소개

전략적 맥락: 불안정한 세상

이 보고서의 데이터를 해석하려면 글로벌 규모의 "더 큰 그림"을 이해해야 합니다. 전 세계 조직에 대한 사이버 위협이 기술적 공백 상태에서 발생하는 것은 아니기 때문입니다. 사이버 위험의 주요 동인에는 전쟁 및 기타 불가항력, 경제 주기의 대규모 변화, 팀이 비즈니스 모델, 주요 파트너, 핵심 프로세스, 기술 채택 및 컴플라이언스 규제정책과 같은 요인에 변화를 도입할 때마다 나타날 수 있는 새로운 취약성 등이 있습니다. 2023년 1분기 위협 데이터에 영향을 미치는 요인의 샘플링은 다음과 같습니다.

• 러시아의 우크라이나 침공 및 서방과의 비대칭 전쟁: 주요 국가의 정치적, 경제적, 영토적 야망을 위한 스파이 활동, 전쟁 및 허위 정보를 목적으로 하는 사이버 활동이 계속해서 증가하고 있습니다. 해커들은 서구 기업, 정부 및 인프라에 점점 더 정교한 사이버 공격을 가하고 있습니다.
• 중국에 대한 시진핑의 통합된 통제와 지정학적 열망: 중국과 연계된 APT(지능형 지속 공격) 그룹이 전 세계를 장악함에 따라 중국의 민족주의적 목표, 독단적인 외교 정책 및 기업 스파이 행위는 계속해서 사이버 위험을 주도하고 있습니다.
• 개발 도상국 및 급속한 인프라 확장: 많은 개발도상국이 경제 성장에 따라 인프라와 기술을 확장하면서 사이버 보안을 최우선 순위로 삼지 않는 경우가 많습니다. 이로 인해 중요한 인프라에서 많은 사이버 관련 취약성이 많이 발생합니다. 
• 글로벌 인플레이션과 경제 및 정치적 영향: 이번 분기에는 시장 변동성, 금융 및 정치적 위기, 지출 우선순위 및 사이버 보안 예산에 대한 압박이 포함되었습니다.
• 코로나19 이후 지속되는 공급망 중단: 여러 지역에 걸친 새로운 시장 진출 경로를 구축하기 위해 파트너, 운송 네트워크, 정보 공유, 그리고 더 나아가 사이버 위험의 변화가 필요했습니다. 사이버 위협이 매일 공급망에 영향을 주는 상황에서 제로 트러스트 기능에 대한 필요성은 업계 전반에 걸쳐 여전히 매우 높습니다. 
• Apple의 우수한 보안 환경에 대한 믿음: 위협 행위자가 Golang 기반 맬웨어를 대규모로 활용하고 공격 벡터를 확장하여 수많은 운영 체제를 포괄하기 시작함에 따라 macOS 환경이 더 이상 안전한 것으로 간주될 수 없다는 사실에도 불구하고 Apple의 우수한 보안 환경에 대한 믿음은 지속되고 있습니다. 
• 혼란을 초래하며 세계 무대에 등장한 인공 지능: 사이버 방어는 향상된 머신 러닝, 자연어 처리 및 기타 발전으로 도움을 받기도 하고 피해를 입기도 합니다. 하지만 인간으로 구성된 팀이 관리할 수 있는 것보다 훨씬 빠른 속도로 글로벌 사이버 위협이 진화하고 발생함에 따라 인공 지능 솔루션은 엔터프라이즈 사이버 방어에 필수가 되었습니다.

