SOCRadar의 연구원들이 범죄자들의 작업 방식을 엿볼 수 있는 흔치 않은 기회를 발견했습니다. INC와 The Gentlemen 랜섬웨어 조직의 제휴 범죄자들과 연결된 오픈 서버에는 Claude와 Kimi를 사용한 8,257개의 AI 메시지, 46개의 암호화 빌드, 62명의 명명된 피해자가 있었습니다. 이번 발견은 랜섬웨어 갱단이 일상 업무의 일부로 AI 비서를 사용하고 있음을 보여주는 구체적인 사례이며, 개인과 소규모 기업에게 유용한 교훈을 제공합니다.
원본 보고서가 간략하기 때문에, 이 기사는 공개된 내용에만 충실하고 공개되지 않은 세부 사항에 대해서는 추측하지 않습니다.
SOCRadar가 오픈 서버에서 발견한 것
SOCRadar 조사 결과 요약에 따르면, 해당 서버는 공개적으로 접근 가능한 상태로 방치되어 있었으며 INC와 The Gentlemen 두 랜섬웨어 그룹의 제휴 범죄자들과 연결되어 있었습니다. 세 가지 숫자가 이번 발견을 정의합니다:
- 8,257개의 AI 메시지: Claude와 Kimi 비서와 주고받은 메시지
- 46개의 암호화 빌드: 배포 준비가 완료된 파일 잠금 악성코드의 컴파일된 버전
- 62명의 명명된 피해자: 서버에서 식별된 조직들
이런 종류의 노출된 서버는 문이 열린 채 방치된 작업장과 같습니다. 연구원들은 완성된 공격만 보는 것이 아니라 그 뒤에 있는 도구, 기록, 작업 대화까지 볼 수 있습니다. 범죄자들이 인프라를 안전하게 보호하지 않는 것과 같은 운영상의 실수는 방어자들이 이런 종류의 가시성을 얻을 수 있는 몇 안 되는 방법 중 하나입니다.
INC와 The Gentlemen이 Claude와 Kimi를 사용한 방법
가장 주목할 만한 세부 사항은 AI 대화의 양입니다. 8천 개가 넘는 메시지는 이 비서들이 일회성 실험이 아니라 이 제휴 범죄자들의 워크플로에서 정기적인 부분이었음을 시사합니다. 원본 자료는 암호화 빌드 및 피해자 기록과 함께 채팅이 존재했음을 확인합니다. 여기서 이용 가능한 정보로는 비서들이 어떤 작업에 사용되었는지 모든 것을 명시하지 않으므로, 특정 프롬프트나 출력에 대해 추측하지 않겠습니다.
이 조합이 보여주는 것은 AI 채팅 도구가 공격 캠페인의 기계장치 옆에 자리하고 있다는 점입니다. 한쪽에는 악성코드 빌드, 다른 쪽에는 피해자 목록, 그 사이에는 긴 AI 대화 기록이 있습니다. 방어자들에게 실질적인 시사점은 AI가 범죄자들의 일상 업무를 가속화할 수 있으며, 이는 공격을 준비하고 실행하는 데 필요한 노력을 줄일 수 있다는 것입니다.
두 가지 다른 비서가 등장한다는 점도 중요합니다. Claude와 Kimi는 서로 다른 개발자로부터 나왔으며, 이는 제휴 범죄자들이 단일 도구에 묶여 있지 않고 도구 간에 전환할 수 있음을 시사합니다.
62명의 명명된 피해자가 표적화에 대해 시사하는 것
46개의 암호화 빌드와 함께 62명의 명명된 피해자는 일회성 침입이 아닌 조직적이고 반복 가능한 운영을 가리킵니다. 많은 빌드가 준비되어 있다는 것은 공격자들이 맞춤형 또는 다양한 버전의 악성코드를 미리 준비한다는 것을 의미하며, 이는 단순한 시그니처 기반 탐지를 덜 신뢰할 수 있게 만들 수 있습니다.
