SafePay 랜섬웨어: 전술, 기법, 방어 대책

요약

SafePay 랜섬웨어 공격자는 자격 증명 탈취, 피싱, 알려진 취약점의 악용을 통해 기업과 중요한 인프라를 표적으로 삼습니다. 그들은 관리 계정을 조작하여 지속성을 유지하며, 생활형(Living-Off-The-Land) 기법을 사용하여 수평 이동을 합니다. 공격은 일반적으로 데이터 탈취와 하이브리드 ChaCha20-RSA 암호화, 암호화폐를 요구하는 몸값 요구로 끝납니다.

조사

조사는 FBI, USSS, CISA, 독일의 Landeskriminalamt Rheinland-Pfalz, 영국의 NCA 및 NWROCU가 공동으로 수행했습니다. 결과는 2026년 8월까지 수행된 조사를 기반으로 합니다. 2024년 8월 이후, SafePay 공격자는 여러 산업과 중요한 부문에서 최소 600명의 피해자를 발생시켰습니다.

완화

조직은 특히 엣지 장치와 방화벽에 영향을 미치는 알려진 취약점에 대한 패치를 우선시해야 합니다. 제로 트러스트 원칙, 다중 인증(MFA), 강력한 신원 및 접근 관리(ICAM) 제어를 적용하는 것이 필수적입니다. 변경 불가능한 오프라인 백업을 유지하고 네트워크 세분화를 시행함으로써 랜섬웨어 공격의 잠재적 영향을 크게 줄일 수 있습니다.

대응

SafePay 활동이 감지되면, 조직은 손상된 시스템을 격리하고 위협 사냥을 통해 침입의 전체 범위를 결정해야 합니다. 사건은 FBI 또는 IC3을 포함한 관련 법 집행 기관에 보고되어야 합니다. 격리 후, 위협을 제거하기 위한 퇴거 전략을 적용하고, 재입력을 방지하기 위해 영향을 받은 환경을 강화해야 합니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적수가 초기 접근 권한을 획득하고 내부 정찰을 수행하여 수평 이동을 위한 높은 가치의 사용자 계정을 식별합니다. SafePay 랜섬웨어 플레이북에 따라, 공격자는 ShareFinder.ps1 이라는 전문화된 PowerShell 스크립트를 실행하여 네트워크 공유를 매핑하고, 그 후 net user 명령을 cmd.exe 를 통해 실행하여 로컬 사용자 계정을 열거합니다. 이러한 특정 행동은 탐지 규칙을 트리거하여 SOC가 경고를 받는지 여부를 검증하도록 설계되었습니다.

• 회귀 테스트 스크립트:

  # SafePay 탐지 검증을 위한 시뮬레이션 스크립트
  
  Write-Host "[+] 시뮬레이션 시작..." -ForegroundColor Cyan
  
  # 1. PowerShell 'ShareFinder.ps1' 실행 시뮬레이션
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host '주문형 공유 검색 중...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] ShareFinder.ps1 실행 중..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. 'net user'를 cmd.exe를 통해 시뮬레이션
  Write-Host "[+] 'net user'를 cmd.exe를 통해 실행 중..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] 시뮬레이션 명령이 전송되었습니다." -ForegroundColor Green

• 정리 명령:

  # 시뮬레이션 인공물 정리
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] 정리: $scriptPath 제거" -ForegroundColor Green
  } else {
      Write-Host "[!] 정리: 스크립트를 찾을 수 없습니다, 제거할 것이 없습니다." -ForegroundColor Gray
  }