LeakNet 랜섬웨어

랜섬웨어 공격인 LeakNet은 ClickFix 소셜 엔지니어링 기법을 주요 침입 경로로 활용하여 침입 전술에 주목할 만한 변화를 가져왔습니다. 이 기법은 사용자를 속여 조작된 시스템 오류를 해결하는 것처럼 가장하여 악성 명령을 실행하게 만듭니다. 초기 접근 브로커로부터 도난당한 계정 정보를 구매하는 것과 같은 기존 접근 방식과는 달리, 이 전술은 사용자의 신뢰와 일상적인 행동을 직접적으로 악용합니다.

보안이 취약하지만 정상적인 웹사이트들이 악용되어 가짜 CAPTCHA 인증 프롬프트가 표시됩니다. 이러한 프롬프트는 사용자에게 악성 msiexec.exe 명령어를 복사하여 Windows 실행 대화 상자를 통해 실행하도록 유도합니다. 이러한 상호 작용은 일상적인 시스템 활동과 유사하기 때문에 공격이 평범하게 보이고 즉각적인 의심을 불러일으키지 않습니다. 이러한 광범위하고 기회주의적인 전략은 특정 산업 분야를 가리지 않고 공격을 가능하게 합니다.

전략적 전환: 초기 접근 중개자로부터의 독립

LeakNet이 ClickFix로 전환한 것은 전략적으로 계획된 운영 방식의 변화입니다. 제3자 자격 증명 공급업체에 대한 의존도를 없앰으로써, 접근 권한 확보와 관련된 비용과 시간을 모두 절감할 수 있습니다. 이러한 독립성은 핵심적인 병목 현상을 제거하여 캠페인을 더욱 신속하고 효율적으로 확장할 수 있도록 해줍니다.

또한 공격자가 제어하는 시스템이 아닌 손상된 정상 인프라를 사용하는 것은 탐지 가능한 네트워크 지표를 크게 줄입니다. 이로 인해 악성 활동이 신뢰할 수 있는 트래픽에 자연스럽게 섞여 들어가 기존의 경계 기반 방어 체계의 효과가 떨어집니다.

파일 없는 실행: Deno 기반 로더의 작동 방식

이러한 공격의 핵심적인 기술적 특징은 Deno JavaScript 런타임을 기반으로 구축된 단계별 명령 및 제어(C&C) 로더를 배포하는 것입니다. 이 로더는 Base64로 인코딩된 JavaScript를 메모리에서 직접 실행하여 디스크 쓰기를 방지하고 포렌식 흔적을 최소화합니다.

로더가 작동되면 다음과 같은 몇 가지 중요한 기능을 수행합니다.

• 손상된 시스템을 분석하여 환경 정보를 수집합니다.
• 외부 서버와 통신을 설정하여 보조 페이로드를 검색합니다.
• 폴링 메커니즘을 통해 지속적으로 추가 코드를 가져와 실행함으로써 영속성을 유지합니다.

이러한 파일 없는 실행 모델은 은밀성을 높이고 기존 보안 도구의 탐지 노력을 어렵게 만듭니다.

일관된 사후 대응 전략

초기 접근 방식에는 차이가 있지만, LeakNet의 운영 방식은 침해 후 예측 가능한 워크플로로 수렴합니다. 이러한 일관성은 방어자에게 랜섬웨어 배포 전에 탐지 및 차단할 수 있는 귀중한 기회를 제공합니다.

일반적인 공격 순서는 다음과 같습니다.

• DLL 사이드 로딩을 통해 로더가 전달하는 악성 라이브러리를 실행합니다.
• PsExec과 같은 도구를 사용하여 네트워크 접근 범위를 확장하는 측면 이동
• cmd.exe /c klist 명령어를 이용한 자격 증명 정찰을 통해 활성 인증 세션을 식별합니다.
• S3 버킷을 통한 데이터 스테이징 및 유출, 활동을 합법적인 클라우드 트래픽으로 위장
• 랜섬웨어 배포를 위한 최종 암호화 단계

기본 제공되는 Windows 도구와 일반적인 클라우드 서비스를 사용하면 악의적인 행위가 정상적인 시스템 및 네트워크 동작에 섞여 들어갈 수 있습니다.

위협 프로필: 발생 원인 및 공격 범위

2024년 11월에 등장한 LeakNet은 처음에는 투명성과 인터넷 자유를 주제로 삼는 '디지털 감시단'을 표방했습니다. 그러나 관찰된 활동은 산업 단체에 대한 공격을 포함하여 훨씬 더 광범위하고 공격적인 활동 범위를 드러냅니다.

이 캠페인의 무차별적인 표적 전략과 확장 가능한 감염 방식은 특정 부문에 집중하기보다는 도달 범위를 극대화하려는 의도를 분명히 보여줍니다.

수비적 함의: 예측 가능성의 이점

LeakNet의 침입 기법은 진화해 왔지만, 반복 가능한 공격 체인에 의존한다는 점은 치명적인 약점으로 작용합니다. 공격 실행부터 측면 이동, 데이터 유출에 이르기까지 각 단계는 식별 가능한 행동 패턴을 따릅니다.

이러한 일관성 덕분에 수비수들은 다음과 같은 이점을 얻을 수 있습니다.

• 정상적인 시스템 도구의 비정상적인 사용을 감지합니다.
• 비정상적인 메모리 실행 패턴을 모니터링합니다.
• 의심스러운 클라우드 스토리지 상호 작용을 식별합니다.
• 암호화가 발생하기 전에 공격 진행을 차단합니다.

핵심은 분명합니다. 초기 접근 방식은 다양할 수 있지만, 기본적인 운영 원칙은 안정적으로 유지되어 조기 발견 및 대응을 위한 다양한 기회를 제공합니다.