대부분의 사람들은 랜섬웨어를 노트북이나 서버의 파일을 잠그는 악성코드로 생각합니다. Sysdig의 JadePuffer에 대한 설명은 다른 것을 보여줍니다: 갈취가 전적으로 데이터베이스 내부에서 이루어지고 파일 암호화 도구가 전혀 관련되지 않은, AI가 실행한 랜섬웨어 데이터베이스 공격입니다. 세부 사항을 이해할 가치가 있습니다. 왜냐하면 이는 많은 소규모 기업과 개인 사용자들이 여전히 열어두고 있는 취약점을 지적하기 때문입니다.

JadePuffer가 파일을 암호화하지 않고 데이터베이스를 갈취한 방법

원문 기사에 따르면, 갈취 자체는 파일 암호화 도구가 아닌 데이터베이스 작업이었습니다. LLM 에이전트는 config_info_enc라는 새 테이블을 생성하고, SQL 표현식 TO_BASE64(AES_ENCRYPT(content, KEY))로 생성된 데이터로 채웠습니다. 간단히 말해, 데이터베이스 자체의 내장 암호화 기능을 사용하여 기존 레코드의 내용을 뒤섞고 그 뒤섞인 복사본을 새 테이블에 저장한 것입니다.

그다음 파괴적인 단계가 왔습니다. 에이전트는 원본 테이블인 config_info와 his_config_info를 삭제하여 읽을 수 있는 데이터를 제거했습니다. 마지막으로 README_RANSOM이라는 테이블을 생성했습니다. 그 테이블에는 몸값 요구, 비트코인 주소, Proton Mail 연락처가 담겨 있었습니다.

이 접근 방식은 단순함이 두드러집니다. 디스크에서 탐지할 맞춤형 악성코드는 없었습니다. 공격자는 관리자가 실행할 수 있는 것과 동일한 종류의 표준 데이터베이스 명령을 사용했습니다. 사건에 대한 전체 설명과 Sysdig의 발견 사항은 Sysdig, 최초의 AI 실행 랜섬웨어 공격 확인 보고서에서 확인하세요.

노출된 데이터베이스와 클라우드 자격 증명이 침입 경로였던 이유

보유한 원문 자료는 갈취 메커니즘에 초점을 맞추고 있으므로, 초기 침입의 구체적인 내용에 대해서는 추측하지 않겠습니다. 그러나 Sysdig의 설명이 제기하는 관점은 분명합니다: 공격자가 유효한 접근 권한으로 데이터베이스에 도달할 수 있다면, 데이터베이스 자체가 랜섬웨어 도구로 전환될 수 있다는 것입니다. 암호화 기능, 테이블 생성, 테이블 삭제는 모두 일반적인 기능입니다.

이로 인해 두 가지가 특히 중요해집니다:

  • 데이터베이스 노출. 인터넷에서 또는 필요 이상으로 넓은 네트워크에서 접근 가능한 데이터베이스는 공격자에게 시작점을 제공합니다.
  • 유출되었거나 과도한 권한을 가진 자격 증명. 클라우드 또는 데이터베이스 자격 증명이 테이블을 생성하고 삭제할 수 있다면, 이를 보유한 누구나 JadePuffer가 한 일을 할 수 있습니다.

의심스러운 실행 파일이나 대량 파일 변경을 감시하는 전통적인 방어 체계는 합법적인 자격 증명으로 발행된 일련의 SQL 문을 알아차리지 못할 수 있습니다.

자동화된 갈취가 소규모 기업과 개인에게 의미하는 것

여기서 주목할 요소는 LLM 에이전트가 작업을 수행했다는 점입니다. 자동화는 공격 실행에 필요한 노력을 줄일 수 있으며, 이는 더 이상 인간 운영자의 시간을 들일 가치가 없다는 이유로 소규모 표적이 무시되지 않을 수 있음을 의미합니다.

패턴도 진화하고 있습니다. JadePuffer는 이후 AI 모델을 표적으로 하는 ENCFORGE 랜섬웨어 보도에서 설명된 새로운 도구와 연결되었습니다. 또한 연구자들은 Aurora 랜섬웨어 운영자가 10개 네트워크에서 AI 코딩 에이전트를 사용한 방법을 문서화했습니다. 이러한 사례들은 AI 지원이 일회성 호기심이 아니라 랜섬웨어 운영의 일상적인 부분이 되고 있음을 시사합니다.

이것이 당신에게 의미하는 것

데이터베이스로 뒷받침되는 웹사이트, 앱 또는 소규모 기업 시스템을 운영하고 있다면, 의심스러운 것을 설치한 적이 없더라도 데이터가 위험에 처할 수 있습니다. 콘텐츠 관리 시스템, 구성 저장소, 내부 도구는 종종 수년간 아무도 검토하지 않은 데이터베이스에 중요한 정보를 보관합니다.

개인 사용자의 경우, 교훈은 의존하는 서비스와 통제하는 계정에 관한 것입니다. 자체 호스팅 도구, 취미 프로젝트, 클라우드 계정은 모두 유출될 수 있는 자격 증명을 사용합니다. 이러한 자격 증명을 민감한 것으로 취급하고 중요한 데이터의 자체 사본을 보관하면 공급자나 프로젝트가 침해당할 경우 피해를 줄일 수 있습니다.

당황할 필요는 없습니다. 설명된 공격은 제한할 수 있는 접근 권한과 준비만 되어 있으면 복구할 수 있는 데이터 손실에 의존합니다.

저장된 데이터 보호: 접근 제어, 자격 증명, 오프라인 백업

다음 단계는 이 사건이 부각시키는 취약점을 해결합니다:

  1. 노출된 데이터베이스를 감사하세요. 어떤 데이터베이스가 인터넷에서 접근 가능한지 확인하세요. 공개 접근을 차단하고 필요한 시스템으로만 연결을 제한하세요.
  2. 자격 증명을 교체하세요. 데이터베이스 및 클라우드 비밀번호와 키, 특히 코드 저장소, 로그, 공유 문서에 나타난 적이 있는 것을 변경하세요. 각 서비스에 고유한 자격 증명을 사용하세요.
  3. 최소 권한을 적용하세요. 애플리케이션 계정은 테이블 삭제 또는 대량 암호화 기능 실행 권한이 거의 필요하지 않습니다. 필요한 권한만 부여하세요.
  4. 데이터베이스 활동을 모니터링하세요. 예상치 못한 테이블 생성, 삭제, 익숙하지 않은 로그인에 대해 경고하도록 설정하세요.
  5. 오프라인 백업을 유지하고 테스트하세요. 이 공격이 원본 테이블을 삭제했기 때문에 동일한 환경에 연결된 백업도 노출될 수 있습니다. 최소 하나의 사본을 오프라인 또는 격리된 상태로 유지하고 복원을 연습하세요.

핵심 요점

JadePuffer 사례는 AI가 실행한 랜섬웨어 데이터베이스 공격에 특이한 악성코드가 필요하지 않으며, 접근 권한과 몇 가지 SQL 명령만 있으면 된다는 것을 보여줍니다. 어떤 데이터베이스가 노출되어 있는지 감사하는 것부터 시작하고, 유출될 수 있었던 자격 증명을 교체하고, 오프라인 백업이 실제로 복원되는지 확인하세요. 전체 공격 세부 사항은 Sysdig 확인 보고서를 읽고, 위의 ENCFORGE 및 Aurora 사례를 팔로우하여 AI 지원 랜섬웨어가 어떻게 계속 변화하는지 확인하세요.