블랙 바스타 유출로 밝혀진 현대의 위협 행위자들에 대한 정보

이 블로그 글의 AI 요약으로 바로 가기

사이버 보안 업계에서 우리는 공격 패턴을 꼼꼼하게 분석하고 멀웨어를 리버스 엔지니어링하며 증거의 조각을 조합하여 공격자를 이해하는 데 익숙해져 있습니다. 하지만 위협 행위자들이 실제로 매일 어떻게 활동하는지 장막 뒤에서 직접 들여다볼 수 있는 기회는 거의 없습니다. 최근 블랙 바스타 랜섬웨어 그룹에서 유출된 19만 개의 채팅 메시지는 일반적으로 보이지 않는 세계를 여과 없이 그대로 보여줍니다.

그리고 그것은 얼마나 많은 것을 드러내는 창입니다.

유출자가 유출자가 되다

다른 사람의 민감한 데이터를 훔치고 노출시켜 범죄 제국을 건설한 랜섬웨어 운영자들은 파일 공유 사이트와 텔레그램 채널에 자신의 사적인 통신을 흘리는 것을 시적인 정의로 여기고 있습니다. 시스템을 암호화하고 민감한 데이터를 유출하며 거액의 몸값을 요구하는 블랙 바스타는 이제 피해자들이 너무도 잘 알고 있는 불편한 입장에 처하게 되었습니다.

2023년 9월부터 2024년 9월에 걸친 이 메시지들은 익스플로잇위스퍼라는 단체가 게시한 것으로, 아직 정체를 알 수 없는 단체가 게시했습니다. 이 유출은 블랙 바스타의 다크 웹 사이트가 원인 모르게 중단된 시기와 맞물렸으며, 그 이후에도 여전히 오프라인 상태로 유지되고 있어 단순한 당혹감을 넘어선 피해가 발생할 수 있음을 시사합니다.

하지만 아이러니를 넘어 이번 유출 사건에서 정말 놀라운 점은 위협 행위자들이 어두운 지하실에서 활동하는 해커들의 느슨한 집단이라는 통념을 완전히 무너뜨렸다는 점입니다.

단순한 해커가 아닙니다: 기업 범죄 기업

혼란스러운 토론, 유치한 유머, 무질서한 계획으로 가득 찬 채팅 로그를 예상했다면, 블랙 바스타의 메시지는 극명한 대조를 이룹니다. 대신 전문 부서, 명확한 계층 구조, 정교한 비즈니스 프로세스를 갖춘 고도로 구조화된 조직의 모습이 나타나며, 이는 많은 정상적인 기업에서 흔히 볼 수 있는 모습입니다.

유출된 커뮤니케이션을 통해 범죄 작전의 다양한 측면에 초점을 맞춘 전문 팀이 드러났습니다:

익스플로잇 개발 전문가 취약점을 무기화하는 데 집중
인프라 최적화 팀 운영 복원력 보장
사회 공학 전문가 설득력 있는 스크립트 및 공격 방법론 제작
협상 전문가 피해자와의 몸값 논의 처리
관리 인력 전체 운영을 감독

이 조직은 해커들로 구성된 무리가 아니라 합법적인 기업과 유사한 부서 구조를 갖춘 범죄 조직입니다. 위협 행위자들이 주니퍼 방화벽 제로데이 익스플로잇에 20만 달러를 지불하는 것에 대해 논의했을 때, 한 멤버가 "공정한 가격"이라고 가볍게 대답한 것은 기술적 정교함뿐 아니라 비즈니스 통찰력과 지하 경제의 시장 역학에 대한 이해를 드러내는 것이기도 합니다.

산업화된 사이버 범죄의 무자비한 효율성

아마도 가장 충격적인 것은 이러한 작전이 얼마나 체계적으로 실행되고 있는지에 대한 증거일 것입니다. 예를 들어, 종종 즉흥적이고 기회주의적인 것으로 상상되는 사회 공학에 대한 이 그룹의 접근 방식을 생각해 보십시오.

블랙 바스타의 한 매니저는 한 폭로 메시지에서 이렇게 지시했습니다: "여자는 남자에게 전화해야 합니다. 남자는 여자에게 전화해야 합니다." 이는 무작위적인 편견이 아니라 성공률을 극대화할 수 있다고 믿었던 신뢰 패턴을 계산적으로 악용한 것이었습니다. 메시지는 이어서 이 작업을 위해 500명의 잠재적 발신자를 선별했으며, 최종적으로 "유능한 사람은 2~3명뿐"이고 나머지 몇 명을 예비로 삼았다고 설명했습니다. 한 여성 발신자는 "다섯 번째 통화마다 원격 접속으로 전환"될 정도로 매우 효과적이었다고 합니다.

이러한 수준의 선발, 교육, 성과 추적은 합법적인 영업 조직에서는 인상적일 것입니다. 하지만 범죄 기업에서는 소름이 끼칠 정도입니다.

마찬가지로, 수백만 명이 설치한 오픈 소스 메일 서버인 Exim의 심각한 취약점 익스플로잇에 대해 논의할 때 한 회원은 "가능한 한 빨리 익스플로잇해야 한다"고 긴급하게 글을 올렸고, 이어서 Microsoft Exchange 서버에 대한 이전 공격을 기반으로 상세한 기술 지침을 제시했습니다. 취약점 익스플로잇에 대한 체계적인 접근 방식은 긴급성과 경험 및 제도적 지식이 결합된 작전을 보여줍니다.

