이번 주에 Tanium의 사이버 위협 인텔리전스(CTI) 팀은 침해된 가상 사설 서버(VPS) 인프라를 활용하여 랜섬웨어 및 자격 증명 도난을 포함한 사이버 범죄 운영을 지원하는 대규모 프록시 봇넷인 SystemBC를 조사합니다. 다음으로, 팀은 현재 엔터프라이즈 클라우드 애플리케이션을 대상으로 하는 재정적 동기가 부여된 데이터 갈취 그룹인 ShinyHunters를 살펴봅니다.
또한 AI 생성 코드를 사용하여 SVG 파일 내의 악성 페이로드를 난독하게 하여 기존의 탐지 방법을 우회하는 정교한 피싱 캠페인 의 개요도 포함되어 있습니다.
VPS 인프라를 대상으로 하는 SystemBC 봇넷
Lumen Technologies의 Black Lotus Labs 팀은 광범위한 범위, 지속적인 감염 및 여러 공격자 서비스와의 통합을 포함하여 SystemBC 봇넷에 대한 새로운 세부 정보를 공유하고 있습니다.
SystemBC 봇넷은 수년 동안 활성화되어 매일 수천 개의 시스템을 감염시켰습니다. Black Lotus Labs에 따르면 특히 대부분의 피해자를 담당하는 VPS 인프라가 대역폭과 지속성을 극대화하는 것이 좋습니다.
다른 봇넷과 마찬가지로 이러한 피해자는 악성 트래픽에 대한 프록시로 전환합니다. Black Lotus Labs에 따르면 SystemBC는 주거용 IP가 아닌 VPS 시스템을 사용하여 “더 오랜 기간 동안 대량의 볼륨을 가진 프록시를 제공합니다.”라고 합니다.
연구자들은 이러한 프록시가 여러 네트워크에서 사용되는 것을 관찰했습니다. 봇넷의 주요 사용자 중 하나는 REM 프록시라는 프록시 네트워크입니다. 이 네트워크는 지난 몇 년 동안 랜섬웨어 공격자와 연결되었으며, 사용자에게 세 가지 다른 패키지를 제공합니다. 상위 계층은 탐지율이 낮은 것으로 추정됩니다. 이 보고서에는 관심 있는 사람들을 위한 REM 프록시에 대한 자세한 정보가 포함되어 있습니다.
초기 액세스 벡터를 식별할 수 없었지만 Black Lotus Labs는 각 피해자가 패치되지 않은 CVE를 약 20 개 보여 하나 이상이 중요함을 발견했습니다.
[패치되지 않은 소프트웨어가 가장 취약한 링크가 되지 않도록 하십시오. 위험을 줄이고 복원력을 높이며 더 스마트한 패치 전략을 준수하는 방법을 알아보십시오.]
글로벌 원격 측정 및 피해자 분석
이 프록시 네트워크를 사용하는 작업자는 SystemBC에 속하는 C2 개의 IP 주소를 사용하는 것으로 시작합니다. 이렇게 하면 사용자가 Botnet의 피해자 중 한 명에게 퍼널링됩니다. Telemetry는 SystemBC가 매일 약 1.500 개의 활성 봇을 유지하며 5개의 주요 VPS 제공업체에 80% 집중하고 있음을 보여줍니다. 이 농도는 감염 기간이 길어지는 데 기여하며, 시스템의 거의 40%가 한 달 이상 침해된 상태로 남아 있습니다.
VPS 제공업체에서 특정 타겟팅 패턴은 관찰되지 않았습니다. 그러나 Black Lotus Labs는 대부분의 취약점이 악용하기 쉽다고 판단했습니다. 연구자들은 많은 공격을 피해자를 모집하는 것으로 보이는 단일 IP 주소에 연결했다.
프록시 분석
SystemBC 봇넷의 운영자와 고객은 IP 주소가 회전하거나 난독화되지 않았다는 사실에 근거하여 회피와 스텔스에 대해 그다지 신경쓰지 않는 것으로 보입니다. 봇넷은 볼륨의 우선순위를 지정합니다.
Botnet의 사용자 대부분은 네트워크를 사용하여 WordPress 자격 증명을 무차별화하고 잠재적으로 이익을 위해 판매할 수 있는 운영자입니다. 또한 봇넷은 대규모 러시아 웹 스크래핑 서비스, 베트남 기반 VN5Socks 프록시 서비스 및 REM 프록시를 제공합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Black Lotus Labs가 지적한 바와 같이, SystemBC는 수년 동안 복원력이 있었으며 “사이버 위협 환경 내에서 지속적인 벡터”가 되었습니다.
