.png)
흩어진 거미란 무엇인가요?
스캐터드 스파이더는 재정적인 동기를 가진 사이버 범죄 집단이에요. 정교한 소셜 엔지니어링, 피싱, 비싱, SIM 스와핑, 신원 공격 및 기타 기술을 사용하여 조직에 접근하는 것으로 유명해요.
스캐터드 스파이더는 초기 액세스 시 소프트웨어 취약점에 주로 의존하는 대신 사람들을 표적으로 삼는 것으로 특히 알려져 있어요. 공격자는 직원을 사칭하여 IT 헬프데스크에 연락해 지원 담당자를 설득하여 비밀번호를 재설정하거나, 다단계 인증(MFA) 설정을 변경하거나, 회사 계정에 대한 접근 권한을 제공하도록 유도할 수 있습니다.
일단 조직 안으로 들어가면 스캐터드 스파이더는 권한 상승, 클라우드 및 온프레미스 환경 전반에서 측면 이동, 민감한 정보 도용, 강탈이나 랜섬웨어 공격을 시도할 수 있어요.
핵심 요약
- 스캐터드 스파이더는 재정적인 동기를 가진 사이버 범죄 집단이에요. 정교한 소셜 엔지니어링, ID 기반 공격, 자격 증명 도용을 이용해 조직에 무단으로 접근하는 것으로 유명해요.
- Scattered Spider는 직원과 IT 헬프데스크를 자주 공격합니다. 공격자들은 피싱, 비싱, SIM 스와핑, MFA 조작 같은 기술을 사용하여 계정을 도용하고 보안 제어를 우회해요.
- 분산된 스파이더 공격은 랜섬웨어, 데이터 도용, 측면 이동으로 이어질 수 있어요. 네트워크에 침입한 공격자는 권한을 상승시키고, 민감한 정보에 접근하며, 클라우드 시스템과 온프레미스 시스템 간을 이동할 수 있습니다.
- 흩어진 거미에 대한 방어는 단순히 초기 침입을 막는 것 이상의 노력을 필요로 합니다. 조직은 피싱 방지 MFA, ID 확인, 네트워크 가시성, 침해 억제를 결합하여 의심스러운 활동을 탐지하고 측면 이동을 제한하며 성공적인 공격의 영향을 제한해야 해요.
흩어진 거미는 누구인가요?
스캐터드 스파이더는 여러 산업의 조직을 표적으로 삼은 재정적 동기가 있는 위협 그룹을 설명할 때 흔히 사용되는 이름이에요.
이 그룹은 사회공학적 기법을 통해 직원과 고객지원 담당자를 조종하는 능력으로 특히 주목받고 있습니다. 공격자는 항상 기술적 취약점을 악용할 필요 없이 합법적인 사용자나 관리자에게 보안 제어를 우회하도록 설득할 수 있어요.
이러한 이유로 Scattered Spider는 사이버 보안 전략이 악성 코드 및 소프트웨어 공격뿐만 아니라 손상된 신원 및 합법적인 자격 증명에 대한 대비도 필요로 하는 이유를 보여주는 유용한 사례입니다.
읽어보기: 스캐터티드 스파이더: 그 공격이 네트워크 자세에 대해 드러내는 것
흩어진 거미의 다른 이름은 무엇인가요?
사이버 보안 회사와 위협 인텔리전스 연구원은 동일하거나 중복되는 위협 활동을 추적할 때 종종 다른 이름을 사용해요.
흩어진 거미는 다음과 같은 이름과도 연관되어 있습니다.
- 옥토 템페스트
- UNC3944
- 0ktapus
- 혼란스러운 천칭자리
마이크로소프트는 Scattered Spider 관련 활동을 Octo Tempest로 추적합니다.
보안 연구자마다 위협 그룹과 중복 활동을 다르게 정의할 수 있기 때문에 이러한 이름이 항상 완전히 동일한 행위자 집합 또는 캠페인을 나타내는 것으로 가정해서는 안 돼요.
스캐터티드 스파이더는 어떻게 조직을 공격해요?
분산형 스파이더 공격은 소프트웨어를 직접 악용하기보다는 신원을 겨냥해서 시작되는 경우가 많아요.
공격자는 합법적인 사용자를 사칭하거나 헬프데스크 담당자에게 연락하기 전에 조직과 그 직원들에 대해 사전 조사를 할 수 있습니다.
스캐터드 스파이더 공격에는 다음이 포함될 수 있어요.
- 직원 또는 권한 있는 사용자를 식별합니다.
