파이어아이, 데이터 탈취 후 비트코인 요구하는 해킹 그룹 “FIN10”에 대한 정보 제공

2017년 7월 4일 - 지능형 사이버 공격 방어 기술의 선도업체인 파이어아이(지사장 전수홍, www.fireeye.kr)가 북미지역에서 활동하며, 데이터 탈취 후 비트코인을 요구하는 해킹 그룹인 FIN10의 전술, 기법, 절차(TTP)관련 정보를 제공했다.

파이어아이에 따르면, FIN10은 지난 2013년부터 2016년까지 캐나다를 비롯한 북미 지역에서 활동하며, 카지노 및 광산업계 조직의 네트워크를 공격해 민감한 데이터를 탈취한 뒤 데이터의 몸값으로 비트코인을 요구하는 등 금전적인 동기를 지닌 해킹그룹이다.

FIN10은 주로 공개적으로 사용 가능한 소프트웨어, 스크립트 및 기술을 통해 피해자 네트워크에 침투한 다음 일반인들이 접근 가능한 웹 사이트에 탈취한 데이터의 증거를 게시한다.  만약, 데이터의 몸값을 지불하지 않을 경우, FIN10은 탈취한 데이터를 공개하거나 공격 대상 조직의 정보 자산 및 시스템을 파괴하기도 한다.

FIN10의 최초 침입은 주로 스피어 피싱 이메일을 통해 이루어 지며, 이후에는 미터프리터(Meterpreter), 파워쉘 엠파이어(PowerShell Empire) 스플린터랫(SplinterRAT) 등 많이 사용되는 툴로 내부 시스템을 해킹한다. 이후, 피해자의 파일 서버에 접속해, 기업 비즈니스 데이터, 파일, 기록, 서신 및 고객 PII를 포함한 파일을 탈취한다.

FIN10은 드롭박스와 같은 클라우드 기반 파일 공유 및 저장 솔루션을 이용해 탈취한 데이터를 전송 받으며, “pastebin.com,” “justpaste.it” 및 “thepiratebay.se” 등의 공개적으로 접근 가능한 웹사이트를 통해 탈취한 데이터를 보여준다.  FIN10은 탈취한 데이터의 몸값으로 100~500개의 비트코인(약 125,000 달러~ 600,000 달러)을 요구한다. 10일 안에 비트코인을 지불하지 않으면, 1차로 회사 및 고객 데이터 일부를 인터넷에 공개하고 탈취한 정보에 나와 있는 고객에게 이메일을 통해 탈취 사실을 알린다. 72시간 안에 지불하지 않으면, 2번째 데이터 덤프를 진행하고, 이후 매 72시간마다 다크웹이나 토렌트 사이트에 누구나 다운로드 받을 수 있도록 공개한다.

FIN10은 두 해킹 사건에서 비트코인 지급을 끝까지 거부할 경우 윈도우 서버의 시스템 파일을 삭제하는 배치 스크립트를 실행하며 중요 시스템을 대상으로 마이크로소프트 robocopy 툴을 이용해 윈도우 디렉토리를 삭제했다.

[그림 1, robocopy 툴 예시]

파이어아이 코리아 전수홍지사장은 “FIN10의 경우 주로 북미지역을 타겟으로 하고 있지만, 다른 지역에서도 금전적인 동기를 가지고 활동하는 해킹 그룹이 많이 존재하고 있다. 따라서, 전 세계의 모든 조직은 지능적인 사이버 공격의 위협을 탐지하고 대응할 준비가 되어 있어야 한다”라며 “또한, 언제든지 공격자들이 더 고도화 되고 진화된 방식으로 돌아올 가능성이 있으므로, 광범위한 보안 개선에 초점을 맞춰 미리 대비하는 지혜가 필요하다”라고 말했다.

FIN10에 대한 자세한 내용은 FIN 10 영문 백서를 참조하세요.

###

파이어아이에 대하여

파이어아이는 인텔리전스 기반 서비스형 보안 솔루션 선도업체다. 파이어아이는 혁신적인 보안 기술, 국가 수준의 위협 인텔리전스, 전 세계적으로 유명한 맨디언트 컨설팅 서비스가 모두 통합된 단일 플랫폼을 제공하고 있으며, 고객들의 보안 시스템이 보다 원활하고 확장 가능하도록 운영되고 있다. 이러한 접근 방식으로 파이어아이는 사이버 공격을 대비하고, 방어하고, 대응하는데 어려움을 겪고 있는 조직들의 사이버 보안의 복잡성과 부담을 없애준다. 파이어아이의 솔루션은 전세계 67개 국가에 걸쳐 포브스 선정 2000대 기업 중의 40%를 포함한 5,600개 기업에서 사용 중이다. 보다 자세한 사항은 www.fireeye.kr 에서 확인 할 수 있다.

 

자료 문의

파이어아이 코리아         고혜민 과장 / 02-2092-6563 / heather.koh@fireeye.com

M&K PR                  대표메일 fireeye@mnkpr.com

황수진 과장/ 010-4659-9714 / sujin@mnkpr.com