새로운 Mistic 백도어가 접근 브로커 KongTuke와 연결된 것으로 분석되며, 랜섬웨어 공격의 하청 구조와 초기 침투 시장이 더욱 정교해지고 있음이 확인됨
- BleepingComputer는 ‘Stealthy Mistic backdoor linked to ransomware access broker KongTuke’ 기사에서 보안 연구진이 Mistic라는 새로운 백도어 멀웨어를 분석한 결과, 이 악성코드가 랜섬웨어 그룹을 대신해 기업 네트워크 초기에 침투 경로를 제공하는 액세스 브로커 KongTuke와 연계된 인프라를 사용하고 있다고 보도하며, 감염 후 장기간 잠복하면서 자격증명과 네트워크 구조를 수집하는 기능이 확인되었다고 전한다.
- 기사에 따르면 Mistic는 합법적인 원격 관리 도구나 백업 솔루션 프로세스를 위장해 실행되며, 감염된 시스템에서 Active Directory 정보, VPN 설정, Microsoft 365 계정 목록 등을 은밀히 수집해 암호화된 채널로 외부 서버에 전송하고, 일정 조건이 충족되면 랜섬웨어 운영자에게 이 접근 권한을 판매하는 것으로 추정되는데, 이는 LockBit, BlackCat 등의 과거 사례에서 관찰된 ‘서비스형 랜섬웨어’ 생태계를 한층 분업화한 형태이다.
- BleepingComputer는 Mistic가 탐지 회피를 위해 파일리스(fileless) 기법과 Living-off-the-Land(LolBins) 도구를 적극 활용하며, CrowdStrike, Microsoft Defender, Palo Alto Cortex XDR와 같은 솔루션이 서명 기반 탐지만으로는 식별하기 어려운 행위 패턴을 보인다고 지적하면서, 동작 기반 위협 헌팅과 네트워크 트래픽 상관분석의 중요성을 강조한다.
- 정책적으로 이 사례는 한국 공공·의료·지방 중소기업에서 발생하는 랜섬웨어 사고의 상당수가 실제로는 Mistic·KongTuke와 유사한 접근 브로커 시장에 의해 사전 준비될 수 있음을 보여주며, ‘초기 침투 탐지·차단’ 기능을 별도 보안 예산 항목으로 분리하고, 국내 보안관제 센터가 행위 기반 탐지를 위한 로그 수집·보존 기간을 확대하도록 규제·지침을 정비해야 한다는 시사점을 제공한다.
- 또한 랜섬웨어 운영자와 액세스 브로커, 데이터 유출 브로커로 세분화된 범죄 생태계는 국제 수사 공조에서 각각 다른 제재 수단과 법적 지위를 요구하므로, 한국 정부는 미국·EU와 함께 랜섬웨어 제재 리스트 작성 시 액세스 브로커 조직을 별도 범주로 분류하고, 금융제재·여행제한·국제 형사 공조의 대상에 포함시키는 방안을 검토할 필요가 있다.
랜섬웨어 대응 전략은 ‘사고 후 복구’ 중심에서 ‘초기 침투 권한의 거래·유통 차단’으로 이동해야 하며, 한국의 관제·포렌식 정책도 Mistic·KongTuke와 같은 접근 브로커 탐지에 초점을 맞추는 방향으로 개편할 필요가 있다.
주요 용어: 백도어(공격자가 나중에 재접속할 수 있도록 심어두는 은밀한 접속 통로), 액세스 브로커(침투 권한을 확보해 랜섬웨어 조직 등에 판매하는 범죄 중개 역할), Living-off-the-Land(운영체제 기본 도구를 악용해 흔적을 최소화하는 공격 기법)
출처: BleepingComputer