SentinelOne 사이버 보안 리포트: 랜섬웨어 검거 성과 및 LiteLLM 공급망 공격 위협

섹션별 상세

미국 사법 당국이 국제 공조를 통해 대형 랜섬웨어 운영자 및 초기 접근 브로커들을 잇달아 검거하며 사이버 범죄에 대한 강력한 대응 의지를 표명했다. Yanluowang 랜섬웨어 공격을 위해 네트워크 접근 권한을 판매한 러시아 국적의 초기 접근 브로커와 BitPaymer 랜섬웨어 유포를 도운 봇넷 운영자에게 각각 수년의 징역형과 거액의 배상금이 선고됐다. 수사 과정에서 공격자들의 채팅 로그와 클라우드 데이터 등 디지털 증거를 확보하여 900만 달러 이상의 피해액과 범죄 연루 사실을 명확히 입증해냈다. 이러한 성과는 사이버 범죄자들이 국경 뒤에 숨더라도 결국 법적 처벌을 피할 수 없다는 강력한 경고 메시지를 전달한다.

프랑스어권 전문가들을 대상으로 이력서를 위장한 FAUX#ELEVATE 피싱 캠페인이 활발히 전개되어 기업 보안에 비상이 걸렸다. 공격자는 난독화된 VBScript 파일을 이력서로 속여 실행을 유도하며, 실행 시 가짜 오류 메시지를 띄워 사용자를 기만하는 동시에 백그라운드에서 보안 설정을 무력화하고 추가 페이로드를 설치한다. 이 과정에서 Dropbox나 워드프레스 기반 사이트 등 정상적인 클라우드 서비스를 C2 인프라로 활용하는 'Living-off-the-land' 기법을 사용하여 전통적인 네트워크 보안 장비의 탐지를 교묘히 회피한다. 단 30초 이내에 감염 체인이 완료되어 기업용 자격 증명과 브라우저 데이터를 탈취하므로 엔드포인트에서의 실시간 행동 분석이 필수적이다.

FAUX#ELEVATE 공격 과정에서 사용자에게 표시되는 프랑스어 가짜 오류 메시지 창이다. — Screenshot공격자가 난독화된 VBScript를 실행할 때 사용자를 안심시키기 위해 '문서를 열 수 없다'는 가짜 메시지를 띄우는 기만 전술을 보여준다. 이를 통해 사용자는 악성 코드가 실행 중임을 인지하지 못하게 되며, 공격자는 백그라운드에서 권한 상승 및 데이터 탈취를 진행한다.

클라우드 네이티브 환경과 AI 개발 생태계를 겨냥한 TeamPCP 그룹의 대규모 공급망 공격이 발생하여 개발자들의 주의가 요구된다. 공격자들은 널리 사용되는 Trivy 취약점 스캐너와 LiteLLM 라이브러리의 특정 버전에 악성 코드를 주입한 뒤, 이를 통해 클라우드 토큰, SSH 키, CI/CD 비밀 정보를 조직적으로 탈취했다. 실제 분석 결과 LiteLLM v1.82.7 및 1.82.8 버전에는 시스템 시작 시 자동으로 실행되는 백도어가 포함되어 Kubernetes 클러스터 내부의 기밀 정보에 접근하고 외부 C2 서버로 데이터를 전송하는 동작이 확인됐다. 이는 신뢰받는 오픈소스 도구가 오히려 기업 내부망 침투의 교두보로 악용될 수 있음을 보여주며 소프트웨어 자재명세서(SBOM) 관리의 중요성을 강조한다.

TeamPCP 그룹의 5일간의 공급망 공격 과정을 요약한 인포그래픽 리포트이다. — InfographicTrivy와 LiteLLM을 통한 초기 침투부터 시스템 지속성 확보(systemd), 데이터 유출 경로(C2 및 Fallback Repo)까지의 전체 공격 체인을 상세히 설명한다. 특히 LiteLLM 백도어가 Kubernetes 비밀 정보에 접근하는 방식과 사용된 주요 IOC(침해 지표) 정보를 포함하고 있어 기술적 이해를 돕는다.

용어 해설

초기 접근 브로커(Initial Access Broker): — 기업 네트워크에 침입할 수 있는 권한을 먼저 확보한 뒤, 이를 랜섬웨어 운영자 등 다른 사이버 범죄자에게 판매하는 중간 매개자이다. 이들은 피싱이나 취약점 공격으로 교두보를 마련하며, 대규모 공격의 시작점 역할을 수행하여 보안 위협을 가속화한다.
자생적 공격 기법(Living-off-the-Land (LotL)): — 시스템에 이미 설치된 정상적인 도구나 신뢰할 수 있는 클라우드 서비스(Dropbox, WordPress 등)를 악용하여 공격을 수행하는 방식이다. 별도의 악성 파일을 생성하지 않거나 신뢰된 경로를 이용하기 때문에 전통적인 시그니처 기반 보안 솔루션의 탐지를 효과적으로 회피한다.
공급망 공격(Supply Chain Attack): — 소프트웨어 개발 과정에서 사용하는 라이브러리, 패키지 매니저, CI/CD 파이프라인 등 공급망의 취약한 연결 고리를 공격하여 이를 사용하는 수많은 사용자에게 악성 코드를 전파하는 기법이다. 한 번의 침투로 수많은 기업 인프라에 동시다발적인 피해를 입힐 수 있어 매우 위험하다.
명령 제어 서버(C2 Server): — 공격자가 감염된 시스템에 원격으로 명령을 내리거나 탈취한 데이터를 수집하기 위해 운영하는 서버이다. 최근에는 탐지를 피하기 위해 정상적인 도메인을 타이포스쿼팅하거나 신뢰할 수 있는 클라우드 인프라 뒤에 숨겨 운영하는 경향이 있다.
엔드포인트 탐지 및 대응(EDR): — PC나 서버 등 엔드포인트에서 발생하는 모든 활동을 실시간으로 기록하고 분석하여 지능형 위협을 탐지하는 보안 기술이다. 단순 파일 검사를 넘어 프로세스의 행동 패턴을 분석함으로써 난독화된 스크립트나 자생적 공격 기법을 효과적으로 차단한다.

기술

LiteLLM
Trivy
Kubernetes
VBScript
npm
PyPI

활용 사례

공급망 보안 강화
피싱 캠페인 대응
CI/CD 비밀 정보 관리
엔드포인트 위협 탐지

언급된 리소스

문서SentinelOne Blog - The Good, The Bad and The Ugly