조직의 네트워크 액세스가 가장 중요합니다: 이에 대한 해결 방법

조직의 네트워크 액세스가 왕이다: 네트워크 액세스 문제 해결 방법 보고서

인식트 그룹은 레코디드 퓨처Ⓡ 플랫폼을 사용하여 무단 액세스의 수익화 메커니즘에 대한 심층적인 인사이트를 제공하고, 보안 인텔리전스를 사용하여 무단 액세스에 대응하기 위한 광범위한 위험 완화 전략을 마련했습니다. 이 보고서는 무단 액세스와 위험 감소를 위한 대응 방법론에 관심이 있는 기업에게 유용할 것입니다.

Executive Summary

역사적으로, 설치당 결제 (PPI) 서비스는 상품형 봇넷 운영자들이 지하 경제(UE)에서 주요 수익화 수단으로 활용해 왔습니다. 봇넷이 계속해서 PPI 서비스에 자원을 공급하는 동안, Recorded Future의 데이터는 무단 접근 서비스의 제공이 증가하고 있음을 보여줍니다. 이는 지하 포럼에서의 직접 판매나 경매를 통해 더 큰 수익 창출 기회가 확대되면서 촉진되고 있습니다.

인식트 그룹은 레코디드 퓨처 분석을 기반으로 UE에서 직접 무단 액세스에 대한 수요가 계속 증가하여 기회주의적 표적 공격이 확대될 것으로 중간 정도의 확신을 가지고 평가합니다. UE 내 포럼에서 판매 및 경매를 관찰하고 위협 행위자들과 소통한 결과, Insikt Group은 초기 무단 액세스(지하 포럼에서 판매)가 주로 피싱, 인증정보 재사용, 웹 셸 배치 또는 잘못 구성되거나 취약한 소프트웨어의 악용을 통해 이루어진다고 평가합니다.

주요 판단

배경

지하 경제(UE)는 범죄적 상품과 서비스의 구매, 판매, 거래를 촉진하는 온라인 행위자와 기술의 총체를 의미합니다. UE는 이익을 극대화하고 소송을 피하기 위해 지속적으로 혁신하고 발전해 왔습니다. 역사적으로 UE의 대부분은 도난당한 결제 카드 데이터를 획득하고 이를 수익화하는 데 초점을 맞추어 왔지만, 2007년 Zeus와 같은 다기능 HTTP 기반 봇넷의 등장으로 '페이-퍼-인스톨(PPI)'로 알려진 인기 있는 소규모 산업이 탄생했습니다.

페이퍼인스톨(PPI) 생태계.
PPI는 구매자가 피해자의 컴퓨터에 무단으로 접근하여 악성 소프트웨어(malware) 페이로드 및/또는 기타 잠재적으로 원하지 않는 응용 프로그램(PUA)을 설치하기 위해 자동화된 플랫폼을 활용합니다. 각 해킹된 컴퓨터에 부과되는 가격은 일반적으로 피해 컴퓨터가 위치한 국가의 구매자 수요에 따라 결정됩니다. PPI 플랫폼(아피リエ이트 네트워크라고도 함)은 대규모 감염(봇넷 또는 익스플로잇 키트)의 수익화 위해 자연스러운 제3자 중개 채널입니다. PPI 모델은 단순하지만, PPI 플랫폼을 사용하면 PPI 플랫폼 소유자의 수익을 증가시키기 위해 고의로 부정확한 설치 통계를 제공하는 것으로 인해 봇넷 운영자에게 위험을 초래합니다.
同様に, PPI 플랫폼은 구매자가 대규모의 해킹된 컴퓨터에 빠르게 접근하고 추가적인 악성 코드(예: 은행 트로이목마, 랜섬웨어, 애드웨어, 스파이웨어 등)를 설치하는 데 편리한 메커니즘입니다. PPI 모델은 피해 조직의 유형(정부, 기업, 주거용 등)에 관계없이 모든 감염/침해를 일반적인 상품으로 처리합니다. 전통적으로, 가격 차별화의 유일한 요소는 지리적 위치입니다.

