IRGC 수장 사망에 대한 이란의 사이버 대응, 보고된 TTP와 이전 접속을 사용할 가능성이 높습니다.

IRGC 수장 사망에 대한 이란의 사이버 대응, 보고된 TTP와 이전 접속을 사용할 가능성이 높습니다.

레코디드 퓨처의 인식트 그룹(® )은 카셈 술레이마니 살해에 대한 이란의 대응 가능성을 분석하기 위해 입수 가능한 정보를 검토했습니다. 이 보고서는 사이버 기반 보복에 관여할 가능성이 있는 전술, 도구 및 그룹을 정리한 것입니다.

이 보고서는 특히 페르시아만의 긴장이 고조되고 있는 상황에서 이란 국가 지원 단체의 표적이 될 우려가 있는 조직과 중동의 지정학적 사건을 주시하는 조직에서 가장 큰 관심을 가질 것입니다.

Insikt Group 해당 사건과 관련된 새로운 정보가 확인되거나 이와 관련된 사이버 위협 활동이 탐지될 경우, 관련 내용을 지속적으로 업데이트해 드리겠습니다. 다음 링크를 참조하시면 추가적인 배경 정보를 확인할 수 있습니다. 이란은 국가가 지휘하는 사이버 작전을 관리합니다. 그리고 일부 국가 후원 및 애국적 해커들의 역사. 출처에는 Recorded Future의® 플랫폼에서 수집된 정보와 기타 공개 자료가 포함됩니다.

Executive Summary

1월 3일 새벽, 이란의 이슬람 혁명수비대(IRGC) 소속 쿠드스 부대(IRGC-QF)의 사령관 카셈 솔레이마니와 이라크의 인민동원군(PMF) 부사령관 아부 마흐디 알-무한디스, 그리고 다른 여러 명이 이라크 바그다드 국제공항 근처에서 미국 미사일 공격으로 사망했습니다. 우리는 특히 수레이마니와 알-무한디스의 사망이 이란과 그 동맹국으로부터의 보복 조치를 유발할 가능성이 매우 높다고 평가합니다. 이 보복 조치는 이란 군대와 그 동맹 민병대가 중동 지역에서 미국 및 동맹국 정부와 기업 이익을 대상으로 한 보복적 비대칭 조치를 실행하는 패턴을 포함할 수 있습니다.

주요 판단

배경

2020년 1월 2일 오후 늦게(동부 표준시), 언론 보도에 따르면 미국 미사일 공격이 이라크 바그다드 국제공항 근처에서 발생했습니다. 공습으로 여러 명이 사망했으며, 이 중에는 이란 이슬람 혁명수비대(IRGC)의 쿠드스 부대(IRGC-QF) 사령관 카셈 솔레이마니와 이라크 민병대인 인민동원군(PMF)의 부사령관 아부 마흐디 알-무한디스가 포함되었습니다. 보고된 사망자 중에는 PMF의 다른 대표들 여러 명이 포함되어 있으며, 이 중에는 해당 단체의 홍보 담당 책임자인 모하메드 리다 자브리도 포함되어 있습니다. 미국 국방부의 성명서와 이란 정부 언론의 보도에 따르면, 해당 공격이 확인되었으며 수레이마니가 공격의 표적이였음이 확인되었습니다.

위협 분석

인사이트 그룹은 특히 솔레이마니의 사망이 이란 정부의 대응을 유발할 가능성이 높다고 평가하며, 여기에는 이란의 군사 자산, 대리인 또는 그 동맹 민병대가 중동 내 미국 정부 및 기업, 사우디아라비아, 아랍에미리트(UAE), 이스라엘 등 미국의 지역 파트너에 대한 보복 비대칭 조치를 실행하는 여러 시나리오가 포함될 수 있다고 전망합니다.

현재까지 Recorded Future는 이란의 군사, 외교, 정치 지도자들이 보복 공격이 발생할 것이라고 일치된 입장을 밝혔으나, 이러한 발언에는 보복 공격이 언제, 어떻게, 어디서 발생할지에 대한 구체적인 내용은 포함되지 않았습니다. 이란의 최고 지도자 아야톨라 알리 하메네이는 2020년 1월 3일, 수레이마니를 공격한 자들에게 "엄중한 보복"이 기다리고 있다고 선언하고, 사망한 IRGC-QF 사령관을 추모하기 위해 3일간의 국가 애도 기간 을 선포했습니다. 1월 5일, 이란 최고 지도자의 군사 고문인 호세인 데흐간 소장은 이란의 대응이 "확실히 군사적일 것"이며 미국 "군사 시설"을 대상으로 할 것이라고 밝혔습니다.

