SentinelOne 사이버 보안 리포트: 랜섬웨어 검거 성과 및 LiteLLM 공급망 공격 위협

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

최근 사이버 보안 환경에서는 법적 대응의 성과와 지능화된 공급망 공격이 동시에 나타나고 있다. 미국 법무부는 RedLine 및 BitPaymer 랜섬웨어 관련자들을 검거 및 인도하며 강력한 처벌 의지를 보였다. 반면, FAUX#ELEVATE 캠페인은 정교한 VBScript와 가짜 오류 메시지를 활용해 프랑스 기업 시스템을 침해하고 있으며, TeamPCP 그룹은 Trivy와 LiteLLM 같은 핵심 개발 도구를 오염시켜 전 세계적인 자격 증명 탈취를 감행했다. 특히 LiteLLM v1.82.7/8 버전에 심어진 백도어는 AI 인프라의 보안 취약성을 여실히 드러내며 철저한 공급망 관리의 시급성을 시사한다.

배경

공급망 공격(Supply Chain Attack)의 기본 개념, CI/CD 파이프라인 및 클라우드 자격 증명 관리 지식, EDR 및 행동 기반 탐지 기술에 대한 이해

대상 독자

기업 보안 담당자, 클라우드 인프라 엔지니어 및 AI/ML 개발자

의미 / 영향

이번 사례는 AI 개발 생태계가 사이버 공격의 주요 타겟으로 부상했음을 보여준다. 특히 LiteLLM과 같은 인기 라이브러리의 침해는 이를 사용하는 수많은 AI 서비스의 자격 증명 유출로 이어질 수 있어, 오픈소스 공급망 보안이 AI 모델 성능만큼이나 중요한 요소가 되었다.

섹션별 상세

미국 사법 당국이 국제 공조를 통해 대형 랜섬웨어 운영자 및 초기 접근 브로커들을 잇달아 검거하며 사이버 범죄에 대한 강력한 대응 의지를 표명했다. Yanluowang 랜섬웨어 공격을 위해 네트워크 접근 권한을 판매한 러시아 국적의 초기 접근 브로커와 BitPaymer 랜섬웨어 유포를 도운 봇넷 운영자에게 각각 수년의 징역형과 거액의 배상금이 선고됐다. 수사 과정에서 공격자들의 채팅 로그와 클라우드 데이터 등 디지털 증거를 확보하여 900만 달러 이상의 피해액과 범죄 연루 사실을 명확히 입증해냈다. 이러한 성과는 사이버 범죄자들이 국경 뒤에 숨더라도 결국 법적 처벌을 피할 수 없다는 강력한 경고 메시지를 전달한다.

프랑스어권 전문가들을 대상으로 이력서를 위장한 FAUX#ELEVATE 피싱 캠페인이 활발히 전개되어 기업 보안에 비상이 걸렸다. 공격자는 난독화된 VBScript 파일을 이력서로 속여 실행을 유도하며, 실행 시 가짜 오류 메시지를 띄워 사용자를 기만하는 동시에 백그라운드에서 보안 설정을 무력화하고 추가 페이로드를 설치한다. 이 과정에서 Dropbox나 워드프레스 기반 사이트 등 정상적인 클라우드 서비스를 C2 인프라로 활용하는 'Living-off-the-land' 기법을 사용하여 전통적인 네트워크 보안 장비의 탐지를 교묘히 회피한다. 단 30초 이내에 감염 체인이 완료되어 기업용 자격 증명과 브라우저 데이터를 탈취하므로 엔드포인트에서의 실시간 행동 분석이 필수적이다.

FAUX#ELEVATE 공격 과정에서 사용자에게 표시되는 프랑스어 가짜 오류 메시지 창이다. — Screenshot공격자가 난독화된 VBScript를 실행할 때 사용자를 안심시키기 위해 '문서를 열 수 없다'는 가짜 메시지를 띄우는 기만 전술을 보여준다. 이를 통해 사용자는 악성 코드가 실행 중임을 인지하지 못하게 되며, 공격자는 백그라운드에서 권한 상승 및 데이터 탈취를 진행한다.

클라우드 네이티브 환경과 AI 개발 생태계를 겨냥한 TeamPCP 그룹의 대규모 공급망 공격이 발생하여 개발자들의 주의가 요구된다. 공격자들은 널리 사용되는 Trivy 취약점 스캐너와 LiteLLM 라이브러리의 특정 버전에 악성 코드를 주입한 뒤, 이를 통해 클라우드 토큰, SSH 키, CI/CD 비밀 정보를 조직적으로 탈취했다. 실제 분석 결과 LiteLLM v1.82.7 및 1.82.8 버전에는 시스템 시작 시 자동으로 실행되는 백도어가 포함되어 Kubernetes 클러스터 내부의 기밀 정보에 접근하고 외부 C2 서버로 데이터를 전송하는 동작이 확인됐다. 이는 신뢰받는 오픈소스 도구가 오히려 기업 내부망 침투의 교두보로 악용될 수 있음을 보여주며 소프트웨어 자재명세서(SBOM) 관리의 중요성을 강조한다.

TeamPCP 그룹의 5일간의 공급망 공격 과정을 요약한 인포그래픽 리포트이다. — InfographicTrivy와 LiteLLM을 통한 초기 침투부터 시스템 지속성 확보(systemd), 데이터 유출 경로(C2 및 Fallback Repo)까지의 전체 공격 체인을 상세히 설명한다. 특히 LiteLLM 백도어가 Kubernetes 비밀 정보에 접근하는 방식과 사용된 주요 IOC(침해 지표) 정보를 포함하고 있어 기술적 이해를 돕는다.

실무 Takeaway

LiteLLM 등 오픈소스 라이브러리 도입 시 특정 버전의 무결성을 검증하고 CI/CD 파이프라인에서 사용하는 비밀 정보를 정기적으로 순환시켜야 한다.
정상적인 클라우드 서비스를 악용하는 'Living-off-the-land' 공격에 대응하기 위해 단순 파일 검사를 넘어 행동 기반 탐지 기능이 강화된 EDR 솔루션을 운용해야 한다.
피싱 공격의 수단으로 활용되는 매크로나 스크립트 실행을 엔드포인트 수준에서 제한하고 비정상적인 아웃바운드 트래픽에 대한 모니터링을 강화해야 한다.

언급된 리소스

문서SentinelOne Blog - The Good, The Bad and The Ugly