킬린 랜섬웨어, 다크웹 유출 목록에 ATF 추가

킬린 랜섬웨어 그룹, 연방 기관 포함 표적 목록 확대

위협 인텔리전스 모니터링 기관들이 킬린(Qilin) 랜섬웨어 그룹이 주장하는 새로운 피해자 명단을 확인했다. 이 그룹은 아젠다(Agenda)라는 이름으로도 추적된다. 이 기사에서 검토한 보고에 따르면, 랜섬웨어 서비스(RaaS) 조직인 이 조직은 미국 알코올·담배·화기·폭발물 단속국(ATF)과 민간 기업인 노던 리싱 시스템즈(Northern Leasing Systems) 및 와이어코(WireCo)를 포함한 5개 기관을 다크웹 협박 사이트에 추가했다. 연방 법집행 기관이 범죄 유출 사이트에 등재된 것은 이러한 그룹들이 추구할 의향이 있는 표적 범위에 있어 주목할 만한 확대를 의미한다.

킬린과 같은 랜섬웨어 서비스 운영은 악성 인프라와 협박 도구를 제휴 해커들에게 임대하는 방식으로 작동하며, 이들 해커가 실제 침입을 수행하고 플랫폼 운영 그룹과 수익을 나눈다. 이러한 비즈니스 모델은 킬린이 모든 공격을 내부적으로 실행할 필요 없이 다양한 부문을 빠르게 타격하며 운영을 신속히 확장할 수 있게 해주었다. 이 그룹은 한동안 위협 환경에서 활동해 왔으며, 기업 및 정부 네트워크에 침투할 새로운 방법을 모색하면서 그 수법도 계속 진화하고 있다.

킬린의 협박 모델 작동 방식

킬린은 현대의 많은 랜섬웨어 그룹과 마찬가지로 일반적으로 이중 협박 전략에 의존한다. 공격자들은 표적의 네트워크에 침투해 민감한 데이터를 유출한 뒤 내부 시스템을 암호화한다. 피해자들은 두 번 압박을 받는다: 한 번은 운영을 복구하기 위한 복호화 키를 얻기 위해 지불하라는 압박이고, 또 한 번은 유출된 데이터가 공개되거나 판매되는 것을 막기 위한 압박이다. 조직이 지불을 거부하면, 그룹은 공개적 압박을 가하고 다른 잠재적 피해자들에게 위협이 신뢰할 만하다는 신호를 보내는 방식으로 다크웹 유출 사이트에 해당 조직을 등재한다.

이러한 패턴은 다른 킬린 캠페인에서도 문서화된 바 있다. 이 그룹은 이전에 기업 보안 어플라이언스의 취약점 악용과 연루된 것으로 알려졌으며, 여기에는 킬린 랜섬웨어가 악용한 팔로알토 네트웍스의 PAN-OS 소프트웨어에 영향을 미치는 우회 결함이 포함되어 기업 네트워크에 대한 초기 접근 권한을 얻는 데 사용되었다. 이 사건은 킬린 운영의 일관된 주제를 보여준다: 이 그룹은 널리 사용되는 인프라 소프트웨어의 약점을 적극적으로 찾아내고, 그 접근 권한을 데이터 탈취 및 암호화와 결합하여 피해자에 대한 레버리지를 극대화한다는 것이다.

연방 기관 표적의 중요성

ATF가 킬린의 유출 목록에 포함된 것은 랜섬웨어 운영자들이 민간 산업에만 국한되지 않는다는 신호를 보내기 때문에 중요하다. 연방 기관은 민감한 법집행 데이터, 인사 기록, 운영 정보를 보유하고 있으며, 이는 유출될 경우 국가 안보 또는 공공 안전에 영향을 미칠 수 있다. ATF 등재가 성공적인 네트워크 침입을 반영하는지, 제3자 공급업체 침해와 관련된 주장인지, 또는 검증되지 않은 협박 시도인지와 관계없이, 랜섬웨어 유출 사이트에 등재된 것 자체가 이러한 범죄 조직들이 야망을 확대하고 있다는 점을 주목하게 만든다.

ATF와 함께 명명된 민간 부문 조직인 노던 리싱 시스템즈와 와이어코는 킬린이 금융, 운영 또는 고객 데이터를 보유하여 랜섬머니를 요구할 가치가 있는 기업들에 대한 지속적인 관심을 반영한다. 공공 및 민간 기관의 광범위한 조합을 대상으로 한 이러한 랜섬웨어 활동 패턴은 다른 곳에서도 관찰되었다. 프랑스에서 수행된 유사한 다크웹 모니터링에서는 랜섬웨어 활동이 4배 증가하여 2년 동안 1억 4,500만 건 이상의 기록된 데이터 노출에 기여한 것으로 나타났다. 이러한 추세는 특정 그룹이나 지역에 국한된 고립된 사건이 아닌 랜섬웨어 캠페인의 빈도와 범위가 전 세계적으로 증가하고 있음을 가리킨다.

이것이 당신에게 의미하는 바

대부분의 독자는 ATF, 노던 리싱 시스템즈 또는 와이어코에서 직접 일하지 않겠지만, 이러한 사건은 더 넓은 의미를 지닌다. 연방 기관이나 주요 민간 기업을 성공적으로 침해한 랜섬웨어 그룹은 해당 조직과 상호작용한 직원, 고객, 계약자 또는 일반 대중의 개인 데이터를 획득하는 경우가 많다. 명명된 조직 중 하나라도 개인 정보와 관련된 침해를 확인한다면, 영향을 받은 개인은 결국 통지서를 받거나 계정에서 의심스러운 활동을 모니터링하라는 조언을 받을 수 있다.

더 넓게 보면, 킬린의 표적 목록 확장은 랜섬웨어 그룹이 기회주의적이라는 점을 상기시킨다. 그들은 기업 소프트웨어든 조직의 보안 관행이든 존재하는 모든 취약점을 악용하며, 표적이 정부 기관인지 민간 기업인지 구분하지 않는다. 이는 어떤 조직과 상호작용하든 좋은 디지털 위생을 실천하는 것의 중요성을 강조한다.

실행 가능한 시사점

명명된 조직 중 하나와 직원, 고객 또는 계약자로서 상호작용한 적이 있다면, 잠재적 데이터 노출에 관한 공식 커뮤니케이션을 주시하라. 가능한 곳에서는 다중 인증을 활성화하고, 민감한 계정에는 고유한 비밀번호를 사용하며, 침해 통지를 받았다면 신용 모니터링 서비스를 고려하라. 한편 조직은 이번 사건을 알려진 취약점을 신속히 패치하고, 민감한 시스템을 분리하며, 랜섬웨어가 접근할 수 없는 오프라인 백업을 유지해야 한다는 또 하나의 상기 신호로 삼아야 한다. 킬린 랜섬웨어와 유사한 RaaS 그룹이 표적 목록을 계속 확대함에 따라, 어떤 조직이 영향을 받았는지 최신 정보를 유지하는 것은 개인이 후속 피해로부터 스스로를 보호할 수 있는 가장 간단한 방법 중 하나다.