- 대상에 대한 개인 또는 조직 정보를 수집하는 것.
- 피싱, 스미싱 또는 비싱을 사용하여 자격 증명을 탈취하는 행위.
- IT 헬프데스크에 연락할 때 직원을 사칭하는 행위.
- 지원 담당자를 설득하여 비밀번호 또는 다단계 인증(MFA) 방법을 재설정하도록 합니다.
- 공격자가 제어하는 인증 방법을 등록합니다.
- 기업 시스템 및 클라우드 환경 에 대한 접근 권한 획득.
- 권한을 상승시키고 추가 리소스를 찾습니다.
- 주변 환경을 가로질러 이동합니다.
- 데이터 도용, 갈취, 랜섬웨어 배포.
구체적인 공격 경로는 캠페인마다 다를 수 있어요.
스캐터드 스파이더는 어떻게 사회공학적 기법을 사용하는가?
사회공학은 스캐터드 스파이더의 가장 잘 알려진 전술 중 하나입니다.
공격자는 조직의 헬프데스크에 연락하기 전에 직원에 대한 정보를 조사하고 해당 사용자를 사칭할 수 있습니다. 공개 출처, 이전 위반, 피싱 캠페인 또는 기타 방법에서 수집한 정보는 사칭을 더 설득력 있게 만들 수 있어요.
공격자는 기기를 분실했거나, 비밀번호를 잊어버렸거나, 다단계 인증(MFA)에 문제가 발생했다고 주장할 수 있습니다.
헬프데스크에서 요청이 정당하다고 판단하면 자격 증명이나 인증 방법을 재설정할 수 있으며, 이로 인해 공격자는 기존의 기술적 공격 없이도 접근 권한을 얻을 수 있습니다.
스캐터드 스파이더는 어떻게 피싱을 사용하나요?
스캐터드 스파이더의 소셜 엔지니어링 공격에서 비싱, 즉 보이스 피싱이 중요한 역할을 할 수 있어요.
공격자는 합법적인 사용자를 가장하여 직원이나 IT 헬프데스크 담당자에게 전화를 걸 수 있습니다. 공격자는 대화, 긴급성, 그리고 대상에 대해 수집한 정보를 통해 피해자가 접근 권한을 얻을 수 있는 행동을 하도록 설득하려고 시도합니다.
예를 들어, 공격자는 헬프데스크 직원을 설득하여 비밀번호를 재설정하거나 다단계 인증(MFA) 방식을 변경하도록 할 수 있습니다. 이는 조직이 발신자가 개인 정보나 회사 정보를 알고 있다는 사실만을 신원 증명으로 간주해서는 안 되는 이유를 보여줍니다.
흩어진 거미줄은 어떻게 MFA를 우회합니까?
다단계 인증은 계정 보안을 크게 개선할 수 있지만 공격자들은 기본 기술을 직접 무력화하기보다는 다중 요소 인증 (MFA) 주변 프로세스를 조작하려고 시도할 수도 있어요.
Scattered Spider는 다음과 같은 기술과 관련이 있습니다.
- 소셜 엔지니어링을 통해 헬프 데스크에서 MFA를 재설정하도록 유도합니다.
- 공격자가 제어하는 MFA 방법 등록
- SIM 스와핑
- 인증 자격 증명 탈취
- 가짜 인증 페이지를 이용한 사용자 피싱
- 계정 복구 절차 조작하기
공격자가 관리자를 설득하여 정당한 사용자의 인증 방식을 공격자가 제어하는 방식으로 변경하면, 다단계 인증(MFA)이 더 이상 계정 탈취를 막지 못할 수 있습니다.
피싱 방지 인증 방법은 이러한 기법 중 여러 가지를 더욱 어렵게 만들 수 있습니다.
SIM 스와핑이란 무엇이며, Scattered Spider는 이를 어떻게 사용하나요?
SIM 스와핑은 공격자가 제어하는 SIM 카드나 기기로 피해자의 전화번호를 전송하는 공격이에요.
공격자가 전화번호를 장악하면 피해자에게 걸려오는 전화나 문자 메시지를 가로챌 수 있습니다.
SMS 기반 인증이나 계정 복구에 의존하는 계정의 경우 이렇게 하면 공격자가 접근 권한을 얻는 데 도움이 될 수 있어요.
스캐터드 스파이더는 사용자 신원 및 인증 시스템을 표적으로 삼는 캠페인의 일환으로 SIM 스와핑과 연관되어 있습니다.
스캐터드 스파이더가 랜섬웨어를 사용해요?
