'Operation Endgame'으로 알려진 대규모 국제 작전에서 미국, 유럽, 호주, 캐나다의 법 집행 기관들이 가장 위험한 악성 소프트웨어 제품군인 Gootloader, CastleRAT, StealC의 인프라를 압수하는 데 성공했습니다. 이번 작전으로 235대의 서버와 257개의 도메인이 압수되었으며, 640만 건의 피해자 자격 증명 세트가 복구되었습니다.
이러한 소프트웨어들은 '서비스형 사이버 범죄(Cybercrime-as-a-Service)' 모델을 기반으로 하며, 복잡한 유통망을 통해 랜섬웨어 공격과 대규모 데이터 절도를 용이하게 하는 데 사용됩니다.
표적 소프트웨어 세부 정보
- Gootloader: 이 소프트웨어는 2018년부터 랜섬웨어를 포함한 다른 악성 소프트웨어의 드로퍼(Dropper) 역할을 해왔습니다. 가짜 법률 문서가 포함된 해킹된 웹사이트를 사용하여 감염을 확산시킵니다. 미국 법무부에 따르면, 이 소프트웨어는 2만 5천 대 이상의 기기를 감염시켰으며 미국에 약 2,880만 달러의 피해를 입혔습니다. 최근 작전을 통해 100대의 서버에서 해당 소프트웨어가 제거되었으며, 유로폴(Europol)은 이와 관련된 14대의 서버와 218개의 도메인을 압수하고 681개의 감염된 웹사이트를 정리했습니다.
- CastleRAT: 최소 2025년부터 활동한 이 원격 액세스 트로이 목마(RAT)는 공격자에게 감염된 기기에 대한 완전한 제어권을 부여하여 파일 암호화 및 몸값 요구에 사용하게 합니다. 이번 급습으로 120대의 서버와 39개의 도메인이 압수되었으며, 18만 개의 이메일 주소와 89만 3천 개의 고유 비밀번호를 포함한 데이터가 복구되었습니다.
- StealC: 이 소프트웨어는 데이터 탈취 도구(Stealer) 및 드로퍼(Dropper) 역할을 하며, 주로 비밀번호와 신원 정보 절도에 집중합니다. 이번 캠페인의 일환으로 102대의 관련 서버가 무력화되었습니다.
실질적인 변화
이번 작전의 중요성은 범죄 '공급망'을 타격했다는 점에 있습니다. 단순히 하나의 소프트웨어를 중단시키는 대신, 당국은 범죄자들이 데이터를 판매하고 후속 공격에 사용할 수 있게 하는 인프라를 표적으로 삼았습니다. 또한 640만 건의 도난당한 자격 증명을 HaveIBeenPwned 및 The Shadowserver Foundation과 같은 보안 조직과 공유함으로써, 기술 커뮤니티가 사용자를 보호하고 도난당한 데이터가 새로운 랜섬웨어 공격에 악용되기 전에 경고할 수 있는 능력을 강화했습니다.