글로벌 작전 '엔드게임', SocGholish·Amadey·StealC 악성코드 인프라 초토화…서버 326대·도메인 142개 제거

타겟이 된 악성코드 생태계

• SocGholish: 손상된 웹사이트에 악성 자바스크립트를 주입해 사용자를 속여 악성코드를 다운로드하게 하는 로더로, 랜섬웨어 조직의 초기 침투 창구 역할을 해왔습니다. 특히 러시아 해커 그룹 '에빌 코프(Evil Corp)'가 이 로더를 광범위하게 사용한 것으로 알려졌습니다 .
• Amadey: 2차 페이로드를 유포하는 봇넷이자 로더로, StealC와 같은 정보 탈취 악성코드를 유포하는 데 쓰였습니다 .
• StealC: '서비스형 인포스틸러(Infostealer-as-a-Service)' 형태로 판매되는 악성코드로, 피해자의 로그인 자격증명과 민감한 데이터를 탈취합니다 .

이 세 악성코드는 서로 다른 범죄 집단이 운영했지만, 랜섬웨어 유포를 위한 초기 침투 단계에서 유기적으로 연결된 '범죄 공급망'을 형성하고 있었습니다 .

작전 참여 기관 및 민간 파트너

• 법 집행 기관: 캐나다, 덴마크, 독일, 네덜란드, 영국, 미국의 경찰 및 사법 기관, 그리고 유로폴(Europol)과 유로저스트(Eurojust) .
• 민간 보안 기업: 마이크로소프트(Microsoft), 비트디펜더(Bitdefender), IBM X-Force, 프루프포인트(Proofpoint), 인프로블록스(Infoblox), 섀도서버 재단(Shadowserver Foundation), 오렌지 사이버디펜스(Orange Cyberdefense), 비트사이트(Bitsight), ESET .

전략적 의의

이번 작전은 그동안 개별 랜섬웨어 조직이나 특정 악성코드를 추적하는 데 그쳤던 수사 패턴에서 벗어나, 랜섬웨어 공격의 전체 공급망(Supply Chain)을 근본적으로 교란하겠다는 전략을 보여줍니다 .

유로폴은 이 작전을 "사이버 범죄 네트워크에 대한 획기적인 타격"이라고 평가하며, SocGholish, Amadey, StealC라는 세 가지 초기 침투 도구를 동시에 제거함으로써 랜섬웨어 조직의 '감염 사슬' 자체를 끊어버렸다고 설명했습니다 . 이는 랜섬웨어가 실제로 배포되기 전에 피해를 사전에 차단하는 효과를 노린 것입니다.

마이크로소프트(Microsoft)는 이번 작전의 일환으로 미국 플로리다 연방 법원에 해당 악성코드 운영자들을 상대로 민사 소송을 제기하기도 했습니다 .

참고: 수치상의 미세한 차이

BKA는 공식 발표에서 '320대 이상 서버와 140개 이상 도메인'이라고 표현한 반면 , 다른 소식통들은 정확히 326대 서버와 142개 도메인이라고 보도했습니다 . 이는 반올림에 따른 차이로, 작전 규모를 이해하는 데 큰 영향을 주지 않습니다.