유럽연합 형사사법협력청(Europol)은 현재 활동 중인 가장 위험한 악성코드 패밀리 중 3곳인 Gootloader, CastleRAT, StealC의 인프라를 해체하는 데 성공한 주요 국제 작전의 결과를 발표했습니다. 이번 작전으로 전 세계 수백만 명의 피해자로부터 사이버 공격을 관리하고 도난 데이터를 저장하는 데 사용된 257개의 도메인과 235대의 서버가 압수되었습니다.
목표가 된 악성코드들은 사이버 범죄 무기고의 핵심 도구들입니다. Gootloader는 2020년부터 악성 프로그램 로더(Loader)로 작동해 왔으며, StealC는 비밀번호 및 암호화폐 지갑과 같은 민감한 데이터 탈취를 전문으로 합니다. 지난해 등장한 원격 접근 트로이 목마(RAT)인 CastleRAT은 공격자에게 감염된 기기에 대한 완전한 통제권을 부여합니다. 이러한 악성코드는 글로벌 랜섬웨어(Ransomware) 조직들의 활동과 밀접하게 연관되어 있습니다.
엔드게임 작전(Operation Endgame) 상세 내용
이번 타격은 "서비스형 사이버 범죄" 네트워크를 겨냥한 지속적인 국제적 노력인 "엔드게임 작전"의 일환입니다. 이번 단계에는 유로폴과 유로주스트(Eurojust)의 직접적인 공조 하에 미국, 영국, 독일, 네덜란드, 폴란드, 덴마크, 불가리아, 캐나다, 몰도바 등 9개국의 법 집행 기관이 참여했습니다.
당국은 감염된 시스템에서 추출되어 판매되거나 향후 공격에 사용될 자격 증명과 비밀번호를 포함해 범죄 인프라 내에서 640만 건의 도난 데이터 세트를 발견했다고 밝혔습니다. 피해를 최소화하기 위해 이 데이터는 HaveIBeenPwned, DIVD, NoMoreLeaks와 같은 전문 플랫폼을 통해 제공되어 피해자들에게 경고하고 손상된 계정을 보호할 예정입니다.
이러한 해체 이후 실질적으로 무엇이 바뀌는가?
이번 작전은 당국이 단순한 개인 추적에 그치지 않고 이러한 조직들이 의존하는 "기술 자산" 파괴에 집중함으로써 디지털 조직범죄 대응에 있어 전략적 전환점을 마련했습니다. 235대의 서버를 무력화한다는 것은 현재 감염된 기기와 통신하려는 공격자들의 능력을 마비시키는 것을 의미하며, 범죄자들이 인프라를 재구축하기 전에 기업과 사용자가 시스템을 보호할 수 있는 시간적 여유를 제공합니다.
이번 타격이 "엔드게임 작전"의 첫 번째 결과물은 아닙니다. 지난 6월에는 감염된 약 15,000개의 워드프레스(WordPress) 사이트가 정리되었고, 러시아 조직 "이블 코프"(Evil Corp)와 연관된 서버들이 압수되었습니다. 또한 이전 단계에서도 IcedID, Trickbot, Smokeloader와 같은 유명 악성코드를 겨냥하여 이러한 공격의 자금 줄을 차단하겠다는 국제적 의지를 반영했습니다.
사용자와 기업을 위한 보안 권고사항
작전을 통해 드러난 기술적 데이터를 바탕으로 전문가들은 다음과 같은 조치를 취할 것을 권장합니다.
- 콘텐츠 플랫폼 보안: 워드프레스 사용자들은 즉시 자격 증명을 업데이트하고 다중 인증(MFA)을 활성화하며 플러그인과 테마의 보안 취약점을 해결해야 합니다.
- 데이터 유출 여부 확인: 개인 데이터가 복구된 640만 건의 기록에 포함되어 있는지 확인하기 위해 작전에서 언급된 신뢰할 수 있는 플랫폼을 사용하는 것이 좋습니다.
- 방어 시스템 업데이트: StealC와 같은 악성코드는 여전히 잘 알려진 소프트웨어 취약점에 의존하여 확산되므로, 시스템을 정기적으로 업데이트하는 것이 가장 첫 번째이자 중요한 방어선으로 남습니다.