범죄 지하 네트워크에서 제공되는 설치당 결제(PPI) 서비스 광고. (출처: Recorded Future)
반면, UE 공격자들은 특정 유형의 시스템에 대한 무단 접근이 수익화 가능성 증가로 이어질 수 있음을 인식하고 있습니다. 배우들이 UE 포럼을 통해 무단 접근 권한을 직접 판매하거나 경매로 진행하고 있습니다. 이 방법은 더 많은 시간과 인내가 필요할 수 있지만, 일반적인 PPI 서비스보다 더 높은 수익을 올릴 수 있습니다.
모네타이제이션 잠재력의 차이는 극명합니다. 악성 소프트웨어를 1,000대의 기기에 설치할 수 있는 공격자는 감염된 호스트의 지리적 위치에 따라 감염당 $0.05에서 $0.20 사이의 보상을 PPI 서비스로부터 받을 수 있습니다. 범위 상단에서도 일일 PPI 수익은 $200(월 $6,000)입니다. 이 모델은 감염이 발생하는 위치에 관계없이 모든 감염을 일반적인 상품으로 처리합니다.
반면, 특정 시스템이나 네트워크(일반적으로 유명 기업이나 정부 기관)에 대한 접근 권한을 직접 판매하거나 경매로 내놓는 것은 수익을 극대화합니다. 예를 들어, Fxmsp 그룹은 무단 접근 권한을 판매하는 주요 업체로, 한 조직에 대한 접근 권한을 $20,000에 판매하는 경우가 많습니다.

특정 네트워크 액세스를 더 높은 가격대에 판매합니다. (출처: 레코딩된 미래)

위협 분석

PPI 및 무단 액세스 광고 증가

Recorded Future의 역사적 UE 데이터는 2016년부터 PPI 및 무단 액세스 광고 모두에서 전년 대비 증가세를 보여주고 있습니다. 아래 차트는 광고 트렌드의 증가 추세를 보여줍니다. 우리는 이 추세가 2019년(올해의 데이터는 8월에 측정되었습니다)까지 계속될 것으로 예상합니다. 광고 콘텐츠로 측정할 때와 고유한 저자 닉네임으로 측정할 때 모두 지표가 일관됩니다.
지하 포럼의 언급과 작성자 정보를 수집하기 위해 Insikt Group은 Recorded Future 플랫폼에서 “PPI”와 “무단 접근”에 대한 언급을 검색하기 위한 쿼리를 구축했습니다. 질문은 PPI 판매 또는 시스템에 대한 무단 접근과 관련된 공통된 엔티티를 기반으로 진행되었으며, 다양한 언어의 판매 용어에 대한 텍스트 일치도 포함되었습니다. 가짜 양성 결과는 기존 쿼리를 수정하여 데이터 세트에서 제거되었습니다. 예를 들어, "카드 검증 값에 대한 액세스"라는 표현을 사용한 판매 언어는 여러 쿼리에서 일반적인 오탐지 사례였습니다. 따라서, 쿼리가 의도적으로 해당 참조를 제외하도록 수정되었습니다.

무단 액세스 쿼리 예시. (출처: 레코딩된 미래)

PPI 영어 질문 예시. (출처: Recorded Future)
또한, PPI 또는 무단 액세스에 대해 언급한 행위자의 수를 계산하면서 가능한 한 많은 오탐을 줄이기 위해, Insikt Group은 여러 포럼에 걸쳐 작성자 닉네임을 자동으로 집계하는 작업을 수행했습니다. 5자 이상의 문자로 구성된 유사한 저자 닉네임(일반적인 사전 단어에 해당하지 않는 것)으로, PPI 또는 무단 접근에 관한 내용만을 다룬 다중 포럼에 게시된 게시물이 집계되었습니다. 이러한 별칭 중 일부는 실제로 동일한 행위자가 아닐 수 있지만, Insikt Group은 중등도의 신뢰도로 이 중 대다수의 별칭이 진정한 긍정 사례임을 평가했습니다. 이는 중복된 행위자 별칭과 콘텐츠를 기반으로 한 분석 결과입니다. 또한, 가짜 중복 항목이 더 이상 계산되지 않기 때문에, 이 데이터 세트는 PPI와 무단 액세스 판매 게시물의 실제 수에 대한 잠재적인 하한선을 나타냅니다.