형사 회의실에서의 전략적 사고

이 메시지는 또한 이러한 그룹이 어떻게 전략적으로 유명한 공격을 탐색하는지에 대한 인사이트를 제공합니다. 560만 명의 개인에게 영향을 미친 의료 서비스 제공업체인 Ascension을 표적으로 삼을 때 Black Basta 멤버들은 신중한 위험 평가와 전략적 계획을 세웠습니다.

유출 사건을 분석한 연구자들에 따르면, 블랙 바스타는 의료 기관을 표적으로 삼을 때 법 집행 기관의 조사가 강화될 것이라는 점을 인지하고 있었습니다. 이에 대응하여 이들은 전략적으로 요구 사항을 재구성하여, 훔친 환자 데이터에 대한 몸값 요구를 유지하면서 '선의의 제스처'로 중요 시스템의 잠금을 해제하겠다고 제안했습니다. 이 계산된 접근 방식은 잠재적인 반발을 완화하는 동시에 지불을 보장하기 위해 고안되었습니다.

이는 일반적으로 범죄 기업이 아닌 기업 이사회와 연관된 전문 분야인 홍보, 규제 환경 및 위험 관리에 대한 정교한 이해를 드러냅니다.

무시할 수 없는 경고

법 집행 기관이 랜섬웨어 조직을 소탕할 때 공개 발표는 일반적으로 혐의, 압수된 인프라, 예상되는 금전적 피해에 초점을 맞추고 있습니다. 이러한 조직이 실제로 일상적으로 어떻게 운영되는지에 대한 자세한 내용은 거의 볼 수 없습니다.

이번 정보 유출로 인해 안심할 수 있는 환상이 사라졌습니다. 불편한 진실은 이러한 범죄 조직 중 상당수가 합법적인 기업에 필적할 만한 수준의 효율성, 전문성, 전략적 사고로 운영된다는 것입니다. 이들은 채용 프로세스, 교육 프로그램, 성과 지표, 심지어 기관의 지식 관리처럼 보이는 것까지 갖추고 있습니다.

방어자들에게는 이번 사건이 냉정한 경각심을 불러일으키는 계기가 될 것입니다. 우리는 무질서한 기회주의자들이 아니라 전문 범죄 기업들과 맞서고 있습니다:

상당한 재정적 자원(단일 익스플로잇에 수십만 달러를 지불할 의향이 있음)
여러 영역에 걸친 전문 지식
효율적인 운영 프로세스
전략적 의사 결정 기능
성능 최적화 사례

방어자가 무심코 보안 조치를 실행하거나 중요한 패치를 지연하는 것은 운이 좋기를 바라는 아마추어 해커를 상대로 도박을 하는 것이 아니라, 반복 가능한 프로세스, 숙련된 팀, 사소한 약점을 악용할 수 있는 리소스를 갖춘 고도로 조직화된 공격자를 상대하는 것입니다.

우리가 처한 군비 경쟁

사이버 범죄의 전문화는 방어자가 현명하게 대응해야 한다는 것을 의미합니다. 반쪽짜리 보안 조치와 규정 준수 중심의 접근 방식으로는 이 정도의 집중력과 리소스를 공격에 투입하는 공격자에게는 절대적으로 불충분합니다.

조직은 자신들이 범죄자들과의 군비 경쟁에 참여하고 있다는 사실을 인식해야 합니다:

피해자와의 협상을 위한 상세한 플레이북을 준비하세요.
수십 가지 기술에서 새로운 취약점을 지속적으로 스카우트합니다.
소셜 엔지니어링 접근 방식을 세심하게 개선합니다.
체계적인 운영 보안 유지
타겟 프로필과 산업에 따라 전략을 조정하세요.

이러한 수준의 조직과 프로세스 성숙도는 방어자가 더 이상 사후 대응을 할 여유가 없음을 의미합니다. Exim과 같은 소프트웨어에서 중대한 취약점이 발견되면 조직은 여유롭게 패치 주기를 기다릴 여유가 없으며, 기회를 즉시 인지하고 "가능한 한 빨리" 공격에 동원하는 공격자들과 경쟁해야 합니다.

거울 들여다보기

블랙 바스타 유출 사건에서 가장 불편하게 드러난 것은 아마도 우리가 냉혹한 현실을 직시해야 한다는 점일 것입니다. 많은 경우 이러한 범죄 기업은 이를 방어하는 보안 조직을 능가하는 수준의 효율성, 전문성, 프로세스 규율을 보여줍니다.

합법적인 기업은 중요한 취약점 패치, 다중 인증 구현, 효과적인 보안 인식 교육 등 보안의 기본에 어려움을 겪는 경우가 많지만, 이러한 범죄 그룹은 익스플로잇에 최적화된 정교한 운영을 구축했습니다.

사이버 범죄를 취미나 부업이 아닌 모든 규율과 전략적 사고를 갖춘 전문적인 비즈니스 운영으로 취급하는 공격자들에게 사이버 범죄를 당할 위험에 처하지 않으려면 방어자들이 이 수준의 조직과 효율성에 부합하거나 이를 뛰어넘어야 한다는 점은 이보다 더 명확할 수 없습니다.

블랙 바스타 유출 사건은 단순히 하나의 범죄 집단이 드러난 것이 아니라 우리가 직면한 현실을 적나라하게 드러낸 사건입니다. 그리고 이러한 노출은 적들이 해커가 아닌 범죄 기업처럼 활동하는 시대에 우리가 방어에 접근하는 방식을 근본적으로 재평가할 수 있는 경고이자 기회이기도 합니다.

출처 및 제공자 이 기사를 작성한 Ars Technica의 선임 보안 에디터 댄 구딘(Dan Goodin) 에서 이 기사를 작성한 댄 구딘 수석 보안 에디터에게 감사드립니다.

요약