스캐터드 스파이더가 랜섬웨어 및 데이터 강탈 활동과 관련이 있어요.
액세스 권한을 얻은 공격자는 민감한 정보를 훔치고 그 데이터를 노출하겠다고 위협하여 조직에 강탈을 요구한 대가를 치르도록 압력을 가할 수 있어요.
어떤 사람들은 스캐터티드 스파이더 관련 활동이 랜섬웨어 배포와 관련이 있다는 것을 관찰했어요.
따라서 초기 확산 방지가 특히 중요합니다. 공격자가 처음에 손상된 ID나 시스템에서 중요한 인프라로 자유롭게 이동하는 것을 방지하면 공격의 잠재적 영향을 줄일 수 있어요.
스캐터드 스파이더는 어떤 산업 분야를 표적으로 삼나요?
스캐터드 스파이더는 특정 산업 분야에만 집중하기보다는 여러 산업 분야의 조직들을 대상으로 사업을 진행해 왔습니다.
보도된 캠페인들은 다음과 같은 산업에 영향을 미쳤습니다:
- 통신
- 기술
- 비즈니스 프로세스 아웃소싱
- 리테일
- 환대
- 보험
- 항공사 및 운송
해당 그룹의 공격 대상은 시간이 지남에 따라 변화해 왔으며, 이는 특정 산업 분야의 조직만이 위험에 처해 있다고 가정하기보다는 그들의 전술에 집중하는 것이 중요하다는 점을 강조합니다.
흩어져 있는 거미는 왜 발견하기 어려울까요?
Scattered Spider는 공격자가 합법적인 자격 증명과 승인된 인증 절차를 사용하여 접근할 수 있기 때문에 탐지하기 어려울 수 있습니다.
헬프데스크에서 직원이 아닌 사용자의 비밀번호를 재설정하는 경우, 처음에는 정상적인 로그인처럼 보일 수 있습니다. 일단 침입에 성공하면 공격자는 명백한 악성 소프트웨어를 즉시 배포하는 대신 합법적인 관리 도구와 기존 인프라를 사용할 수도 있습니다.
따라서 조직의 네트워크 상태를 파악하는 것이 특히 중요합니다. 보안팀은 시스템이 정상적으로 통신하는 방식, 위험하거나 불필요한 연결이 있는 곳, 손상된 ID나 워크로드가 중요한 리소스에 도달할 수 있는 경로를 파악해야 해요.
보안팀은 ID 컨텍스트를 네트워크 상태, 워크로드 통신 및 특이한 액세스 패턴에 대한 이해와 결합하여 공격자가 액세스를 확장하거나 측면 이동을 시도하고 있음을 나타낼 수 있는 활동을 더 빠르게 식별할 수 있어요.
흩어진 거미는 어떻게 옆으로 이동할까요?
최초 접근 권한을 획득한 후, Scattered Spider는 추가 사용자, 시스템, 애플리케이션, 클라우드 리소스 및 권한 있는 계정을 찾아내려고 시도할 수 있습니다.
공격자는 탈취한 자격 증명과 기존 네트워크 연결을 이용하여 환경 전체에 대한 접근 권한을 확장할 수 있습니다.
이 과정을 측면 운동이라고 해요.
측면 이동은 손상된 계정이나 엔드포인트를 훨씬 더 큰 침해로 바꿀 수 있어요. 워크로드와 애플리케이션 간의 불필요한 통신을 제한하면 공격자가 이용할 수 있는 경로의 수를 줄일 수 있습니다.
조직은 어떻게 스캐터드 스파이더(Scattered Spider)로부터 스스로를 보호할 수 있을까요?
흩어진 거미로부터 방어하려면 사람과 기술 모두를 보호해야 합니다.
조직은 다음과 같은 방법으로 위험을 줄일 수 있습니다.
- 가능한 경우 피싱방지 MFA를 사용합니다.
- 헬프데스크 신원 확인 절차 강화
- 직원들에게 피싱, 스미싱, 비싱을 식별하는 방법을 교육합니다.
- 비밀번호 및 MFA 재설정 활동 모니터링
- 특권 접근 제한
- 최소 권한 원칙 적용
- 비정상적인 인증 및 네트워크 활동 모니터링
- 불필요한 원격 접속 제한
- 핵심 시스템 및 워크로드 분할
- 불필요한 의사소통 경로를 파악하고 제한하기
- 사고 대응 및 복구 계획 준비중
조직은 또한 일부 소셜 엔지니어링 시도가 결국 성공할 것이라고 가정하고, 초기 침해 이후 공격자가 접근할 수 있는 범위를 제한하는 통제를 구현해야 합니다.
