랜섬웨어 - 데이터 유출을 조직하는 새로운 방법

데이터 유출은 보안 서비스에게 심각한 문제입니다. 그리고 이제 대부분 사람들이 재택근무를 하기 때문에 누출 위험이 훨씬 더 높아졌습니다. 이것이 잘 알려진 사이버범죄 집단이 오래되고 보호가 부족한 원격 접속 프로토콜에 더욱 주의를 기울이는 이유입니다. 흥미로운 점은 오늘날 랜섬웨어와 관련된 데이터 유출 사고가 점점 더 많아지고 있다는 것입니다. 어떻게, 왜, 어떤 방식으로 - 아래를 읽어보세요.

랜섬웨어의 개발과 배포 자체가 매우 수익성이 좋은 범죄 사업이라는 사실부터 시작해 보겠습니다. 예를 들어, 미국 FBI에 따르면, 소디노키비 그룹 그녀는 지난해 한 달에 약 1만 달러를 벌었습니다. 그리고 Ryuk를 사용한 공격자들은 더 많은 돈을 벌었습니다. 이 그룹이 활동을 시작했을 때 그들의 수입은 한 달에 3만 달러에 달했습니다. 따라서 많은 최고정보보안책임자(CISO)가 랜섬웨어를 XNUMX대 비즈니스 위험 중 하나로 선정한 것은 놀라운 일이 아닙니다.

싱가포르에 위치한 Acronis Cyber ​​​​Protection Operation Center(CPOC)는 랜섬웨어 사이버 범죄가 증가하고 있음을 확인했습니다. 20월 하반기에는 평소보다 전 세계적으로 랜섬웨어가 XNUMX% 더 많이 차단되었습니다. 약간 감소한 후, XNUMX월부터 다시 활동이 회복되는 모습을 보이고 있습니다. 이에 대한 이유는 여러 가지가 있습니다.

피해자의 컴퓨터에 침투하다

보안 기술은 계속 발전하고 있으며, 공격자는 특정 시스템에 액세스하기 위해 전략을 다소 바꿔야 합니다. 정교한 피싱 이메일을 통해 특정 대상을 겨냥한 랜섬웨어 공격이 여전히 유포되고 있습니다(소셜 엔지니어링이 관련됨). 하지만 최근 악성코드 개발자들은 원격 근무자에게 많은 관심을 기울이고 있습니다. 이를 공격하려면 RDP와 같이 보호가 제대로 되지 않은 원격 접속 서비스나 취약점이 있는 VPN 서버를 찾아야 합니다.
그게 그들이 하는 일이에요. 다크넷에는 선택한 조직이나 개인을 공격하는 데 필요한 모든 것을 제공하는 랜섬웨어 서비스도 있습니다.

공격자는 기업 네트워크에 침투하여 공격 범위를 확장할 수 있는 모든 방법을 찾고 있습니다. 따라서 서비스 제공자 네트워크를 감염시키려는 시도가 널리 퍼졌습니다. 오늘날 클라우드 서비스가 인기를 얻고 있기 때문에 인기 있는 서비스를 감염시키면 수십 명, 심지어 수백 명의 피해자를 동시에 공격할 수 있습니다.

웹 기반 보안 관리 또는 백업 콘솔이 손상되면 공격자는 보호 기능을 비활성화하고 백업을 삭제하며 조직 전체에 맬웨어를 배포할 수 있습니다. 그런데, 전문가들이 다중 요소 인증을 사용하여 모든 서비스 계정을 신중하게 보호할 것을 권장하는 이유가 여기에 있습니다. 예를 들어, 모든 Acronis 클라우드 서비스는 이중 보호를 설정할 수 있도록 허용합니다. 비밀번호가 유출되면 공격자가 포괄적인 사이버 보호 시스템을 사용하여 얻을 수 있는 모든 이점을 무효화할 수 있기 때문입니다.

공격 스펙트럼 확장

원하는 목표가 달성되고 맬웨어가 기업 네트워크 내부에 침투하면, 일반적으로 추가 배포를 위한 전형적인 전술이 사용됩니다. 공격자는 상황을 조사하고 위협에 대응하기 위해 회사 내부에 만들어진 장벽을 극복하려고 노력합니다. 이 공격의 일부는 수동으로 수행할 수 있습니다(결국, 이미 그물에 걸려 있다면 미끼는 이미 걸린 셈이니까요!). 이러한 목적을 위해 PowerShell, WMI PsExec, 최신 Cobalt Strike 에뮬레이터 및 기타 유틸리티와 같은 잘 알려진 도구가 사용됩니다. 일부 범죄 조직은 기업 네트워크에 대한 더 깊은 통찰력을 얻기 위해 비밀번호 관리자를 특별히 표적으로 삼습니다. 그리고 Ragnar와 같은 맬웨어는 최근 완전히 폐쇄된 VirtualBox 가상 머신 이미지에서 발견되었는데, 이는 머신에 타사 소프트웨어가 있다는 사실을 숨기는 데 도움이 됩니다.

따라서 악성 소프트웨어는 기업 네트워크에 침투할 때 사용자의 액세스 수준을 확인하고 도용된 비밀번호를 사용하려고 합니다. Mimikatz와 Bloodhound & Co.와 같은 유틸리티는 도메인 관리자 계정을 해킹하는 데 도움이 됩니다. 공격자가 배포 가능성이 고갈되었다고 판단한 경우에만 랜섬웨어 프로그램 자체가 클라이언트 시스템에 다운로드됩니다.