사이버 보안: CISO의 과제와 보안 운영 혁신

한눈에 보는 2023년 1분기 요약

랜섬웨어 환경

• 랜섬웨어의 물결: 랜섬웨어는 전 세계적인 사이버 공격의 주요 유형으로 계속해서 왕좌를 차지하고 있습니다. 피싱과 같이 개인을 속이고 조작하여 기밀이나 개인 정보를 누설하는 소셜 엔지니어링 술책은 더욱 정교해지면서 그 어느 때보다 널리 퍼져 있습니다.
• Cuba 및 Play의 강세: 연초에 몸값 관련 사이버 범죄 활동의 감소가 관찰되었지만 1분기에 가장 널리 퍼진 랜섬웨어 계열은 Cuba(9%)와 Play(7%)였습니다.
• LockBit의 잔류: 2분기 연속 활동 감소에도 불구하고 LockBit은 여전히 가장 공격적인 랜섬웨어로, 피해자들이 몸값 요구를 따르도록 압력을 가하고 있습니다.
• 증가하는 Magecart Group의 영향력: 공개 보고에 따르면 이 신용 카드 절도 및 전자상거래 스캘핑 그룹의 2023년 1분기 활동이 크게 증가했습니다. 이러한 위협은 국가와 관련된 다른 주요 APT와 동일한 규모의 활동으로 이루어지는 경우가 거의 없으며, 전 세계적으로 Magecart Group이 다시 등장하고 있음을 시사합니다. 

진화하는 랜섬웨어 전술

• 금전적 목표: 랜섬웨어의 동기가 주로 재정적이라는 것은 놀라운 일이 아닙니다. 보험(20%) 및 금융 서비스(17%) 섹터는 잠재적인 공격을 가장 많이 탐지했습니다. 
• 가장 큰 영향을 받는 중견 기업: 유출 사이트 데이터를 평가한 결과 이러한 공격의 가장 일반적인 피해자는 직원 수가 51~200명(32.3%)에 불과하고 수익이 1,000만~5,000만 달러(38.3%)인 중견 기업인 것으로 나타났습니다. 
• 주요 표적인 미국: 랜섬웨어 그룹의 영향을 가장 많이 받은 국가는 미국(15%)이었습니다. 또한 공격자로부터 "데이터를 다시 구입"하기로 결정한 기업 피해자의 비율이 가장 높은 국가(48%)이기도 합니다. 이는 2위 국가인 영국보다 6배 더 높은 비율입니다.
• 선호도 높은 무기인 Cobalt Strike: Trellix 원격 측정에 따르면 이 도구는 랜섬웨어 행위자들이 매우 선호하는 것으로 나타났습니다(인시던트의 28%). 2022년 4분기 후반 , 공급업체 Fortra는 위협 행위자들이 이 도구를 사용하기 어렵도록 만들려고 시도했으나 이러한 행위자 그룹들 사이에서 Cobalt Strike의 인기와 사용은 여전히 증가하고 있는 것으로 보입니다.

국가 위험 신호

• 주요 행위자: 지난 6개월 동안 Mustang Panda 및 UNC4191을 포함하여 중국과 연계된 APT 행위자들은 1분기에 국가를 표적으로 삼는 데 가장 적극적이었습니다. 중국과 연계된 위협 행위자들이 전체 국가 활동의 79.3%를 차지하여 전 세계 무대를 지배했으며 북한, 러시아 및 이란과 관련된 행위자들이 그 뒤를 이었습니다. 
• 가장 활발한 APT 그룹: Mustang Panda는 3분기 연속으로 전 세계에서 가장 활발한 APT 그룹(72%)의 자리를 유지했습니다. 이는 중국이 스파이 활동과 교란을 목적으로 한 악의적인 사이버 활동을 지속하고 있으며 계속해서 증가하고 있음을 나타냅니다. 

취약성 인텔리전스

• 알려진 취약성 해결 실패: 이번 분기의 가장 치명적인 취약성은 알려진 취약성이 대부분이나 아직 해결되지 않았습니다.
• 어제의 뉴스: 올해 2월에 공개된 Apple 취약성의 경우, 버그는 2021년에 공개된 Pegasus 스파이웨어의 일부로 NSO Group에서 사용된 FORCEDENTRY 익스플로잇까지 거슬러 올라갑니다. 

이메일 보안

• 새로운 공격 수단: Microsoft가 Office 플랫폼에 대한 매크로 첨부 파일을 차단하기 시작했지만 위협 행위자들은 SEO 포이즈닝, OneNote 및 Zip 첨부 파일과 같은 다른 감염 수단을 신속하게 도입하여 Windows 장치를 계속해서 표적으로 삼았습니다.
• 신뢰할 수 없는 브랜드: 점점 더 많은 악의적인 행위자들이 PayPal, Google, DWeb 및 IPFS와 같은 적법한 브랜드 이름과 서비스를 활용하여 피해자를 속이고 온라인 자격 증명을 도용하고 있습니다.

