Pioneer Kitten APT

지능형 지속 위협(APT)년에 Mezo 년까지

번역 :

APT(Advanced Persistent Threat) 그룹인 Pioneer Kitten은 사이버 암흑가에서 강력한 세력으로 부상했습니다. 이란 정부의 지원을 받는 이 그룹은 중요한 중개자이자 초기 접근 브로커로 활동하며 전 세계적으로 랜섬웨어 공격을 촉진합니다. 가장 악명 높은 랜섬웨어 갱단과 연결되어 있는 Pioneer Kitten의 활동은 국가 지원 해킹과 재정적 동기의 사이버 범죄가 점점 더 교차하고 있음을 보여줍니다.

파이오니어 키튼 APT의 부상

UNC757, Parisite, Rubidium, Lemon Sandstorm 등 다양한 별칭으로도 알려진 Pioneer Kitten은 2017년부터 사이버 보안 전문가와 법 집행 기관의 주목을 받아왔습니다. 처음에는 미국 조직을 표적으로 삼은 지속적인 네트워크 침입 시도로 알려졌지만, 이후 이 그룹은 활동을 확대하여 글로벌 랜섬웨어 생태계에서 중요한 역할을 하게 되었습니다.

국가가 지원하는 사이버 범죄

이란 정부의 후원을 받으며 운영되는 Pioneer Kitten의 주요 임무는 사이버 스파이 활동과 파괴적 공격을 통해 이란의 지정학적 목표를 지원하는 것으로 보입니다. 그러나 최근의 동향은 이 그룹이 재정적 동기를 가진 랜섬웨어 갱단과 점점 더 협력하면서 수익화로의 전환을 시사합니다.

작전 방식: 초기 액세스부터 랜섬웨어 배포까지

Pioneer Kitten의 작전은 일반적으로 원격 외부 서비스의 취약성을 악용하는 것으로 시작됩니다. 이 그룹은 Shodan과 같은 도구를 사용하여 취약한 시스템을 찾아내는 등 인터넷에 연결된 자산을 식별하고 타겟팅하는 데 특히 능숙했습니다. 최근의 악용 사례에는 Palo Alto Networks PAN-OS 및 Citrix 시스템과 같은 인기 있는 보안 게이트웨이 및 VPN의 취약성이 포함됩니다.

취약점 악용

진입점이 식별되면 Pioneer Kitten은 웹셸을 활용하여 로그인 자격 증명을 캡처하고 권한을 상승시킵니다. 이 그룹은 체계적인 접근 방식으로 알려져 있으며, 종종 계정을 만들거나 하이재킹하고, 제로 트러스트 정책을 우회하고, 지속적인 액세스를 위한 백도어를 설정합니다. 그들의 활동에는 또한 맬웨어 방지 소프트웨어를 비활성화하고 보안 설정을 낮춰 맬웨어 배포를 용이하게 하는 것도 포함됩니다.

명령 및 제어 기술

Pioneer Kitten은 손상된 네트워크를 제어하기 위해 다양한 도구를 사용합니다. 여기에는 원격 액세스를 위한 AnyDesk, 명령 실행을 위한 PowerShell Web Access, 아웃바운드 연결을 만드는 Ligolo 및 NGROK와 같은 터널링 도구가 포함됩니다. 이러한 도구를 사용하면 그룹은 피해자 네트워크 내에서 지속적으로 존재하여 적절한 순간에 랜섬웨어를 배포할 수 있습니다.

랜섬웨어 갱단과의 협력

랜섬웨어 계열사와의 긴밀한 협력은 Pioneer Kitten을 다른 APT 그룹과 차별화합니다. FBI와 CISA에 따르면, 이 그룹은 지하 시장에서 손상된 네트워크에 대한 액세스를 판매할 뿐만 아니라 랜섬웨어 운영을 직접 지원합니다. 이 협력은 ALPHV (BlackCat), NoEscape , RansomHouse와 같은 잘 알려진 랜섬웨어 그룹으로 확대됩니다.

재정적 동기와 수익 분배

Pioneer Kitten이 랜섬웨어 공격에 연루된 것은 단순한 액세스 중개에 그치지 않습니다. 이 그룹은 랜섬웨어 계열사와 긴밀히 협력하여 성공적인 강탈을 보장하고, 노력에 대한 보상으로 몸값의 일부를 받습니다. 이 사업 모델은 국가가 지원하는 사이버 작전과 재정적 동기가 있는 사이버 범죄 간의 경계가 점점 모호해지고 있음을 강조합니다.

지정학적 의미

Pioneer Kitten의 활동은 특히 미-이란 관계의 맥락에서 상당한 지정학적 의미를 가지고 있습니다. 이 그룹의 작전은 이란이 사이버 공간을 통해 권력과 영향력을 투사하려는 더 광범위한 전략의 일부입니다. 그러나 미국 조직에 대한 랜섬웨어 공격에 대한 그들의 개입은 테헤란이 사이버 요원을 통제하는 정도에 대한 의문을 제기합니다.

불법적인 작전?

흥미롭게도, 미국 당국은 Pioneer Kitten의 랜섬웨어 활동이 이란 정부로부터 공식적으로 승인되지 않았을 수 있다고 제안했습니다. 이 그룹은 Danesh Novin Sahand라는 IT 회사의 모습을 하고 있다고 알려졌지만, 구성원들 사이에서는 재정 활동에 대한 정부의 감시 가능성에 대한 우려가 있습니다. 이러한 모호함은 Pioneer Kitten이 국가 지침과 재정 이익의 균형을 맞추면서 어느 정도 자율적으로 운영될 가능성을 제기합니다.

Pioneer Kitten은 국가 지원 목표와 범죄 기업을 완벽하게 혼합한 새로운 종류의 APT 그룹을 나타냅니다. 스파이 활동에서 랜섬웨어 공격에 대한 적극적인 참여로의 진화는 사이버 위협 환경의 복잡성이 커지고 있음을 보여줍니다. 조직이 이러한 정교한 위협에 계속 맞서면서 Pioneer Kitten과 같은 그룹의 전술, 기술 및 동기를 이해하는 것은 효과적인 사이버 보안 방어를 개발하는 데 중요합니다.