범죄 지하 포럼에서 무단 접근 또는 PPI를 언급한 저자의 수 (연도별)
데이터를 기반으로 2014년 1월부터 2019년 9월까지 지하 포럼에서 무단 접근 및 PPI를 언급한 저자의 수를 추출할 수 있었습니다. PPI 및 무단 접근을 홍보하는 고유한 별칭이 크게 증가하고 있으며, 2019년 1월부터 9월까지의 저자 수는 이전 연도의 동일한 9개월 기간과 유사한 수준을 유지하고 있습니다.

범죄 지하 포럼에서 무단 액세스 또는 PPI를 언급하는 연도별 게시물 수입니다.

마찬가지로 인식트 그룹은 2014년 1월부터 2019년 9월까지 언더그라운드 포럼에서 무단 액세스 및 PPI와 관련된 게시물을 수집했습니다. 또한 데이터에 따르면 PPI 광고와 무단 접속 광고의 수가 꾸준히 증가하고 있는 것으로 나타났습니다.

중요한 글로벌 액세스

인식트 그룹은 포럼에서 광고된 무단 액세스에 대한 레코디드 퓨처의 수집 자료를 바탕으로 타깃팅이 주로 공공 부문 또는 민간 부문 기업에 집중되어 전 세계 조직에 영향을 미친다고 중간 정도의 신뢰도를 가지고 평가합니다. 2016년 12월에 미국 선거 지원 위원회(EAC) 에 비인가 액세스 권한을 판매하는 러시아어권 범죄자에 대한 인식트의 이전 보고 이후, 인식트 그룹은 지하 범죄자들의 비인가 액세스 권한 판매를 정기적으로 모니터링하고 있습니다. 다음은 광고되는 액세스 수준과 조직에 부정적인 영향을 미칠 수 있는 잠재력을 기준으로 주목할 만한 판매 또는 경매를 선별한 것입니다. 대부분의 행위자가 광고하는 액세스 권한은 일반적으로 모호하며 피해 단체의 구체적인 이름이 포함되어 있지 않습니다.

아래의 판매 게시물, 위협 행위자의 참여, 지난 4년간 Insikt Group에서 수행한 무단 액세스 경매 분석을 통해 Insikt Group은 다음 네 가지 공격 벡터가 초기 무단 액세스에 사용되는 주요 방법이라는 것을 중간 정도의 확신을 가지고 평가할 수 있습니다(특별히 중요한 순서는 아님).

