국경을 넘는 사이버 범죄 파이프라인을 폭로한 서버

잘못 구성되었거나 노출된 서버가 러시아어를 사용하는 초기 접근 브로커(IAB)의 활동을 드러냈습니다. 초기 접근 브로커는 기업 네트워크에 침입한 후 그 접근 권한을 최고가 입찰자에게 판매하는 데 특화된 사이버 범죄자 유형입니다. 이번 발견에 관한 보도에 따르면, 해당 서버는 전 세계 조직들을 대상으로 한 랜섬웨어 침입을 지원하는 동시에 우크라이나 내 표적을 감시하는 이중 목적의 광범위한 작전을 노출했습니다.

초기 접근 브로커는 사이버 범죄 경제에서 독특하고 종종 간과되는 역할을 차지합니다. 이들은 직접 랜섬웨어를 배포하지 않고, 피싱, 자격 증명 스터핑, 노출된 원격 접근 도구 또는 패치되지 않은 취약점을 통해 네트워크에 침입한 후, 그 접근 권한을 재판매용으로 포장하여 공급자 역할을 합니다. 인내심이나 초기 침입 기술이 부족한 랜섬웨어 갱단은 이 접근 권한을 구매하여 곧바로 파일을 암호화하고 금전을 요구합니다. 이러한 분업화는 랜섬웨어 생태계를 더 빠르고, 더 확장 가능하며, 더 붕괴시키기 어렵게 만들었습니다. 하나의 랜섬웨어 그룹을 무너뜨려도 피해자 파이프라인을 지속시키는 브로커들을 막는 데는 거의 도움이 되지 않기 때문입니다.

사이버 범죄와 사이버 스파이 활동이 겹칠 때

이번 사건이 주목할 만한 점은 작전의 이중 목적입니다. 랜섬웨어 그룹에 제공된 것으로 보이는 동일한 인프라와 탈취된 접근 권한이 우크라이나를 향한 감시 활동과도 연결되었습니다. 금전적 동기의 사이버 범죄와 국가 지원 또는 지정학적 동기의 스파이 활동이 결합된 이러한 패턴은 이전의 유사한 조사에서도 나타난 바 있으며, 우크라이나를 염탐하면서 훔친 기업 접근 권한을 판매하는 러시아 해커에 대한 이전 보도도 포함됩니다. 관련된 개인들이 정보 활동을 위해 부업으로 뛰어드는 프리랜서 범죄자이든, 국가 이익과 느슨한 연계를 가진 운영자이든, 그 효과는 동일합니다. 기업을 갈취하는 데 사용되는 도구와 접근 권한이 전시 상황의 적대국을 감시하는 용도로도 쉽게 전용될 수 있다는 것입니다.

이러한 브로커의 피해를 입은 조직들에게 이 중첩은 위험을 상당히 높입니다. 일반적으로 일상적인 랜섬웨어 사고로 처리될 수 있는 침해 사건—즉, 격리, 백업에서 복원, 영향받은 당사자들에게 통지—이 민감한 데이터, 통신 내역, 네트워크 거점이 더 넓은 지정학적 의도를 가진 공격자에게 노출되었음을 의미할 수도 있습니다. 이러한 차이는 침해 사고 대응 팀이 손상의 심각성을 얼마나 무겁게 받아들이고, 랜섬웨어가 배포되기 전에 어떤 데이터에 접근했는지 얼마나 면밀히 조사할지 결정하는 데 중요합니다.

초기 접근 브로커가 일반 인터넷 사용자에게 중요한 이유

접근 브로커 시장이 오직 가치 있는 네트워크를 보호해야 하는 대기업만의 문제라고 생각하기 쉽습니다. 실제로 이러한 브로커들이 판매하는 자격 증명과 거점은 훨씬 더 일상적인 출처에서 비롯되는 경우가 많습니다. 재사용된 비밀번호, 한 명의 직원이 열어본 피싱 이메일, 인터넷에 열려 있는 채로 방치된 원격 데스크톱 연결 등입니다. 개인 계정과 업무 계정에서 비밀번호를 재사용하거나, 설득력 있는 피싱 시도에 넘어가는 개인 사용자는 자신도 모르게 공격자에게 발판을 제공할 수 있으며, 그 발판이 수개월 후에 랜섬웨어 제휴자에게 판매될 수 있습니다.

이번에 노출된 서버는 주요 랜섬웨어 공격 이면의 인프라가 항상 그늘에 숨은 고도로 정교한 국가 해킹 조직이 운영하는 것은 아니라는 점을 상기시킵니다. 때로는 보안이 허술한 서버 하나를 가진 개인 브로커일 뿐이며, 아이러니하게도 그 서버가 연구원들과 언론인들에게 자신들의 작전 세부 정보를 유출하는 결과를 낳습니다.

이것이 의미하는 바

대부분의 독자에게 이 이야기는 공황에 빠질 이유가 아니라, 랜섬웨어 공격이 실제로 어떻게 시작되는지 엿볼 수 있는 유용한 창구입니다. 어떤 회사가 랜섬웨어 공격을 받았다고 발표하기 훨씬 전에, 범죄 포럼이나 비공개 브로커 관계를 통해 누군가가 어딘가에서 그 네트워크에 대한 접근 권한을 판매했을 가능성이 높습니다. 개인 및 조직의 보안 기초를 강화하는 것이 그 공급망을 직접적으로 교란합니다.

IT 시스템을 관리하거나 보안을 중시하는 역할을 맡고 있다면, 자격 증명 위생, 다중 요소 인증, 노출된 원격 접근 서비스에 대한 모니터링에 투자하는 것을 입증하는 사례로 받아들이십시오. 일반 사용자라면, 교훈은 더 간단합니다. 고유한 비밀번호, 비밀번호 관리자 사용, 예상치 못한 로그인 프롬프트나 피싱 이메일에 대한 회의적 태도가 모두 귀하의 자격 증명이 접근 브로커의 카탈로그에 재고로 등록될 가능성을 낮춥니다.

주요 시사점

  • 이번에 노출된 것과 같은 초기 접근 브로커는 중개자 역할을 하며, 직접 공격을 수행하기보다 탈취한 네트워크 접근 권한을 랜섬웨어 갱단에 판매합니다.
  • 이 특정 작전은 랜섬웨어 범죄와 우크라이나 관련 감시 활동을 동시에 지원하는 이중 목적을 수행한 것으로 보입니다.
  • 모든 중요 계정에 다중 요소 인증을 활성화하고 여러 서비스에서 비밀번호를 재사용하지 마십시오.
  • 조직은 원격 접근 도구와 인터넷에 노출된 시스템을 정기적으로 감사해야 합니다. 이들은 브로커에게 흔한 진입 지점으로 남아 있기 때문입니다.
  • 랜섬웨어 공급망이 어떻게 작동하는지 계속 주시하십시오. 접근 브로커의 역할을 이해하면 랜섬웨어가 배포된 이후가 아닌 초기 침해 시점에 방어 우선순위를 정하는 데 도움이 됩니다.