클라우드에 대한 비인가 액세스

• 전술의 변화: 점점 더 많은 기업이 온프레미스 인프라에서 Amazon, Microsoft, Google 등의 좀 더 경제적이고 확장 가능한 옵션으로 전환함에 따라 클라우드 인프라 공격이 계속 증가하고 있습니다.
• 유효한 계정: 다단계 인증, 프록시 및 API 실행을 통한 더욱 정교한 공격이 우세하지만, 대다수의 공격 기술은 계속해서 유효한 계정을 통해 이루어지며 두 번째로 많이 사용되는 공격 벡터 빈도의 두 배 이상을 차지합니다. 이는 비인가 액세스의 위험이 현실임을 상기시킵니다. 사이버 범죄자들이 적법한 계정 로그인에 액세스하고 이를 판매하여 침투하고 공격을 감행하고 있기 때문입니다.

Cobalt Strike, MimiKatz 및 Sharphound와 같은 보다 악의적인 타사 도구는 적법한 시나리오에서 사용됩니다. 네트워크에 침투하려는 펜 테스터는 암호 수집, 비콘 설정 또는 권한 상승 시 이러한 도구를 사용할 수 있습니다. 위협 행위자는 이를 동일한 방식으로 사용하여 개발 시간을 단축하고 공격자가 최근에 사용했거나 실수로 시스템에 남겨둔 도구를 이용하거나 호기심 많은 최종 사용자의 시스템에 상주할 수 있도록 허용합니다.

2023년 1분기에 Magecart Group, APT29 및 APT41은 금전적 가치를 수집하거나 정부의 기밀을 밝히거나 인프라 사용을 억제하기 위한 방법으로 지리적 위치 및 섹터별로 사용자를 표적으로 삼은 가장 활발한 세 가지 위협 그룹 및 APT였습니다. Magecart Group이 다른 주요 국가 관련 APT의 규모로 작동하지 않기 때문에 1위를 차지했다는 사실은 놀랍습니다. Trellix는 앞으로 몇 달 동안 그룹의 활동을 모니터링하여 현재의 데이터가 글로벌 무대에서 그룹의 재부상을 알리는 신호인지를 파악할 것입니다.

과거 글로벌 캠페인의 경우 문제가 된 섹터를 클릭하거나 다운로드하는 사람을 고르기 위해 비교적 단순한 뿌려놓고 기도하기(spray-and-pray) 기술을 사용했습니다. 표적 공격은 정교하게 발전하여 제조, 금융 및 의료 섹터에 대한 지속성이 증가했습니다. 나머지 두 섹터인 통신과 에너지는 글로벌 이벤트에서 표적이 되었던 빈도가 적었던 것으로 보이지만 두 섹터 모두 똑같이 중요하며 그 안에 있는 조직은 침해를 보고하지 않았거나 인시던트를 인식하지 못했을 수 있습니다.

Trellix 연구팀이 분석하고 조사한 이벤트에는 개별 위협 행위자, 위협 그룹 또는 더욱 정교한 APT에 대한 풍부한 정보, 상관관계 또는 속성이 포함되어 있습니다. 맬웨어 계열과 함께 도구, 기술 및 절차에는 로더 및 다운로더 맬웨어, RAT, 정보 도용자 및 랜섬웨어가 포함됩니다. Insights를 통해 분석되고 제공되는 2023년 1분기 이벤트에서 Trellix는 우크라이나가 가장 빈번하게 표적이 되었고 미국이 그 뒤를 바짝 쫓고 있다고 판단했습니다.

Royal Ransom, Trigona 및 Maui 랜섬웨어 계열은 2023년 1분기에 큰 타격을 입혔습니다. Trellix는 최근 Royal Ransom과 이에 대한 Windows 및 Linux 실행 파일의 내부 작업에 관해 자세한 분석을 발표했습니다. 표시된 통계는 특히 Insights 플랫폼에서 나온 것이지만 전 세계적으로 연결된 인프라에서 많은 추가 이벤트가 발생했습니다. 여기에는 보고되거나 비공개로 유지되는 알려진 이벤트와 아직 식별 및 해결되지 않은 이벤트가 포함됩니다.