날짜
배우
액세스
2016년 12월
라스푸틴
미국 선거 지원 위원회(EAC)
2017년 10월
A_violent_god
200만 명의 독자를 보유한 미국 뉴스 웹사이트
2017년 12월
Kindunkind
540개의 미국 미디어 회사 웹 셸과 15개의 EU 미디어 리소스 관리자 패널($22,000)
2018년 5월
마클라우드
모스크바 경찰 교통 데이터베이스($25,000)
2018년 12월
Zifus
이탈리아 전자 상거래 웹 셸 300개($3,000)
2019년 1월
텅스텐
아시아 이커머스 웹사이트($10,000)
2019년 3월
asadi64
미국 대형 석유 회사에 대한 원격 데스크톱 프로토콜(RDP) 액세스
2019년 3월
BigPetya (Fxmsp)
아시아 자동차 제조업체
2019년 4월
vestl
미국 9개 호텔의 22개 컴퓨터에 대한 VNC 액세스
2019년 4월
Aaaakkkka
이탈리아 은행의 내부 대출 컴퓨터($2,000)
2019년 5월
마크폴로
무기 공장에 대한 웹 셸 액세스
2019년 6월
트루니거
이탈리아 지자체에 대한 관리 권한이 있는 RDP 액세스
2019년 6월
스틸러스
뉴질랜드 투자 회사의 고객 관계 관리(CRM) 시스템($10,000)
2019년 6월
AD0
국제 온라인 소매업체의 기업 네트워크($25,000)
2019년 6월
Aaaakkkka
불특정 전력 회사의 서버에 대한 액세스 권한 판매($600)
2019년 8월
보안관
호주의 대형 상업용 건설 회사의 데이터베이스에 대한 관리자 액세스($12,000)
2019년 8월
B.Wanted
20개의 루이지애나 의료 클리닉에 있는 19,000대의 PC를 포함하는 네트워크에 대한 도메인 관리자 권한
2019년 8월
bc.monster
미국 에너지 공기업 네트워크
2019년 8월
존 셔록, 인포쉘
다국적 의료 회사의 네트워크에 대한 SSH(보안 셸) 액세스
2019년 8월
-TMT-
브라질 대형 마트 체인의 네트워크에 대한 관리자 액세스
2019년 8월
VincentVega
중국 대형 금융 회사(5BTC)
2019년 9월
카타바샤
뉴질랜드 총기 및 탄약 액세서리 이커머스 사이트
2019년 9월
안토니 모리콘, (Fxmsp)
10개의 도메인 컨트롤러를 포함한 독일 장식 조명 회사의 기업 네트워크
2019년 9월
유벤투스1
아시아 항공사의 관리 웹 패널
2019년 9월
Gabrie1
미국 석유 및 가스 탐사 회사의 네트워크(1,000대 이상의 컴퓨터 포함)($24,000)
2019년 9월
0x4C37
트래픽이 많은 안티바이러스 웹사이트($8,000)

무단 액세스 경매 및 판매 선택. (2016-2019)

2명의 무단 액세스 판매자 프로파일링: VincentVega 및 Fxmsp

다음 두 가지 사례 연구는 타겟팅 및 기회주의적 액세스의 수익화 잠재력을 보여줍니다.

VincentVega

러시아에서 활동하는 유명 범죄 지하 포럼의 회원인 빈센트베가는 기회주의적 접근을 이용하는 행위자의 대표적인 예입니다. 이 공격자는 중국 최대 투자 은행 및 보안 회사 중 하나(2015년 매출 376억 위안)의 인터넷 대면 시스템에서 표적화되지 않은 방식으로 RDP를 브루트포싱하여 액세스 권한을 획득했습니다.

중국 기업의 내부 네트워크에 액세스하는 빈센트베가 광고. (출처: 레코딩된 미래)

2019년 8월, 빈센트베가는 5비트코인에 중국 대기업의 현지 네트워크에 대한 외부 원격 액세스를 제공한다고 광고했습니다. 이 공격자는 게시글에서 처음에 RDP 액세스를 통해 IP를 무차별 대입하여 네트워크에 액세스했다고 주장했습니다. 그들은 로컬 네트워크에 20,000개의 작동 중인 로컬 IP가 있으며, 이 중 약 865개는 RDP 액세스 권한을 가지고 있고, 피해 호스트 중 500개는 관리자 액세스 권한도 가지고 있다고 주장했습니다. 이 게시물에서 그들은 액세스 권한이 가치가 있다는 것은 알지만 어떻게 수익을 창출할지 모르기 때문에 액세스 권한을 판매한다고 주장했습니다.

