INC와 신사 랜섬웨어, AI 기반 공격 인프라 노출

요약

INC 및 The Gentlemen 랜섬웨어 그룹과 연결된 제휴사들은 AI 기반 침입 생태계를 사용하여 정찰, 명령 생성, 데이터 분류를 자동화하고 있습니다. 운영자들은 대규모 침입을 지원하기 위해 상용 LLM과 함께 Phantom이라는 맞춤형 프레임워크에 의존합니다. 이 생태계는 주요 OPSEC 실패로 인해 명령 및 제어 인프라와 저장된 AI 세션 로그가 노출되면서 발견되었습니다.

조사

조사는 45.227.254.43의 노출된 명령 및 제어 서버에서 시작되었으며, 이 서버에는 Phantom 소스 코드 및 AI 세션 데이터베이스가 포함된 개방형 디렉터리가 있었습니다. 구성 파일과 노출된 자격 증명 분석에서 적대자가 통제한 추가 6개의 서버가 밝혀졌습니다. 연구자들은 AI가 기술적 실행의 많은 부분을 처리하는 반면 인간 운영자는 전체 감독을 유지하는 고도로 자동화된 워크플로를 발견했습니다.

완화

조직은 특히 FortiClient EMS, SimpleHelp, cPanel 등 가장자리에 위치한 장치의 패치를 우선시하여 일반적인 초기 접근 벡터를 제거해야 합니다. 모든 RMM, VPN, 원격 접근 플랫폼에서 다중 요소 인증(MFA)을 적용해 자격 증명 재사용 위험을 줄이는 것이 중요합니다. 방어자들은 EDR 변조 방지를 활성화하고, 알려진 취약 점이 있는 드라이버의 불법적인 보안 서비스 종료 또는 로드를 모니터링해야 합니다.

응답

악성 활동이 감지되면 영향을 받은 가장자리 장치를 격리하고 EMS 및 RMM 플랫폼에서 모든 관리자 계정을 검토하여 불법 추가를 검사해야 합니다. VPN 연결 스크립트에서 의심스러운 수정사항을 검사하고 즉시 손상된 자격 증명을 변경하십시오. 지속적인 C2 채널을 식별하고 종료하기 위해 예약된 작업과 활성 역방향 SOCKS 터널을 포괄적으로 검토하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적대자는 최초 액세스를 획득하였으며 측방 이동을 위한 견고한 터널을 구축하려고 합니다. 먼저, 터널링 도구의 이름을 변경하여 실행하려고 시도하지만 환경의 탐지 기능을 테스트하기 위해 ‘Ligolo’라는 문자열을 사용하여 명령을 실행하여 규칙이 트리거되도록 합니다. 두 번째로, 적대자는 Python 기반 비콘을 배포합니다. TLS 인증서를 검사하는 네트워크 보안 장치로부터 탐지를 피하기 위해 Python 스크립트를 구성하여 TLS 검증을 무시합니다. 이는 tls_verify_disabled 규칙에 의해 예상되는 원격 측정 패턴을 시뮬레이션합니다.

• 회귀 테스트 스크립트:

   # 시뮬레이션 스크립트: 문자열 매치 및 Python TLS 우회로 탐지 규칙 트리거하기
  
    Write-Host "[+] 시뮬레이션 시작 중..." -ForegroundColor Cyan
  
    # 1. 선택 항목1 트리거: 명령줄에 'Ligolo' 포함
    Write-Host "[+] 터널링 도구 시뮬레이션 실행 중 (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Running Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. 선택 항목2 트리거: 'tls_verify_disabled' 메타데이터 시뮬레이션이 포함된 Python
    # 참고: 'tls_verify_disabled'는 EDR의 커스텀 메타데이터 필드일 가능성이 높습니다. 
    # 우리는 이 태그를 생성할 수 있는 동작을 시뮬레이션합니다.
    Write-Host "[+] Python 비콘 시뮬레이션 실행 중 (TLS 검증 비활성화)..." -ForegroundColor Yellow
  
    # 이 명령은 SSL 검증을 명시적으로 억제하면서 요청을 수행하는 python 프로세스를 시뮬레이션합니다. 이는 고급 EDR에 의해 플래그가 설정됩니다.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] 시뮬레이션 완료. SIEM을 확인하여 경고를 확인하십시오." -ForegroundColor Green

• 정리 명령:

   # 정리: 이번 시뮬레이션에서는 파일이 생성되지 않았으나, 남아 있는 스트레이 프로세스가 없도록 보장합니다.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] 정리 완료." -ForegroundColor Cyan