Scattered Spider 랜섬웨어 공격

정교하고 공격적인 사이버 범죄 조직인 스캐터드 스파이더(Scattered Spider)가 VMware ESXi 하이퍼바이저에 대한 공격을 강화했습니다. 북미 지역의 소매, 항공, 운송 등 주요 산업을 표적으로 삼는 이 조직의 작전은 치밀하고 계획적이며 파괴적인 효과를 자랑합니다. 이들의 성공은 소프트웨어 공격이 아니라, 소셜 엔지니어링과 신뢰할 수 있는 시스템 조작에 대한 능숙함에 달려 있습니다.

공격 없는 전술: 핵심은 사회 공학

스캐터드 스파이더는 소프트웨어의 취약점을 악용하는 대신, 검증된 전술인 전화 기반 소셜 엔지니어링을 사용합니다. 이 조직은 종종 IT 헬프 데스크에 연락하여 권한이 높은 관리자를 포함한 합법적인 직원을 사칭합니다. 이러한 전화는 더 광범위한 캠페인 기반 전략의 일부로, 공격은 무작위적인 것이 아닙니다. 조직 내 가장 민감한 시스템과 데이터를 표적으로 삼아 치밀하게 작전을 계획합니다.

스캐터드 스파이더(Scattered Spider) 공격자는 대상의 인프라 또는 로그인 포털을 매우 유사하게 모방하는 사기성 도메인을 등록하는 것으로 알려져 있습니다. 일반적인 도메인 이름 지정 패턴은 다음과 같습니다.

• 피해자 이름-sso.com
• 피해자 이름-okta.com
• 피해자 이름-서비스데스크닷컴
• sso-피해자이름닷컴
• servicenow-victimname.com

헬프 데스크에서 하이퍼바이저까지: 다단계 공격 체인

Scattered Spider의 공격 방법은 5가지 전략적 단계를 거쳐 전개되며, 각 단계는 접근을 확대하고 탐지를 최소화하도록 설계되었습니다.

초기 액세스 및 권한 상승
공격자는 직원을 사칭하고, 자격 증명을 수집하고, 내부 문서를 수집하기 위해 소셜 엔지니어링을 시작합니다. HashiCorp Vault와 같은 비밀번호 관리자에서 데이터를 추출하고, IT 지원 프로세스를 악용하여 관리자 비밀번호를 재설정하는 경우가 많습니다.

vSphere로의 측면 이동
VMware 환경에 매핑된 Active Directory 자격 증명을 활용하여 vCenter Server Appliance(vCSA)에 액세스합니다. Teleport라는 도구를 사용하여 방화벽 규칙을 우회하고 지속적인 액세스를 설정하는 암호화된 역방향 셸을 생성합니다.

하이퍼바이저 조작 및 데이터 추출
ESXi 호스트에서 SSH를 활성화하고 루트 암호를 재설정한 후 '디스크 스왑' 공격을 실행합니다. 이 공격에는 도메인 컨트롤러 VM을 종료하고, 가상 디스크를 분리한 후, 공격자가 제어하는 VM에 연결하고, NTDS.dit 데이터베이스를 추출한 후 프로세스를 역순으로 진행합니다.

복구 메커니즘 비활성화
백업 작업, 스냅샷 및 저장소가 삭제되어 복구 옵션이 제거되고 공격의 영향이 증폭됩니다.

랜섬웨어 배포
사용자 정의 랜섬웨어 바이너리는 SCP 또는 SFTP를 통해 손상된 ESXi 호스트로 푸시되어 가상 환경 전반의 중요 시스템을 암호화합니다.

스캐터드 스파이더의 속도와 은밀함

0ktapus, Muddled Libra, Octo Tempest, UNC3944 등의 별칭으로도 알려진 Scattered Spider가 기존 랜섬웨어 공격자들과 차별화되는 점은 공격 속도와 은밀성입니다. 전문가들은 초기 접근부터 랜섬웨어 배포까지 전체 공격이 단 몇 시간 만에 이루어질 수 있다고 지적합니다. 어떤 경우에는 48시간 이내에 100GB 이상의 데이터가 유출되기도 했습니다. 이 그룹은 DragonForce 랜섬웨어 프로그램과도 연계되어 그들의 역량을 더욱 강화하고 있습니다.

방어 전략 전환: EDR에서 인프라 중심 보안으로

이러한 공격의 특성상 일반적인 엔드포인트 탐지 및 대응(EDR) 도구로는 충분하지 않을 수 있습니다. Scattered Spider 방어에는 전체론적이고 인프라 중심적인 접근 방식이 필요합니다. 다음과 같은 계층적 방어 전략을 강력히 권장합니다.

레이어 1: vSphere 및 하이퍼바이저 강화

• vSphere에서 잠금 모드 활성화
• execInstalledOnly 적용
• VM 암호화 사용
• 사용하지 않거나 오래된 가상 머신을 폐기합니다.
• 사칭 전술에 대비해 헬프 데스크를 보호하고 교육합니다.

2계층: ID 및 액세스 보호

• 피싱 방지 다중 인증(MFA)을 구현합니다.
• 중요한 ID 인프라를 분리합니다.
• 공격자가 악용할 수 있는 순환 인증 종속성을 방지하세요.

3계층: 모니터링 및 백업 격리

• 주요 인프라에서 로그 모니터링을 중앙화합니다.
• Active Directory 액세스로부터 백업을 분리합니다.

결론: 랜섬웨어 위험의 새로운 시대

vSphere 생태계, 특히 ESXi 호스트와 vCenter Server를 표적으로 삼는 랜섬웨어는 빠르고 대규모적인 중단을 초래할 수 있어 심각한 위협을 초래합니다. Scattered Spider의 계산된 공격 방식은 기업들이 방어 태세를 재고해야 할 필요성을 강조합니다. 이러한 위험을 무시하거나 권장 대책의 이행을 지연시키는 것은 심각한 다운타임, 데이터 손실, 재정적 손실 등 치명적인 결과를 초래할 수 있습니다.