랜섬웨어를 위장으로 사용하다

데이터 손실 위협의 심각성으로 인해 매년 점점 더 많은 회사가 소위 "재해 복구 계획"을 구현하고 있습니다. 덕분에 암호화된 데이터에 대해 너무 걱정하지 않아도 되고, 랜섬웨어 공격이 발생하더라도 몸값을 징수하지 않고 복구 프로세스를 시작할 수 있습니다. 하지만 공격자들도 잠을 자지 않습니다. 대량의 데이터 도난은 랜섬웨어를 이용해 발생합니다. 메이즈는 2019년에 이 전술을 대량으로 사용한 첫 번째 단체였지만, 다른 단체들도 주기적으로 공격을 합동했습니다. 현재 Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO, Sekhmet 등이 암호화와 병행하여 데이터 도용에 가담하고 있습니다.

때때로 공격자는 네트워크 모니터링 도구(설치 및 구성이 되어 있는 경우)를 통해 감지할 수 있는 수십 테라바이트의 데이터를 회사에서 빼내는 경우가 있습니다. 결국 대부분의 데이터 전송은 FTP, Putty, WinSCP 또는 PowerShell 스크립트를 사용하여 수행됩니다. DLP 및 네트워크 모니터링 시스템을 우회하려면 데이터를 암호화하거나 암호로 보호된 보관소로 보내야 하는데, 이는 해당 파일의 발신 트래픽을 확인해야 하는 보안 서비스에게는 새로운 과제입니다.

정보 도둑의 행동에 대한 연구에 따르면 공격자는 모든 것을 한꺼번에 수집하지 않는다는 사실이 드러났습니다. 공격자는 재무 보고서, 고객 데이터베이스, 직원 및 고객의 개인 데이터, 계약서, 기록, 법률 문서에 관심이 있습니다. 이 맬웨어는 이론적으로 협박에 사용될 수 있는 정보를 디스크에서 검색합니다.
이러한 공격이 성공하면 공격자는 일반적으로 작은 티저를 공개하여 조직에서 데이터가 유출되었다는 것을 증명하는 여러 문서를 보여줍니다. 그리고 일부 그룹은 몸값 지불 기한이 이미 지난 경우 전체 데이터 세트를 웹사이트에 게시합니다. 차단을 방지하고 폭넓은 적용 범위를 확보하기 위해 데이터는 TOR 네트워크에 게시됩니다.

수익을 창출하는 또 다른 방법은 데이터를 판매하는 것입니다. 예를 들어, Sodinokibi는 최근 데이터가 최고 입찰자에게 전달되는 공개 경매를 발표했습니다. 이런 거래의 시작 가격은 데이터의 품질과 내용에 따라 50만~100만 달러입니다. 예를 들어, 10건의 현금 흐름 기록, 민감한 비즈니스 데이터, 스캔된 운전면허증이 000달러 이상에 판매되었습니다. 100만 달러면 000만 건 이상의 재무 문서와 회계 파일, 고객 데이터를 담은 데이터베이스 50개를 살 수 있습니다.

유출 정보가 게시되는 사이트는 다양한 형태로 존재합니다. 이는 도난당한 모든 내용을 게시하는 간단한 페이지일 수도 있고, 섹션과 구매 기능을 갖춘 보다 복잡한 구조일 수도 있습니다. 하지만 가장 중요한 점은 이 모든 공격이 하나의 목적, 즉 공격자가 실제 돈을 얻을 가능성을 높이는 데 사용된다는 것입니다. 이러한 사업 모델이 공격자에게 좋은 결과를 보인다면, 이런 사이트가 더 많아질 것은 의심의 여지가 없으며, 기업 데이터를 훔치고 수익화하는 기술은 더욱 확대될 것입니다.

현재 데이터 유출 정보가 게시되는 웹사이트는 다음과 같습니다.

새로운 공격에 어떻게 대처해야 할까

이러한 환경에서 보안 서비스가 직면한 가장 큰 과제는 랜섬웨어 사고가 단순히 데이터 도난으로부터 주의를 돌리는 행위로 끝나는 경우가 점점 더 많아지고 있다는 것입니다. 공격자는 더 이상 서버 암호화에만 의존하지 않습니다. 오히려 가장 중요한 목표는 랜섬웨어와 싸우는 동안 유출을 조직하는 것입니다.

따라서 효과적인 복구 계획을 세우고 백업 시스템만 사용하더라도 다층적 위협에 대처하기에는 충분하지 않습니다. 아니요, 물론입니다. 공격자는 분명히 무언가를 암호화하고 몸값을 요구할 것이기 때문에 백업 사본 없이는 할 수 없습니다. 오히려 랜섬웨어를 이용한 모든 공격은 이제 포괄적인 트래픽 분석과 가능한 공격에 대한 조사를 시작해야 할 이유로 간주되어야 한다는 것이 문제입니다. 다음과 같은 추가 보안 기능에 대해서도 생각해 보세요.

• AI를 활용해 공격을 신속하게 탐지하고 비정상적인 네트워크 활동을 분석합니다.
• 제로데이 랜섬웨어 공격으로부터 시스템을 즉시 복구하여 네트워크 활동을 모니터링할 수 있습니다.
• 기업 네트워크에서 기존 맬웨어 및 새로운 유형의 공격 확산을 차단합니다.
• 현재 취약성과 악용 사례를 파악하기 위해 소프트웨어 및 시스템(원격 액세스 포함)을 분석합니다.
• 회사 경계 밖으로 신원이 확인되지 않은 정보의 전송을 방지합니다.

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

랜섬웨어 공격 중에 백그라운드 활동을 분석해 본 적이 있나요?

• 20,0%예1

• 80,0%4

5명의 사용자가 투표했습니다. 2명의 사용자가 기권했습니다.

출처 : habr.com