2023년 1분기 공개 보고서의 표적이 된 국가

7

분석에 제공되는 공개 이벤트에서 Trellix는 우크라이나가 위협 행위자들에 의해 가장 많이 표적이 된 국가였으며 미국이 근소한 차이로 두 번째 표적이 되었다고 판단했습니다.

1.

우크라이나

7%

2.

미국

7%

3.

독일

4%

4.

대한민국

3%

5.

인도

3%

2023년 1분기 공개 보고서에 사용된 랜섬웨어

1.

Royal Ransom

7%

2.

Trigona

4%

3.

Maui

4%

4.

Magniber

3%

5.

LockBit

3%

국가 활동

여러 소스에서 수집한 국가 그룹 활동에 대한 인사이트는 위협 환경을 보다 잘 파악하고 관찰 편향을 줄이는 데 도움이 됩니다. 먼저, 국가 그룹 IoC와 Trellix 고객 원격 측정의 상관관계에서 추출한 통계를 나타냅니다. 두 번째로 보안 업계에서 발행한 다양한 보고서에 대해 위협 인텔리전스 그룹에서 조사, 분석 및 검토한 내용에 대한 인사이트를 제공합니다.

위에서 언급한 바와 같이 이러한 통계는 탐지 자체가 아닌 캠페인의 통계입니다. 다양한 로그 집계, 고객의 위협 시뮬레이션 프레임워크 사용, 위협 인텔리전스 기술 자료와의 높은 수준의 상관관계로 인해 데이터가 분석 목표를 충족하도록 수동 필터링됩니다.

Trellix의 글로벌 텔레메트리 데이터는 APT의 여러 캠페인과 관련된 침해 지표(IoC)를 보여주었습니다. 특히 Mustang Panda가 2023년 1분기에 탐지의 상당 부분을 주도하면서 중국 관련 위협 행위자가 전 세계 환경을 지배하는 것을 계속해서 보고 있습니다. 중국 관련 APT 그룹은 사이드로딩 및 기타 스텔스 기술에 크게 의존하므로 다른 위협 행위자에 비해 맬웨어 도구의 교체 빈도가 낮을 수 있습니다. 만약 그렇다면 이러한 관행은 “투사 편향” 또는 중국 관련 해시 탐지의 추정치를 부풀리는 결과를 초래할 수 있습니다.

다음 위협 행위자와 해당 국가, 이들의 도구 및 기술, 영향을 받는 국가 및 섹터는 Trellix가 확인한 바에 따르면 캠페인에서 가장 널리 퍼져 있는 것으로 나타났습니다.

취약성 인텔리전스

Trellix Advanced Research Center의 리버스 엔지니어링 및 취약성 분석 전문가는 최신 취약성을 지속적으로 모니터링하여 위협 행위자가 이를 활용하는 방법과 이러한 공격의 가능성 및 영향을 완화하는 방법에 대한 지침을 고객에게 제공합니다.

2023년 1분기의 가장 중요하지만 놀랍지 않은 발견 중 하나는 이 기간의 가장 중요한 취약성 중 다수가 이전 CVE용 패치에 대한 바이패스, 오래된 라이브러리의 사용으로 인해 발생하는 공급망 버그 또는 이전 기록을 기반으로 예상되는 5분의 시간이 훨씬 지난 후에도 지속되는 장기 패치 취약성 등으로 구성되었다는 점입니다.

예를 들어 올해 1월에 등장한 Zoho의 ManageEngine 제품의 치명적인(9.8) 취약성인 CVE-2022-47966을 생각해 보십시오. ManageEngine은 전 세계 수천 개의 회사에서 사용되고 있으므로 이 취약성의 악용이 실제로 탐지되었을 때 크게 놀랍지는 않았습니다. 우리를 놀라게 한 것은 근본적인 원인, 바로 오래된 버전인 Apache Santuario 1.4.1의 활용이었습니다. 이 버전에는 알려진 이슈가 포함되어 있어 XML 주입을 허용하고 있었습니다. Zoho는 10월에 제품군 전반에서 취약성을 패치했고, 3개월가량이 지난 1분기에 CISA는 실제 악용에 대한 주의 경고를 발표하고 공급업체에 패치를 촉구했습니다.