보복의 필요성 읽기

최근 몇 년간, 솔레이마니 장군은 국내에서 광범위한 지지를 받았다고 전해지며, 이는 그가 이슬람국가(IS) 그룹의 테러 공격과 위협으로부터 국가를 보호하는 전략을 수립했다는 인식 때문으로 분석됩니다. 여러 보고서에 따르면, 솔레이마니의 사망은 최근 이란 군사 역사에서 이례적인 보복 요구를 촉발시켰으며, 이는 정부나 이란 군인들에게 극도의 폭력이 가해진 경우를 제외하고는 드문 현상입니다. 이 사례에는 2017년 6월 IS의 이란 의회 공격과 2017년 8월 IS에 의해 이란 혁명수비대(IRGC) 장교모센 호자지( Mohsen Hojaji) 가 참수된 사건이 포함됩니다. 전자는 IS에 대한 탄도 미사일 공격으로 이어졌으며, IRGC 장교 호자지는 IS와의 전투에서 상징적인 인물이 되었습니다. 당시 솔레이마니는 IRGC 고위 간부들 중 한 명으로, 호자지의 사망에 대한 대응을 주도했습니다.

이란이 솔레이마니의 사망에 대한 대응으로 채택할 가능성이 높은 보다 계산된 접근 방식을 보여주는 역사적 사례 중 하나는 1998년 아프가니스탄 탈레반에 의해 이란 외교관들이 살해된 사건입니다. 1998년, 아프가니스탄 탈레반에 의해 이란 외교관 약 10명이 살해되는 사건이 발생했습니다. 이 사건은 탈레반에 대한 대중의 분노를 일으켰으며, 약 20만 명의 이란 군대가 동원되는 결과를 초래했습니다. RAND Corporation의 연구는 이란 정부가 아프가니스탄 위기를 대응하기 위해 실용적인 의사결정 과정을 거쳤음을 보여주었습니다. IRGC와 극단적 정치 세력의 군사적 대응을 요구하는 강경파의 압력에도 불구하고, 최고 지도자 하메네이는 대신 "전쟁의 위험 없이" 대응하는 방안을 선택했습니다. 同様に, 2020년 1월 5일, 카메네이의 주요 참모인 IRGC 장군 호세인 데흐간은 솔레이마니의 살해에 대해 이란이 군사적으로 대응할 것이라고 주장했지만, 전쟁을 추구하지 않을 것이라고 밝혔습니다.

인사이트 그룹은 이란이 솔레이마니의 사망으로 인한 압박을 상쇄하고 미국과의 직접적인 군사적 교전 가능성을 더 이상 부추기지 않으면서 균형을 맞추기 위해 신중한 비대칭 대응을 추구할 가능성이 있다고 평가합니다.

최근 비대칭 보복 공격의 사례

과거에 이란 또는 이란의 지원을 받는 세력이 취한 것으로 의심되는 보복 조치에는 다음이 포함되지만 이에 국한되지는 않습니다:

이란은 미국, 지역 파트너, 서방의 이익에 반하는 대응에 관여할 수 있는 고도로 유능한 컴퓨터 네트워크 운영 팀을 다수 보유하고 있습니다. 레코디드 퓨처는 첩보 활동을 통해 얻은 이전 접근 권한이 이러한 보복 조치를 용이하게 할 가능성이 높다고 생각합니다. 특히, 이란 팀은 이전 공격에서 파괴적인 사이버 역량을 사용했으며, 이는 유사한 상황에서 이러한 멀웨어를 배포할 의지와 능력을 모두 갖춘 것으로 평가합니다. 또한 이란 공격자들은 웹 셸, 비밀번호 스프레이, 맞춤형 멀웨어와 상용 멀웨어의 조합을 통해 표적 환경에 접근하는 것을 선호하는 것으로 알려져 있습니다. 이전의 사이버 대응 시나리오에서 파괴적인 멀웨어가 사용되었음에도 불구하고 솔레이마니 장군이 미국의 공습으로 사망한 것은 독특한 상황이며, 이란이 어떤 사이버 역량을 미국과 파트너의 이익을 위해 활용할지에 대한 우리의 평가에 상당한 불확실성을 불러일으킵니다.

2019년 6월, Recorded Future는 APT33 악성 소프트웨어의 활동이 미국 산업, 핵심 인프라, 및 정부 기관을 대상으로 진행되고 있음을 관찰했습니다. 이로부터 곧이어 6월 22일, 도널드 트럼프 미국 대통령은 페르시아만 지역에서 긴장이 고조되는 가운데 이란의 미사일 시스템에 대한 사이버 공격을 실시했다고 밝혔습니다. 이란은 또한 걸프 해역에서 일본 유조선에 리벳 지뢰를 설치했다는 혐의로 비난을 받았으며, 이는 지역 내 긴장을 고조시켰습니다. 2019년 6월 당시, 미국 사이버 보안 및 인프라 보안국(CISA)은 이란과 관련된 행위자들이 목표 대상에 와이퍼 악성 소프트웨어를 배포하는 사례가 증가했다고 보고했습니다. 그러나 국가안보국(NSA)의 위협 운영 센터 기술 담당자는 이란 행위자들이 파괴가 아닌 첩보 수집에 초점을 맞춘 정상적인 첩보 활동 계속하고 있다고 밝혔습니다.

