IAB, 침투 권한 판매 전문조직…VPN·RDP·AD·서버 루트 등 액세스 권한 수집·판매
상반기 발생 위협, 전년동기대비 50% 증가…정보유출 사고 30% 차지
[데이터넷] 랜섬웨어 공격 그룹이 더 세분화돼 초기 침투 경로를 제공하거나 수행하는 브로커인 IAB(Initial Access Broker)가 랜섬웨어 서비스(RaaS)의 사업 모델 중 하나로 ‘성업’하고 있다. IAB는 조직에 침투할 수 있는 권한을 판매하는 전문조직으로, 사회공학 기법의 피싱, 패치되지 않은 소프트웨어, 무차별 대입공격, 암호 스프레이 등을 이용해 초기 침투를 위한 권한을 획득한다.
이들은 원격 데스크톱 프로토콜(RDP), 액티브 디렉토리(AD), VPN, 서버 루트 자격증명, 웹셸 액세스, 원격 모니터링과 관리(RMM) 등을 위한 액세스 권한을 탈취해 RaaS나 랜섬웨어 공격그룹에 판매한다. 이들은 RaaS의 계열사 중 하나로 활동하기도 하며, 독립된 조직으로 활동하기도 한다.
특히 제조업을 타깃으로 한 랜섬웨어 그룹이 IAB를 사용해 초기 침투에 필요한 시간과 비용을 줄이면서 공격 성공률을 높이고 있다. SK쉴더스가 올해 상반기 조사한 해킹 사례 중 19%가 제조업을 겨냥한 것이었으며, 제조업의 기밀정보·영업정보 탈취를 위한 IAB 활동이 활발했기 때문으로 분석된다.
연쇄 공급망 공격으로 큰 피해 입어
SK쉴더스는 20일 ‘2023년 상반기 주요 보안 트렌드 및 AI 보안 위협 전망’을 공유하는 미디어 세미나를 개최하고, 상반기 주요 위협 동향으로 IAB의 활동과 연쇄적인 소프트웨어 공급망 공격, 가상화폐 타깃 공격 등에 대해 설명했다.
SK쉴더스가 탐지한 올해 상반기 위협은 전년동기대비 50% 증가했으며, 기밀·개인 금융정보 유출이 전체 사고의 30%를 차지했다. 올해 오래된 취약점 활용 대규모 랜섬웨어와 제로데이 악용 악성코드가 28%를 차지했다.
랜섬웨어 공격도 여전히 큰 비중을 차지하는데, 특히 랜섬웨어 공격그룹이 역할별로 세분화돼 더욱 전문화되고 있다. IAB가 성행하는 것은 물론이고, 개발자, 웹 디자이너까지 역할을 분담하고 있다.
공급망 공격은 매우 심각한 위협이 되고 있는데, 3CX 공급망 공격의 경우, 이전에 다른 공급망 공격에 감염된 직원을 통해 공격자가 침투, 3CX 시스템 관리자 권한을 갖고 3CX 완제품에 더 많은 악성코드를 심었다. 소프트웨어 공급망 공격은 소프트웨어 운영 전 과정에 관여되는 특정 타깃만 감염시키면 이를 이용하는 하위 그룹까지 피해를 입힐 수 있기 때문에 각별히 주의해야 한다.
상반기 발생한 위협 중 2500억원가량의 가상자산을 10분만에 탈취한 플래시론(Flash Loan) 공격은 상당한 파장을 일으켰다. 플래시론 공격이란 탈중앙화(DeFi) 대출 서비스로 받은 대출금을 이용해 비정상적인 행위를 수행하거나 취약점을 공격해 가상 자산을 탈취하는 공격이다. 가상자산 거래가 활발해지면서 공격방법과 대상이 다양해지고 있다고 SK쉴더스는 설명했다.
생성형 AI 이용 딥페이크 공격 늘 것
SK쉴더스는 하반기 주요 보안 위협으로 ▲확장된 소프트웨어 공급망 공격 ▲랜섬웨어 시장 변화 ▲북한발 해킹 증가 ▲소프트웨어 취약점 악용 공격 ▲피싱 패턴의 다양화 등을 들었다. 김수키, 라자루스 등 대표 북한 해커 그룹이 특정 타깃을 목표로 하는 스피어 피싱과 악성코드 기능을 고도화시키고 있어 피해가 커질 것으로 분석했다.
업무에 자주 활용되는 소프트웨어의 취약점을 통한 공격도 유의 대상이다. 올해 상반기 프린터 관리 솔루션과 파일 전송 솔루션 등의 제로데이 및 오래된 취약점을 악용한 대규모의 랜섬웨어 공격이 일어난만큼 하반기에도 발생할 가능성이 높은 것으로 전망했다.
이 밖에도, 생성형 AI를 딥페이크 기술에 접목해 피해자의 목소리와 얼굴을 모방한 후 피싱 공격을 수행하는 행태도 늘어날 것으로 예상했다. 피싱 패턴이 다양화될 것으로 보이는 가운데, 출처가 불분명한 이메일이나 첨부파일을 실행하지 않도록 주의를 당부했다.
한편 SK쉴더스의 보안 전문가 그룹 이큐스트(EQST)는 생성형 AI에 대한 보안 위협과 그에 따른 공격 시나리오를 공개했다. 보안 위협은 AI 모델과 학습 데이터를 대상으로 공격하는 유형과 AI 활용 서비스를 악용하는 데서 발생하는 위협으로 분류된다. AI 모델을 대상으로 한 위협으로는 입력 데이터를 조작하거나 악의적인 데이터를 추가해 조작하는 공격이 있다. AI 활용 서비스를 악용한 공격에는 프롬프트 인젝션, 민감정보 유출, 악성코드 생성, 딥페이크 등을 꼽았다.
생성형 AI의 도입이 전 산업계로 확대됨에 따라 EQST는 보안 영역에서의 실제 활용 방안을 테스트한 결과를 발표했다. 보안 실무에서 주로 사용하는 4가지 분야에 생성형 AI를 도입해 검증했다. 활용도가 높은 순으로 ‘시나리오 모의해킹’, ‘시큐어 코딩’이 각각 60%, 50%를 차지했다. 모의해킹 시나리오를 생성하거나 주요 프로그래밍 언어에 대한 분석이 가능함을 확인했다. 모바일 서비스의 보안 취약점을 점검하거나 악성코드를 분석하는데는 활용도가 떨어졌다.
이호석 이큐스트 랩 담당은 “생성형 AI 모델이 발전함에 따라 정확도와 활용도가 높아질 것으로 보이지만 보안 영역에서 활용하기엔 초·중급 수준”이라며 “생성형 AI가 도출해 낸 결과에 의존하기 보다는 보조 도구로 적절히 활용해야 할 것”이라고 밝혔다.