또 다른 예는 CWP(제어 웹 패널)의 치명적인 취약성인 CVE-2022-44877입니다. 이 취약성은 직접적으로 관련되지는 않았지만 이전 예시와 동일한 특성을 많이 가지고 있습니다. 이는 10월에 다시 패치되었음에도 불구하고 1월에 활발하게 악용된 또 다른 9.8 RCE입니다. 근본 원인은 URL 매개변수에서 표준 셸 변수 확장을 사용하는 명령 주입으로 Black Hat에서 논의할 주제는 아니었습니다.

세 번째 예는 2021년 2월에 해결된 VMware ESXi의 OpenSLP 서비스 취약성인 CVE-2021-21974로, 근 2년 만에 실제 악용 사례와 함께 갑작스럽게 다시 등장했습니다. Shodan에 따르면 Trellix 2월 버그 보고서에서 이 취약성에 대해 보고한 시점에 약 48,000개의 인터넷 연결 가능 서버가 여전히 취약한 버전의 ESXi를 실행하고 있었습니다. 오늘날 그 수치는 여전히 38,000개 이상으로 22% 미만의 변화를 나타냅니다.

표 1: 2월 말과 4월 말에 수행된 취약한 ESXi 인스턴스에 대한 Shodan 검사 결과입니다.

올해 초 Apple 장치를 조사했을 때 발견한 사례는 다음과 같습니다. CVE-2023-23530 및 CVE-2023-23531의 두 가지 취약성은 이들의 영향이 RCE가 아닌 로컬 권한 상승으로 제한된다는 점에서 이전 예와는 다릅니다. 그러나 2021년 NSO Group이 Pegasus 스파이웨어를 배포하는 데 사용한 FORCEDENTRY 익스플로잇에 의해 매우 유사한 취약성이 악용되었으므로 그 중요성을 간과해서는 안 됩니다. 사실 우리가 발견한 두 CVE는 FORCEDENTRY 익스플로잇의 기반이 되는 것과 동일한 프리미티브인 NSPredicate라는 무해한 클래스를 사용합니다. 안타깝게도 FORCEDENTRY를 완화하기 위한 Apple의 접근 방식에는 광범위한 거부 목록을 사용하는 것이 포함되었으며 이는 NSPredicate가 남용되는 방식을 강화했습니다. 이러한 완화는 우리로 하여금 근본적인 문제를 해결하지 못하고 겉돌게 했습니다.

이와 같은 동향을 지적하고 공급업체가 보안을 심각하게 생각하지 않는다고 결론을 내리거나 위협 행위자 및 연구원에 의한 오래된 익스플로잇의 반복을 한탄하고 싶지만 이는 올바른 교훈이 아닙니다. 취약성 연구원은 변종 분석에 참여합니다. 실질적인 취약성 연구원은 실제 위협 행위자의 우선순위를 에뮬레이션하고, 거의 패치되지 않은 제품에서 완화 바이패스 또는 이전 CVE를 찾는 것이 쓸데없이 시간을 낭비하는 것보다 지속적으로 더 나은 ROI를 생성하기 때문입니다. 이러한 동향을 올바르게 인식하는 조직의 경우 다음과 같은 교훈을 얻어야 합니다. 최신 위협 탐지 기술은 현대 위협 환경에서 대체할 수 없지만 패치 프로세스 및 공급망 조사와 같은 기본 요소에서 많은 승리를 거둘 수 있습니다.

클라우드 인시던트

Amazon, Microsoft, Google 등에서 개발하고 제공하는 서비스에 대한 클라우드 인프라 공격이 계속 증가하고 있습니다. 다음 데이터는 클라우드 공급자 전반의 고객 기반 내역 전체에서 클라우드 기반 공격 텔레메트리 데이터를 간략하게 설명합니다.

방법론

수집: Trellix와 Trellix Advanced Research Center의 노련한 세계적 수준의 전문가들은 광범위한 글로벌 소스로부터 통계, 동향 및 인사이트를 수집하여 이 보고서를 구성합니다.