SystemBC가 침해된 VPS 인프라를 사용하면 봇넷 전략이 변화하여 스텔스에 비해 안정성과 대역폭이 향상됩니다. 따라서 감지하기가 더 어렵지만 식별되면 추적하기가 더 쉽습니다.
감염의 지속성과 IP 회전 부족은 운영 과실 또는 계산된 절충을 시사하며, 이 경우 공격자는 우회보다 처리량과 접근성을 우선시하고 방어자의 느린 대응에 베팅합니다.
ShinyHunters, 엔터프라이즈 클라우드 애플리케이션 대상 지정
EclecticIQ에 따르면, ShinyHunters 그룹은 민감한 데이터를 훔치고 피해자가 돈을 지불하도록 압력을 가하기 위해 엔터프라이즈 클라우드 애플리케이션을 점점 더 표적으로 삼고 있습니다. 이제 ShinyHunters는 AI 음성 피싱, 공급망 공격 및 악성 내부자와 같은 전술을 결합하여 공격을 수행합니다.
ShinyHunters는 2020 년에 처음 등장했으며 텔레그램 및 영어를 사용하는 사이버 범죄 포럼에서 활동하고 있습니다. EclecticIQ는 2025년에 그룹의 가장 활동적인 구성원 중 세 명이라고 생각하는 것을 파악했으며, 이러한 구성원은 Scattered Spider, The Com 및 Lapsus$와 같은 다른 그룹과 느슨한 관계를 가지고 있다고 언급했습니다.
한 회원인 Yukari는 ShinyHunters와 Scattered Spider의 회원으로 여겨집니다. EclecticIQ는 이 구성원이 초기 침해, SIM 스왑 공격 및 음성 피싱에 책임이 있다고 생각합니다. ShinyHunters의 리더인 ShinyCorp은 eCrime 공격자를 통해 채용할 가능성이 높습니다. 일반적으로 ShinyHunters 구성원은 종종 여러 그룹에서 일하는 것처럼 보입니다.
AI 음성 에이전트 및 분산 스파이더 제휴 네트워크
ShinyHunters는 VoIP 기반 통화 서비스를 사용하여 비싱 및 AI 기반 음성 통화 플랫폼을 수행하여 소셜 엔지니어링 통화를 자동화했습니다. 예를 들어, 그룹은 Bland AI를 사용하여 “전화 통화 중에 피해자의 반응에 맞게 대응하면서 실시간으로 내러티브와 전술을 동적으로 조정합니다.” 공격자는 음성 스타일을 변경하여 더 인간적인 소리를 낼 수 있으며, 모델은 톤과 응답을 조정하여 합법성을 강화합니다.
ShinyHunters 리더에 따르면 일부 구성원은 The Com을 사용했지만 공격의 음성 통화 부분은 Scattered Spider 구성원이 수행합니다. ShinyHunters는 Telegram 그룹을 통한 음성 호출 피싱 채용을 적극적으로 모색하고 있습니다.
클라우드 애플리케이션 사용자에 대한 비싱 공격
EclecticIQ는 또한 이 그룹이 Salesforce 애플리케이션을 침해하기 위해 비싱 공격을 수행하여 IT 직원을 사칭하고 피해자를 속여 연결 코드를 입력하고 공격자가 제어하는 애플리케이션을 승인했다고 믿습니다. 2025년에 ShinyHunters는 Okta SSO 로그인 페이지를 사칭하여 자격 증명을 도용하는 사례도 목격했습니다.
[공격자가 헬프 데스크를 어떻게 활용하는지 알아보고, 데이터를 훔치기 전에 소셜 엔지니어링 위협을 차단하는 방법을 알아보십시오]
ShinyHunters는 기업 개발 환경을 표적으로 삼기 위해 BrowserStack API 키를 도난당한 것으로 여겨집니다. 또한 EclecticIQ는 그룹이 Cloudflare Zero Trust 리소스를 표적으로 삼았다고 의심합니다.
내부자 채용
8월 말에 “Sscattered LAPSUS$ hunters 4,0” ”이라는 텔레그램 채널이 Okta, Microsoft SSO, Citrix VPN 및 GitHub와 같은 시스템에 대한 액세스를 제공하는 조직에서 내부자를 찾는 채용 메시지를 공유했습니다. 게시물은 액세스에 대한 대가로 금전적 보상을 제공했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
잘못 구성된 클라우드 서비스와 불량한 ID 위생 은 위협 행위자에게는 부담이 되지 않는 결실이 되었으며, 이는 클라우드 환경을 기존 인프라와 동일한 엄격성으로 처리해야 한다는 것을 나타냅니다.