인식트 그룹은 이러한 미확인 정보로 인해 빈센트베가가 비밀번호가 제대로 보호되지 않은 RDP 서비스를 사용하는 IP를 찾아내려고 시도하다가 회사를 우연히 발견한 것이라고 높은 확신을 가지고 평가하고 있습니다. 하지만 네트워크의 규모와 기능에 따라 네트워크 자체에 대한 액세스를 수익화하고 판매할 수 있는 다양한 방법이 있다는 사실을 깨달았습니다.

Fxmsp 그룹

반면에 Fxmsp 그룹은 조직이 어떻게 대규모로 무단 침입을 수행하여 막대한 수익을 창출할 수 있는지 명확하게 보여줍니다. 이 그룹은 러시아어와 영어를 사용하는 사이버 범죄 집단으로 금융, 전자상거래, 산업 조직, 정부 기관 등 다양한 글로벌 피해자를 대상으로 무단 네트워크 액세스를 표적으로 삼아 판매합니다. Fxmsp 그룹은 다른 사이버 범죄자에게 재판매할 목적으로 네트워크를 대량으로 손상시키는 경우가 많습니다. 2017년부터 Fxmsp 그룹은 글로벌 기업 및 정부 네트워크를 손상시킨 후 수백 달러에서 10만 달러가 넘는 금액에 무단 액세스를 판매했습니다.

다양한 조직에 속한 네트워크에 대한 액세스 권한을 판매하는 Fxmsp Group의 Nikolay의 게시물입니다.

Fxmsp 그룹은 팀원들 간에 인내심과 협동심을 발휘합니다. 'Fxmsp'라는 닉네임을 사용하는 공격자는 네트워크를 손상시키는 혐의를 받고 있으며, 'Lampeduza', 'Antony Moricone', 'Nikolay', 'BigPetya' 등의 닉네임을 사용하는 공격자는 무단 액세스 수익 창출을 극대화하는 역할을 담당하고 있습니다.

저희는 Fxmsp 그룹이 더 많은 구매자 풀을 대상으로 판매 스레드 또는 경매를 준공개적으로 생성하기 전에 개인 연락처 네트워크를 통해 무단 액세스를 통해 수익을 창출하려고 시도하는 것으로 중간 정도의 확신을 가지고 평가합니다. 이는 Fxmsp 그룹이 시작한 포럼 경매가 특정 시점에 Fxmsp 그룹이 수익을 창출하려고 시도하는 무단 액세스 중 일부에 불과하다는 것을 시사합니다.

전망

당사는 무단 액세스 및 피해자가 인지되는 직접 판매의 규모가 당분간 계속 증가할 것이라고 높은 확신을 가지고 평가합니다. 멀웨어 관련 PPI 제휴 서비스는 UE 내에서 범죄적 가치를 계속 제공하겠지만, 멀웨어 감염은 기회주의적이고 표적화된 무단 액세스보다 PPI 시스템에서 수익성이 떨어집니다.

정보 보안 전문가는 피싱, 인증정보 재사용, 웹 셸 배치, 취약점 악용 등 초기 무단 액세스를 설정하는 다음 네 가지 주요 방법에 대한 내부 사전 탐지 노력과 함께 예방 모범 사례를 구현하고 검토하는 데 집중해야 합니다.

위험 완화

보안 인텔리전스는 위협 탐색 방법론을 통해 초기 무단 접근을 신속하게 탐지하기 위해 필수적입니다. 이러한 방법론은 운영 실무자들이 적대자의 전술과 내부 네트워크 환경에 대한 이해를 심화함에 따라 시간이 지나면서 점차 발전해야 합니다. 새로운 방법론은 자동화/오케스트레이션(SOAR) 워크플로우를 통해 지속적인 위협 탐지 및 대응 프로세스를 구현해야 합니다. 이 섹션에서는 Insikt Group이 발견한 네 가지 주요 초기 접근 방법에 대한 완화 조치를 제시합니다.

