[데일리시큐]가짜 해체쇼한 랩서스-샤이니헌터 등 3개 해커 연합…“다시 온다”…한국 기업도 위험권에

내용 요약

세 개의 악명 높은 해커 조직—LAPSUS$, ShinyHunters, Scattered Spider—가 연합해 “트리니티 오브 카오스”를 결성했으며, 최근 은퇴 선언을 했으나 보안 업계는 이는 사기일 가능성이 높다고 경고한다. 한국 기업도 이러한 공격 패턴에 대비해야 한다.

핵심 포인트

• 삼자 연합의 탄생: 각기 다른 배경과 공격 방식을 가진 APT 그룹이 결합해 범용 위협을 가중시켰다.
• ‘은퇴 선언’의 불확실성: 공개된 은퇴 발표가 실제 해체인지, 단순한 PR인지 판단이 어려우며, 지속적인 모니터링이 필요하다.
• 한국 기업의 대비책: 다층 보안 전략(보안 인식 교육, 멀티팩터 인증, EDR/EDR 통합 등)을 강화해야 한다.

기술 세부 내용

1️⃣ Credential Theft (T1078 Valid Accounts)

1. 악성 파일 삽입
   • 공격자는 사내 인트라넷에 악성 스크립트 또는 도구(예: Mimikatz)를 업로드한다.
2. 권한 상승
   • runas 혹은 PsExec를 이용해 관리자 권한으로 실행된다.
3. 암호 수집
   • 도구가 메모리에서 암호를 덤프하거나 NTDS.dit 파일을 복제한다.
4. 외부 전송
   • 수집된 자격 증명을 암호화한 뒤 외부 C2(커맨드 & 컨트롤) 서버로 전송한다.
5. 세션 가로채기
   • 탈취한 자격 증명을 이용해 LDAP, RDP, SMB 세션을 가로챈다.

2️⃣ Phishing & Social Engineering (T1566)

1. 목표 선정
   • 내부자 데이터베이스에서 핵심 직원(IT 관리자, CFO 등)을 분석한다.
2. 전송 매체 준비
   • 정식 도메인(예: finance@company.com)과 유사한 스푸핑 이메일을 생성한다.
3. 피싱 메시지 작성
   • 최신 보안 인시던트(예: 패치 알림)와 결합해 긴급성을 부여한다.
4. 악성 링크/첨부 삽입
   • URL 단축 서비스(예: bit.ly)를 통해 메타 공격 페이지를 연결하거나, 악성 매크로가 삽입된 DOC 파일을 첨부한다.
5. 피해자 행동 유도
   • 클릭 시 악성 스크립트가 실행돼 백도어 설치 또는 키로깅이 진행된다.
6. 피해 확산
   • 내부망에서 자동으로 전파(예: SMB 스캔)하거나, 사내 메신저를 통해 확산 시도한다.

Tip:
- E-mail 필터링 → SPF, DKIM, DMARC 활성화
- 사용자 교육 → 시뮬레이션 훈련과 정기적 리마인더
- 멀티팩터 인증(MFA) → 특히 관리자 계정에 적용

Actionable:
1. 현재 자격 증명 관리 정책 점검 (Password Vault, Least Privilege)
2. 정기적인 보안 인식 훈련과 피싱 테스트 실행
3. EDR/EDR 플랫폼으로 의심 행위 실시간 탐지 설정

---

본 문서는 1500자 이내로 핵심 기술과 대응 방안을 정리한 것이며, 실제 환경에서는 기업 정책과 규정에 맞게 추가 보완이 필요합니다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=201005