이전 액세스 및 도구가 사이버 대응에 도움이 될 수 있습니다.

레코디드 퓨처는 긴장이 고조되는 이 시기에 이란 위협 행위자들이 미국 산업, 주요 인프라, 정부 기관을 지속적으로 표적으로 삼을 것으로 예상합니다. 이란의 공격자들이 사이버 스파이 활동을 위해 미국 국내 정부, 군사 및 상업 기관을 계속 표적으로 삼을 것으로 평가하지만, 페르시아만 지역의 조직은 파괴적인 사이버 공격의 가장 큰 위험에 처해 있습니다. 또한 이란의 APT33, APT34(일명 오일리그) 또는 MUDDYWATER도 사이버 스파이 활동에서 중동의 미국 동맹국 및 파트너를 표적으로 삼을 가능성이 높다고 판단하고 있습니다. 사용자 지정 도구와 상용 도구가 지속적으로 혼합될 것으로 예상되며, 특히 의심스러운 Powershell 및 WMIC 기반 동작을 모니터링할 것을 권장합니다.

APT33, APT34, APT35가 이전에 수행한 인증 정보 수집 활동은 표적 환경에 대한 초기 액세스 권한을 얻는 데 사용될 수 있다고 평가합니다. 최근 주목할 만한 이벤트는 다음과 같습니다:

파괴적인 멀웨어

APT33과 APT34는 샤문, 데드우드, 제로클리어를 사용하여 석유 및 가스 부문을 대상으로 한 파괴적인 멀웨어 공격과 관련이 있습니다.

민족주의 및 친정권 핵티비즘

우리는 이란 정권이 수레이마니 장군의 살해에 대한 대응을 신중히 검토하는 데 시간이 걸릴 것으로 평가합니다. 반면, 정권 친화적(하지만 정부 지시 하에 있지 않은) 사이버 행위자들은 방해 활동을 계속할 가능성이 높습니다. Recorded Future는 수레이마니의 사망 소식이 보도된 지 몇 시간 내에 해커 활동가들의 웹사이트 훼손 활동이 발생했으며, 이 중에는 미국 정부 기관 을 대상으로 한 공격도 포함되어 있음을 인지하고 있습니다. 또한, 우리는 IRGC 지지자들 사이에서 허위 정보의 확산 양상을 관찰했습니다. 해커 활동가들의 대화 내용을 분석한 결과, 공격이 보안이 취약한 웹사이트, 서버, 데이터베이스 등 상대적으로 취약한 목표물에 대한 공격이 강화될 가능성이 높다고 판단됩니다.

배우들이 범죄 활동으로 위장해 SamSam 랜섬웨어나 유사한 캠페인을 배포하는 것은 불가능한 일이 아닙니다. 두 배우가 이란 정부와 연관되어 있다는 증거는 없지만, 테헤란은 해당 작전과 그 수단에 대해 분명히 알고 있습니다.

전망

이란이 카셈 솔레이마니 장군 살해에 대한 대응으로 물리적 공격보다는 사이버 공격에 더 적극적으로 의존할 수 있으며, 이는 스파이 활동이나 사보타주의 형태로 이루어질 가능성이 높다고 평가합니다.

이 사이버 대응은 여러 잠재적인 비대칭 대응책 중 하나이며 이란 정보기관이나 군사 단체, 그들의 계약자 또는 다른 대리인에 의해 직접 수행될 수 있습니다. 이러한 조치는 첩보 활동을 통해 얻은 이전 액세스 권한과 정보를 통해 추진될 가능성이 매우 높습니다. 이러한 침입을 특정하고 다른 기회주의적 침입과 구별하기란 어려울 수 있습니다.

또한, 최근 기록된 러시아 국가 후원 단체들이 이란의 인프라를 해킹하고 사이버 작전에 활용했다는 사례들은 이란의 간첩 활동이나 파괴적 행위를 추적하고 귀속시키는 데 추가적인 불확실성을 초래했습니다. 우리는 이 인프라 탈취와 증가하는 불확실성이 사건이 잘못 귀속되거나 오해되어 에스컬레이션으로 해석될 가능성을 높인다고 평가합니다. 중동에는 미국과 그 동맹국, 이란과 그 대리세력 외에도 다양한 이해관계를 가진 주체들이 존재합니다. 러시아가 이란으로 위장한 작전을 통해 추가적인 불확실성을 초래할 경우, 사이버 침입 이후 혼란이나 혼란스러운 분위기가 조성될 수 있습니다. 이것은 러시아가 이란의 사이버 운영 인프라를 어느 정도 침해했는지 알지 못하기 때문에 오인 및 오판으로 인한 오판의 가능성을 높입니다.

제안된 완화 조치