지능형 자동화 사용 의혹
3AM 랜섬웨어 조직의 한 구성원이 영국 내 여러 학교를 표적으로 삼아, 관리되지 않는 호스트를 통해 접근한 50대의 기기 중 약 37대를 암호화했습니다. 이번 공격에서 우려되는 점은 Bitdefender 연구원들이 공격자들이 AI로 생성된 명령과 이른바 '에이전트 루프(Agentic Loop)'를 사용하여 공격을 수행했을 가능성을 밝혀냈다는 것입니다.
연구원들은 매번 미세하게 수정되며 40~100초 간격으로 규칙적으로 실행되는 일련의 반복 명령을 관찰했으며, 이는 대상 환경에 자동으로 적응하려는 지능형 자동화 프로세스가 존재함을 시사한다고 결론지었습니다.
공격의 기술적 세부 사항
공격자는 완전한 통제권을 확보하고 침해 범위를 확장하기 위해 다음과 같은 복잡한 기술적 경로를 따랐습니다.
- Veeam 백업 서버 3대에서 자격 증명을 추출하고 암호화하기 위해 수정된 PowerShell 도구 사용.
- 저장된 자격 증명이 포함된 Chrome 브라우저 데이터베이스 복사.
- Mimikatz와 같은 도구 및 LSASS 메모리 덤프 기술을 배포하여 메모리에서 디지털 ID 탈취.
- 'library' 및 'svc_bkpmon'과 같은 이름으로 도메인 관리자(Domain Administrator) 계정을 생성하여 범위 확장.
- 네트워크 내 측면 이동 능력을 높이기 위해 이전에 분리되어 있던 Active Directory 도메인 간의 양방향 신뢰 관계 구성.
최종 단계에서 공격자는 Rust 언어 기반의 3AM 암호화 프로그램을 배포하기 전에 Sophos 및 Bitdefender와 같은 보안 소프트웨어를 비활성화하고 시스템 백업을 삭제하려고 시도했습니다.
이 공격이 실제로 변화시키는 것은 무엇인가?
이번 사건은 랜섬웨어 그룹의 전략에 있어 질적인 변화를 나타냅니다. 모든 단계에서 인간의 개입에 전적으로 의존하는 대신, '에이전트 루프'의 사용은 AI를 이용한 사이버 공격 자동화로의 증가하는 추세를 보여줍니다. 이러한 발전은 공격이 더 빨라지고, 탐지를 피하는 능력이 향상되며, 정찰 및 측면 이동 단계에서 공격자의 수동 기술에 대한 의존도가 낮아질 수 있음을 의미합니다.
이는 영국 국가사이버보안센터(NCSC)가 최근 보고서를 통해 2028년까지 예상되는 AI 기반 랜섬웨어 공격에 대비하여 주요 인프라가 준비되어야 한다고 경고한 시점에 발생했습니다.