피싱(Phishing)

예를 들어, 이메일 보안 게이트웨이에 의해 격리된 이메일 콘텐츠 및 첨부 파일을 검토하면 이전에 실패한 공격자의 전술에 대한 기본적인 인식을 얻을 수 있으며, 동시에 미래에 파생 기술 변형이 성공할 수 있는 귀중한 사례를 제시합니다. 이메일 보안 장치는 특정 인바운드 파일첨부 파일1 (예: "hta" — HTML 실행 파일)을 차단하도록 구성될 수 있지만, 제3자 웹사이트 링크를 포함하는 악성 이메일을 차단하지 못할 수 있습니다.
따라서, 피싱 사냥 방법론의 초점은 이 경우 피싱에 사용될 가능성이 높은 새로운 도메인을 식별하는 데 있으며, 이는 도메인의 어휘적 유사성을 기반으로 합니다. 특히, DocuSign, Google 메일 서비스, Microsoft Office365, Amazon 스토리지 등과 같은 주요 클라우드 제공업체의 도메인과 유사한 도메인을 대상으로 합니다. 보안 인텔리전스는 이메일 보안 게이트웨이의 콘텐츠 검사 및 탐지 기능을 개선하기 위해 DNS 텔레메트리 또는 웹 프록시 어플라이언스 해상도에서 활용되어야 할 새로운 도메인 후보를 제공합니다.

새로운 피싱 도메인을 식별하기 위해 미래 쿼리를 기록했습니다.

자격증명 재사용

자산 관리에서의 경계 강화와 다중 요소 인증 없이 인터넷에 노출된 시스템에서 실행 중인 애플리케이션을 제거하는 것은 자격 증명 재사용을 방지하는 기본적인 보안 조치입니다. 특히 RDP의 경우, 무차별 대입 공격을 방지하는 데도 효과적입니다. 보안 인텔리전스는 데이터베이스 침해로부터 유출된 자격 증명을 주로 탐지하여 적대자의 자격 증명 재사용 위험을 줄입니다. 해당 SOAR 워크플로는 새로 발견된 자격 증명 세트와 일치하는 사용자를 Active Directory에서 검색해야 합니다. 신원 정보 세트에서 유효한 사용자가 발견되면 비밀번호 재설정이 시작됩니다.

웹 셸 배치

공격자는 일반적으로 소프트웨어 취약점이나 잘못된 구성으로 인해 웹 서버에 웹 쉘을 설치합니다. 웹 쉘은 종종 웹 애플리케이션 방화벽(WAF)을 우회하고 하나 이상의 웹 서버에서 장기적인 지속성을 확보합니다. 공격자는 웹 쉘을 사용하여 정보 자원을 악용하거나 추가 시스템에 무단 접근을 시도합니다. 보안 인텔리전스는 웹 쉘 탐지 및 분석의 중요한 구성 요소로, 새로운 웹 쉘의 지속적인 식별과 관련된 기능 평가가 필요합니다. 예를 들어, 오래된 웹 쉘은 기본, 양식, 또는 다이제스트 HTTP 인증을 사용하며, 이는 네트워크 텔레메트리에서 쉽게 식별할 수 있습니다(Zeek는 네트워크 프로토콜 파싱 및 분석을 위한 유용한 오픈 소스 도구입니다).
또한, YARA 규칙은 파일 조건(일반적으로 문자열)을 기반으로 특정 웹 쉘을 식별하는 또 다른 오픈 소스 리소스입니다.

새 웹 셸을 표시합니다. (출처: 레코딩된 미래)

알려진 소프트웨어 취약점 악용하기

기업 환경에서 지속적인 패치 우선순위 지정 및 실행은 어려운 일이지만, 보안 인텔리전스는 특히 '야생에서' 악용된 증거를 통해 새로운 NVD 이전 취약점을 발견하고 기존 취약점을 보강하여 도움을 줄 수 있습니다.

기록된 미래 인텔리전스 카드에서 제공하는 추가 취약성 컨텍스트™. (출처: 레코딩된 미래)

각주

1https://www.cyber.gov.au/publications/malicious-email-mitigation-strategies