도난당한 자격 증명에 대한 그룹의 의존도는 MFA, 조건부 액세스 정책 및 지속적인 모니터링을 포함한 강력한 ID 보호 전략의 중요성을 강조하고 ID가 새로운 경계가 되는 방법을 강조합니다.
그 외에는 ShinyHunters는 엔터프라이즈 SaaS가 고부가가치 대상임을 상기시켜 줍니다.
피싱 캠페인은 AI 생성 코드를 사용하여 탐지를 방지합니다
Microsoft는 최근 AI 생성 코드를 사용하여 SVG 파일 내의 악성 페이로드를 난독하게 하여 기존의 탐지 방법을 우회하는 정교한 피싱 캠페인을 발견했습니다 .
지능형 전술에도 불구하고 Microsoft의 AI 기반 보안 시스템은 행동 및 상황별 신호를 분석하여 위협을 성공적으로 식별하고 차단했습니다.
피싱 캠페인 전술 및 페이로드
8월에 Microsoft는 침해된 이메일 계정을 사용하여 자격 증명을 훔치기 위한 피싱 메시지를 전달하는 피싱 캠페인을 식별했습니다. 캠페인의 공격자는 발신자와 수신자 주소가 동일한 것처럼 보이도록 자체 주소 이메일 전술을 사용하여 BCC 필드에 메시지의 실제 대상을 숨겼습니다.
피싱 이메일의 본문은 수신자에게 파일이 공유되었으며 해당 파일의 첨부 파일이 포함되어 있음을 지시했습니다. 첨부된 파일의 이름은 “23mb – PDF- 6 pages.svg”로, 피해자가 PDF라고 생각하도록 속이기 위한 SVG 파일 레이블이 지정되었습니다. 이 파일을 열면 자격 증명을 훔치기 위한 가짜 CAPTCHA 프롬프트 가 있는 페이지로 피해자가 리디렉션됩니다.
Microsoft는 SVG 코드를 분석하여 난독화 방법을 공개했습니다. 이 코드는 차트 막대와 월 레이블이 있는 비즈니스 분석 대시보드처럼 보이도록 설계되었습니다. 그러나 불투명도 0과 투명한 채우기로 설정되어 보이지 않게 되었습니다. 페이로드의 진정한 기능은 비즈니스 도구의 도움으로 숨겨졌습니다.
Microsoft는 사용자를 피싱 랜딩 페이지로 리디렉션하고 브라우저를 지문으로 인쇄하며 세션 추적을 시작하는 것이 목표라고 판단했습니다.
[ChatGPT가 사이버 보안을 재구성하여 공격자와 방어자 모두에게 권한을 부여하는 방법 및 조직이 앞서 나가기 위해 할 수 있는 일 알아보기]
AI를 사용하여 캠페인 분석
Microsoft는 공격자가 AI를 사용하여 페이로드 기능을 난독하게 했을 수 있다고 생각합니다. 이 이론을 확인하기 위해 Copilot에게 파일을 분석하고 AI가 생성했는지 결정하도록 요청했습니다.
Copilot은 코드가 합성 코드이고 LLM 또는 이를 사용하는 도구에 의해 생성되었을 가능성이 매우 높다는 점을 반환했습니다. Copilot은 이를 뒷받침하는 다음과 같은 5가지 증거를 구체적으로 제출했습니다.
- 함수 및 변수 이름의 과도한 설명 및 중복 이름 지정
- 모듈식 및 오버엔지니어링 코드 구조
- 일반 의견
- 공식 난독화 기술
- CDATA 및 XML 선언의 비정상적인 사용
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
AI 생성 난독화는 피싱의 정교함에서 전환점을 나타냅니다. 공격자는 더 이상 인간의 행동을 모방하는 것이 아니라 머신 인텔리전스를 활용하여 탐지 및 리버스 엔지니어링이 더 어려운 코드를 생성합니다.
비즈니스 전문 용어를 악성 코드에 대한 위장으로 사용하는 것은 특히 현명하며, 전문 언어의 신뢰를 악용하여 휴리스틱 필터와 인간의 의심을 우회합니다.
마이크로소프트의 성공적인 탐지는 정적 코드 검사, 특히 AI 생성 위협이 상황 인식이 높아짐에 따라 거동 기반 분석의 중요성을 강조합니다. 또한 Microsoft는 이 위협을 식별하는 데 도움이 되는 권장 사항, Defender 탐지 및 헌팅 쿼리를 공유했습니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오..
