"랜섬웨어 '더 젠틀맨', 보안 우회 기법 조직적으로 교육하고 있었다"

국내 보안 기업이 랜섬웨어 조직 '더 젠틀맨'의 원격제어(C2) 서버를 찾아 분석한 결과, 엔드포인트 탐지 및 대응(EDR) 솔루션을 우회하기 위한 조직적인 교육 활동 정황이 포착됐다. 또한 격 명령 실행과 파일 전송뿐 아니라 윈도우 보안 대화상자를 위조해 계정과 비밀번호를 입력받는 기능을 갖춘 공격 도구도 AI를 활용해 개발하고, 실제 글로벌 기업 2곳에 대한 공격 정황도 확인됐다.

사이버 위협 인텔리전스(CTI) 전문 기업 오아시스시큐리티(대표 김근용)는 더 젠틀맨의 C2서버에서 수집한 파일과 개발 자료를 분석한 결과 이같이 나타났다고 1일 밝혔다.

랜섬웨어 추적 사이트 '랜섬웨어닷라이브'에 따르면 올해에만 더 젠틀맨 조직은 '킬린(Qilin)'에 이어 두 번째로 가장 많은 공격 건수를 기록하고 있다. 최근 왕성히 공격 활동을 보이는 조직 중 하나라는 것이다.

분석 결과에 따르면 해당 서버에는 공격 도구를 개발·시험한 과정과 보안 제품의 동작을 분석한 기록, 기업에서 유출된 것으로 분석된 데이터를 분류·정리한 자료가 남아 있던 것으로 나타났다. 공격 도구 개발은 물론, 공격 기법 연구, 탈취한 데이터 관리까지 진행한 서버가 수면 위로 드러난 것이다.

오아시스시큐리티는 더 젠틀맨의 실제 공격에서 사용이 확인된 C2 프레임워크인 '툭툭(TukTuk)'을 발견했다. 이번 서버에서는 툭툭 C2의 두 번째 전체 개발 프로젝트가 발견됐다. 이는 윈도우, 리눅스 에이전트와 백엔드, 관리 패널 등 4개의 구성 요소의 소스코드가 포함돼 있다. 이 기능은 원격 명령 실행과 파일 전송, 윈도우 보안 대화상자를 위조해 크리덴셜(계정정보)를 입력받는 기능도 확인됐다.

AI 코딩 도구를 활용한 TukTuk C2 개발 화면.(사진=오아시스시큐리티)

주목할 대목은 툭툭 C2 프레임워크 개발 과정에서 AI 코딩 도구가 활용됐다는 점이다. 서버에서 작업 디렉토리가 '툭툭'으로 설정된 AI 코딩 어시스턴트 세션이 열려 있었던 것으로 나타났다. 지시문은 러시아어로 작성됐다.

같은 서버에서는 EDR 무력화를 교육하기 위한 교육 자료도 발견됐다. 공격 교육을 통해 조직적인 랜섬웨어 공격을 이어가려는 것으로 풀이된다.

랜섬웨어 조직 더 젠틀맨이 보유한 보안 솔루션을 우회할 수 있는 기법을 교육하는 자료.(사진=오아시스시큐리티)

김근용 오아시스시큐리티 대표는 "오아시스시큐리티 솔루션에 더 젠틀맨의 C2 서버가 탐지됐으며, 첫 째로 AI를 활용해 만든 툭툭이라는 공격 도구 전체를 발견했다"며 "뿐만 아니라 더 젠틀맨이 개별 해커가 움직이는 것이 아니라, 조직적으로 악성코드를 감염시키는 해커를 섭외하는데 이 과정에서 이들을 교육하기 위한 자료도 발견됐다. 해당 자료는 안티 바이러스(백신)나 EDR 제품을 어떻게 우회해야 하는지에 대한 교육 자료였다"고 설명했다.

교육 자료는 레슨1부터 레슨4까지 단계별로 구성됐다. 기존 도구 분석에서 직접 구현, 취약 드라이버 탐색과 커널 수준 연구로 이어졌다. 각 단계에는 설명 문서와 실습용 코드가 함께 배치돼 있었다.

주요 EDR 제품의 프로세스를 강제로 종료한 뒤 다시 복구되기까지 걸리는 시간을 제품별로 측정한 자료도 확인됐다. 단순히 기존 무력화 도구를 사용하는 데 그치지 않고, 방어가 중단되는 시간을 직접 계측해 공격 가능 구간을 분석한 것으로 보인다. 이 같은 구성은 EDR 무력화 기술이 단순한 도구 보유를 넘어 학습과 실험, 반복에 적합한 형태로 정리되고 있었음을 시사한다.

Jira 티켓 수집·분류 결과를 정리한 공격자 작성 보고서.(사진=오아시스시큐리티)

아울러 글로벌 기술기업의 이슈 관리 시스템(Jira) 관련 데이터가 별도 폴더에 저장돼 있던 것으로 나타났다. Jira 티넷 224건과 첨부파일 8건이 확인됐으며, 오아시스시큐리티에 따르면 기업 내부 정보뿐 아니라 고객사와 협력사가 기술지원과 업무 과정에서 공유한 정보도 포함된 것으로 알려졌따.