스캐터드 스파이더 앤 침해 격리
스캐터드 스파이더는 초기 액세스를 방지하는 것이 조직의 유일한 보안 전략이 될 수 없는 이유를 보여줍니다.
직원이 피싱 공격에 빠질 수 있어요. 헬프데스크 직원은 타당한 요청이라면 승인할 수 있습니다. 자격 증명이 도난당할 수 있습니다. 공격자는 결국 내부로 침입할 방법을 찾아낼 수도 있습니다.
침해 억제는 다음에 일어날 일을 제한하는 데 초점을 맞추고 있어요.
불필요한 통신을 제한하고 시스템 간 최소 권한 액세스를 시행함으로써 조직은 공격자가 처음 손상된 리소스에서 중요 애플리케이션, 워크로드 및 데이터로 측면 이동하는 경로를 줄일 수 있습니다.
일루미오 인사이츠로 수상한 움직임을 찾아내세요
흩어진 스파이더가 도용된 신원을 통해 들어갈 수도 있지만 공격이 반드시 그 계정으로 끝나는 건 아니에요.
Illumio Insights는 보안팀이 환경 전반의 통신을 이해하고 의심스러운 연결, 위험한 경로, 공격자가 액세스를 확장하고 있음을 나타낼 수 있는 잠재적 측면 움직임을 식별하도록 도와줍니다.
위협을 더 빨리 찾고 광범위한 보안 침해로 이어지기 전에 억제하는 데 필요한 가시성과 인텔리전스를 확보하세요.
자주 묻는 질문
흩어진 거미란 무엇인가요?
스캐터드 스파이더는 재정적인 동기를 가진 사이버 범죄 집단이에요. 정교한 소셜 엔지니어링하고 신원 기반 공격으로 유명해요. 해당 그룹은 피싱, 비싱, SIM 스와핑, 자격 증명 도용, IT 헬프데스크 조작 등의 수법을 사용했습니다.
스캐터드 스파이더는 랜섬웨어 그룹이에요?
스캐터드 스파이더는 기존 랜섬웨어 그룹보다 더 광범위해요. 위협 행위자들은 신원 침해, 소셜 엔지니어링, 데이터 도용, 강탈, 그리고 궁극적으로 랜섬웨어를 포함시킬 수 있는 활동으로 알려져 있어요.
스캐터드 스파이더는 옥토 템페스트와 같은 게임인가요?
마이크로소프트는 Scattered Spider와 관련된 활동을 Octo Tempest라는 이름으로 추적합니다. 다른 보안 연구자들은 UNC3944, 0ktapus, Muddled Libra 같은 이름을 관련되거나 중복되는 활동에 사용해요.
Scattered Spider는 어떻게 네트워크에 침투하나요?
Scattered Spider는 소셜 엔지니어링, 피싱, 스미싱, 비싱, SIM 스와핑 및 헬프데스크 사칭을 사용하여 개인 정보를 자주 공격합니다. 공격자는 지원 담당자를 설득하여 비밀번호나 다단계 인증(MFA) 방법을 재설정하게 함으로써, 겉보기에 합법적인 자격 증명을 사용하여 접근 권한을 획득할 수 있습니다.
Scattered Spider는 보이스피싱을 사용하나요?
네. 음성 기반 사회공학은 Scattered Spider와 관련된 기술 중 하나입니다. 공격자는 직원을 사칭하여 헬프데스크 직원이나 다른 사용자를 조종해 접근 권한을 얻거나 인증 설정을 변경할 수 있습니다.
조직은 Scattered Spider 공격에 어떻게 대응할 수 있을까요?
조직은 헬프 데스크 검증을 강화하고, 피싱 방지 MFA를 배포하고, ID 변경을 모니터링하고, 권한 액세스를 제한하고, 소셜 엔지니어링에 대해 직원을 교육하고, 중요한 시스템을 세분화하고, 비정상적인 커뮤니케이션 및 측면 움직임을 모니터링할 수 있어요.
흩어진거미는 왜 위험한가요?
Scattered Spider는 효과적인 소셜 엔지니어링 기법과 신원 탈취, 클라우드 및 온프레미스 환경 탐색 기술을 결합한 공격 도구입니다. 공격자들이 접근 권한을 설정하면 데이터 도용, 권한 확대, 측면 이동, 갈취 또는 랜섬웨어 공격을 시도할 수 있어요.