 루프의 상당 부분을 스스로 수행합니다. 보고된 목표는 도메인 관리자였으며, 이는 일반적으로 Windows 기반 조직의 대부분 계정과 머신을 제어할 수 있는 접근 수준입니다.
출처 요약은 추가 기술적 세부 정보를 제공하지 않으므로, 에이전트가 어떤 도구를 사용했는지 또는 얼마나 많은 피해자가 영향을 받았는지에 대해 추측하지 않겠습니다.
탈취한 자격 증명이 도메인 관리자 접근 권한이 되는 방법
탈취한 자격 증명은 종종 네트워크 침해의 출발점입니다. 사용자 이름과 비밀번호, 세션 토큰, 또는 원격 접속 로그인은 공격자가 벽을 뚫는 대신 정문으로 걸어 들어올 수 있게 합니다.
거기서부터 네트워크 장악의 일반적인 패턴은 방어자들에게 익숙하게 보입니다:
- 공격자는 유효한 계정으로 로그인하며, 이는 정상적인 활동처럼 보일 수 있습니다.
- 그들은 어떤 시스템과 계정이 존재하는지 파악하기 위해 네트워크를 탐색합니다.
- 그들은 측면 이동을 가능하게 하는 더 강력한 자격 증명이나 잘못된 구성을 찾습니다.
- 그들은 도메인 관리자 권한을 보유할 때까지 계속 권한을 상승시킵니다.
공격자가 도메인 관리자 접근 권한을 가지게 되면, 많은 시스템에 동시에 랜섬웨어를 배포하는 것이 훨씬 쉬워집니다. 이것이 Aur0ra 에이전트의 보고된 목표가 중요한 이유입니다. 도메인 관리자는 침해가 조직 전체의 위기로 전환될 수 있는 지점입니다.
핵심 교훈은 이 사슬이 유효한 로그인에서 시작된다는 것입니다. 강력한 자격 증명 보호와 원격 접속에 대한 엄격한 통제는 프로세스에서 가장 이르고 가장 저렴한 단계를 공격합니다.
AI가 랜섬웨어 공격자의 진입 장벽을 낮추는 이유
역사적으로 네트워크를 통해 도메인 관리자를 향해 이동하려면 인내, 경험, 시간이 필요했습니다. 공격자들은 결과를 읽고, 판단을 내리고, 경보를 건드리지 않도록 해야 했습니다. 그러한 노동력은 한 조직이 처리할 수 있는 피해자 수를 제한했습니다.
자동화는 그 방정식을 바꿉니다. AI 에이전트가 탐색과 권한 상승의 상당 부분을 처리할 수 있다면, 조직은 피해자당 더 적은 수의 숙련된 인력과 더 적은 직접 작업 시간을 필요로 할 수 있습니다. 보고된 Aur0ra 활동은 다음을 시사합니다:
- 덜 숙련된 운영자가 한때 전문성을 요구했던 침해를 시도할 수 있습니다.
- 숙련된 운영자가 더 많은 침해를 병렬로 실행할 수 있습니다.
- 초기 접근과 완전한 장악 사이의 시간이 줄어들어 방어자에게 반응할 여지가 줄어들 수 있습니다.
이는 보고된 행동의 합리적인 함의이며, 확인된 측정치는 아닙니다. 그럼에도 랜섬웨어 그룹은 효과를 유지하기 위해 도구와 인프라를 적응시켜 온 오랜 기록을 가지고 있습니다. DeadLock 랜섬웨어가 테이크다운을 회피하기 위해 Session 앱을 추가하는 방법에 대한 우리의 보도는 다른 각도에서 같은 패턴을 보여줍니다: 운영자들은 무언가 방해가 되면 방법을 계속 바꾸고, 작업을 더 저렴하고 더 회복력 있게 만드는 것은 무엇이든 채택합니다.
이것이 당신에게 의미하는 것
좋은 소식은 AI 에이전트가 여전히 무언가를 필요로 한다는 것입니다. 보고된 사례에서 그것은 탈취한 자격 증명이었습니다. 방어자는 공격자의 도구가 얼마나 영리한지 통제할 수 없지만, 탈취한 로그인이 얼마나 유용한지 통제할 수 있습니다.
개인에게 이것은 재사용되거나 노출된 비밀번호가 훨씬 더 큰 사슬의 첫 번째 고리가 될 수 있다는 알림입니다. 특히 직장과 개인 서비스에 같은 로그인을 사용하는 경우 더욱 그렇습니다. 중소기업과 IT 팀에게 이것은 VPN 게이트웨이와 원격 데스크톱 서비스를 포함한 원격 접속 시스템이 다른 모든 진입점과 동일한 면밀한 검토를 받아야 함을 의미합니다.
자격 증명 기반 공격에 대한 노출을 줄이는 방법
이 단계 중 어느 것도 특별하지 않으며, 함께 적용하면 탈취한 비밀번호의 가치를 훨씬 떨어뜨립니다:
- 비밀번호를 감사하세요. 비밀번호 관리자를 사용하여 모든 계정에 고유하고 긴 비밀번호를 부여하세요. 알려진 침해 사고에 나타난 비밀번호는 변경하세요.
- 다중 인증(MFA)을 켜세요. 가능하면 SMS보다 앱 기반 또는 하드웨어 기반 방법을 선호하고, 이메일, 관리자 계정, 모든 원격 접속에 MFA를 요구하세요.
- VPN 및 원격 접속 설정을 검토하세요. 누가 접근 권한을 가지는지 확인하고, 더 이상 필요하지 않은 계정을 제거하고, 원격 로그인에 MFA가 필요한지 확인하세요. 게이트웨이 소프트웨어를 최신 상태로 유지하세요.
- 권한을 제한하세요. 일상적인 계정에는 관리자 권한이 없어야 합니다. 강력한 계정이 적을수록 도메인 관리자로 가는 경로가 적습니다.
- 비정상적인 로그인을 주시하세요. 이상한 시간대, 익숙하지 않은 위치, 또는 사용자가 전혀 건드리지 않는 시스템에 대한 로그인은 더 주의 깊게 살펴볼 가치가 있습니다.
- 오프라인 백업을 유지하세요. 공격자가 접근할 수 없는 테스트된 백업은 비용을 지불하지 않고 복구할 수 있는 방법을 제공합니다.
결론
Aur0ra 보고서는 AI 에이전트, 랜섬웨어, 탈취한 자격 증명이 결합하여 도메인 관리자를 향한 상승을 자동화하는 명확한 사례입니다. 공격자의 도구는 더 빨라지고 있을 수 있지만, 진입점은 여전히 당신이 강화할 수 있는 것입니다. 이번 주에 시작하세요: 비밀번호를 감사하고, 제공되는 모든 곳에서 MFA를 활성화하고, VPN 및 원격 접속 설정을 검토하세요. 랜섬웨어 운영자가 도구와 인프라를 어떻게 적응시키는지에 대한 더 많은 내용은 DeadLock 랜섬웨어와 Session 앱 사용에 대한 우리의 글을 읽어보세요.