원본 자료는 피해자들이 속한 산업이나 지역을 분류하지 않으므로, 부문별 표적화에 대해 확고한 결론을 내리는 것은 잘못입니다. 더 좁은 해석이 합리적입니다. 랜섬웨어 제휴 범죄자들은 표적 목록을 유지하고 도구를 미리 준비합니다. 이 패턴은 갱단이 압박하기 쉬운 조직을 공격하는 광범위한 추세와 일치하며, 이는 Qilin과 Akira 랜섬웨어 갱단이 공급망 공격을 확대하는 방법에 대한 우리의 분석에서 다룬 주제입니다.
이것이 당신에게 의미하는 것
소규모 사업체를 운영하거나 자신의 기기를 관리한다면, 이 뉴스가 멀게 느껴질 수 있지만 교훈은 실용적입니다. AI 지원은 새로운 침입 방법을 발명하기보다는 기존 방법을 더 빠르게 준비할 수 있게 합니다. 이는 기본이 덜 중요해지는 것이 아니라 더 중요해진다는 것을 의미합니다.
- 개인: 공격자들은 여전히 도난당한 비밀번호, 패치되지 않은 소프트웨어, 속은 사용자에 의존합니다. 강력하고 고유한 로그인과 업데이트된 기기는 여전히 효과적인 장벽입니다.
- 소규모 사업체: 작다는 것이 보호가 아닙니다. 제휴 범죄자들은 피해자 목록을 유지하며, 도구가 이미 구축되어 있으면 준비 비용이 저렴합니다.
- 모든 사람: 어설픈 문구나 서투른 기법으로 공격을 식별할 수 있다고 가정하지 마십시오. AI는 둘 다 다듬는 데 도움을 줄 수 있습니다.
백업, 패치, MFA로 랜섬웨어 위험을 줄이는 방법
누가 또는 무엇이 공격자를 돕든, 세 가지 습관이 랜섬웨어에 대한 대부분의 역할을 합니다:
- 오프라인 또는 불변 백업을 유지하십시오. 랜섬웨어는 파일을 잠그도록 설계되어 있으며, 공격자가 접근할 수 없는 백업은 위기를 불편함으로 바꿉니다. 정기적으로 복원을 테스트하십시오. 테스트되지 않은 백업은 추측에 불과합니다.
- 신속하게 패치하십시오. 운영 체제, 브라우저, VPN 어플라이언스, 원격 접속 도구의 업데이트를 가능한 한 빨리 설치하십시오. 인터넷에 노출된 모든 것에 우선순위를 두십시오.
- 다중 인증(MFA)을 활성화하십시오. 이메일, 원격 접속, 관리자 계정, 클라우드 서비스에서 활성화하십시오. 그러면 도난당한 비밀번호만으로는 훨씬 덜 유용해집니다.
몇 가지 지원 단계를 추가하십시오. 관리자 권한을 제한하고, 중요한 시스템을 일상적인 시스템과 분리하며, 공격을 받았을 때 누구에게 연락할지 기록해 두십시오.
핵심 요점
SOCRadar의 발견은 AI 비서를 사용하는 랜섬웨어 갱단이 이미 수천 개의 메시지, 수십 개의 악성코드 빌드, 수십 명의 피해자로 측정되는 규모로 운영되고 있음을 상기시킵니다. 범죄자들이 이러한 도구로 무엇을 하는지 통제할 수는 없지만, 얼마나 준비되어 있는지는 통제할 수 있습니다. 이번 주에 오프라인 백업을 설정하고, 신속하게 패치하며, MFA를 활성화하십시오. 조직에 대한 광범위한 압력을 이해하려면 Qilin과 Akira 같은 랜섬웨어 갱단이 공급망을 표적으로 삼는 방법에 대한 우리의 기사를 읽으십시오.