• 전속 소스: 경우에 따라 원격 측정은 기술, 인프라 또는 데이터 서비스를 제공하는 네트워크를 포함하여 전 세계 공공 및 민간 섹터 네트워크에 배포된 고객 사이버 보안 네트워크 및 방어 프레임워크의 Trellix 보안 솔루션에 의해 생성됩니다. 수백만 개에 달하는 이러한 시스템은 10억 개의 센서로부터 데이터를 생성합니다.
• 오픈 소스: 다른 경우에 Trellix는 특허받은 독점 오픈 소스 도구의 조합을 활용하여 인터넷에서 사이트, 로그 및 데이터 리포지토리뿐만 아니라 악성 행위자가 랜섬웨어 피해자에 대한 정보나 피해자의 정보를 게시하는 "유출 사이트"와 같은 다크웹을 스크랩합니다.

정규화: 집계된 데이터는 Insights 및 ATLAS 플랫폼에 제공됩니다. 팀은 머신 러닝, 자동화 및 인간의 민첩성을 활용하여 데이터를 정규화하고, 결과를 풍부하게 하고, 개인 정보를 제거하며, 공격 방법, 에이전트, 섹터, 지역, 전략 및 결과 간의 상관관계를 식별하는 집중적이고 통합적이며 반복적인 일련의 프로세스를 순환합니다.

분석: 다음으로 Trellix는 (1) 광범위한 위협 인텔리전스 기술 자료, (2) 높이 평가되고 공인된 출처의 사이버 보안 산업 보고서, (3) Trellix 사이버 보안 분석가, 조사자, 리버스 엔지니어링 전문가, 법의학 연구원 및 취약성 전문가의 경험과 인사이트를 참조하여 이 방대한 정보 저장소를 분석합니다.

해석: 마지막으로 Trellix 팀은 사이버 보안 리더와 보안 운영 팀이 (1) 사이버 위협 환경의 최신 동향을 이해하고, (2) 이러한 관점을 통해 조직에 대한 미래의 사이버 공격을 예측, 방지 및 방어하는 능력을 향상할 수 있도록 의미 있는 인사이트를 추출, 검토 및 검증합니다.

리소스

위협 보고서 보관

The Mind of the CISO

Trellix Advanced Research Center, macOS 및 iOS에서 새로운 권한 상승 버그 클래스 발견

A Royal Analysis of Royal Ransom

Ghidra에 Gopher 전달하기

Trellix Advanced Research Center 정보

사이버 보안 업계의 가장 포괄적인 헌장인 Trellix Advanced Research Center는 글로벌 위협 환경에서 새롭게 부상하는 방법, 동향 및 행위자의 최전선에 있으며 전 세계 보안 운영 팀의 최고의 파트너 역할을 수행하고 있습니다. The Trellix Advanced Research Center는 보안 분석가에게 인텔리전스와 최신 콘텐츠를 제공하는 동시에 최고의 XDR 플랫폼을 지원합니다. 또한 Trellix Advanced Research Center의 위협 인텔리전스 그룹은 전 세계 고객에게 인텔리전스 제품 및 서비스를 제공합니다.

Trellix Advanced Research Center

Trellix 소개

Trellix는 사이버 보안과 세상을 바꾸는 기술의 미래를 혁신하는 글로벌 기업입니다. 오늘날 최첨단 위협에 직면한 조직은 Trellix가 보유한 개방형 XDR(확장된 탐지 및 대응) 플랫폼을 통해 확실히 운영을 보호하고 복원할 수 있습니다. Trellix는 광범위한 파트너 에코시스템과 함께 머신 러닝 및 자동화를 통한 기술 혁신을 가속하여 40,000개 이상의 비즈니스 및 정부 고객에게 실시간 보안을 제공합니다.

Trellix의 위협 정보 구독하기

이 웹 페이지와 여기에 포함된 정보는 Trellix 고객의 편의를 위해 교육 목적으로만 제공되는 컴퓨터 보안 연구에 관한 설명입니다. Trellix는 취약성 합리적 공개 정책 I Trellix에 따라 연구를 수행합니다. 기술된 활동의 일부 또는 전체를 재현하려는 모든 시도는 전적으로 사용자의 책임이며 Trellix나 해당 자회사는 어떠한 책임도 지지 않습니다.

Trellix는 미국 및 기타 국가에서 Musarubra US LLC 또는 해당 자회사의 상표이거나 등록 상표입니다. 다른 이름 및 브랜드는 타사 소유주의 자산일 수 있습니다.