러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다.
Fortinet, Citrix 등 12개 이상의 취약점을 악용해 교육, 의료, 금융, 통신, 정부 기관을 침해했다. 특히 미국의 정형외과 의료기관(GPOA)의 도메인을 장악한 후 해당 기관이 랜섬웨어 조직 RansomHouse의 공격 대상이 된 사실이 확인됐다.
해커는 우크라이나 방위산업체의 소스코드를 탈취하고 IP 카메라 영상을 수집했다. 이는 러시아 정보기관(SVR, GRU, FSB)이 범죄 생태계에서 초기 접근권을 조달하는 전형적인 패턴과 일치한다.
What did CloudSEK discover about a Russian-speaking hacker who simultaneously ran ransomware-related access sales for profit and conducted eConceptual illustration of a dual-purpose cyber operation: criminal access brokerage and state-aligned espionage from a single operator.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What did CloudSEK discover about a Russian-speaking hacker who simultaneously ran ransomware-related access sales for profit and conducted e. Article summary: Now let me get the remaining content from the CloudSEK article to ensure completeness.. Topic tags: general, government, news, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual eviden
openai.com
러시아어를 사용하는 초기 접근 브로커(IAB·Initial Access Broker) 한 명이 랜섬웨어 조직에 네트워크 접근권을 판매해 수익을 올리는 동시에, 우크라이나 군사 표적을 겨냥한 정보 작전까지 함께 수행한 정황이 포착됐다. 보안 연구 기업 CloudSEK는 이 해커가 운영하던 명령 서버가 외부에 그대로 노출된 사실을 발견하고, 그 안에 담긴 작전 기록을 분석해 2026년 8월 보고서로 발표했다 .
노출된 서버, 해커의 '플레이북'이 그대로 드러나다
CloudSEK 연구팀은 러시아와 연계된 위협 행위자가 소유한 서버에서 오픈 디렉터리(open directory)를 발견했다. 이 디렉터리는 2025년 중반부터 2026년 후반까지 해커의 활동을 시간순으로 기록한 명령 로그 역할을 했다 . 디렉터리 안에는 다음 항목들이 포함돼 있었다:
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"러시아어 해커, 랜섬웨어로 돈 벌고 우크라이나 군사 정보도 팔았다"에 대한 짧은 대답은 무엇입니까?
러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다.
먼저 검증할 핵심 포인트는 무엇인가요?
러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다. Fortinet, Citrix 등 12개 이상의 취약점을 악용해 교육, 의료, 금융, 통신, 정부 기관을 침해했다. 특히 미국의 정형외과 의료기관(GPOA)의 도메인을 장악한 후 해당 기관이 랜섬웨어 조직 RansomHouse의 공격 대상이 된 사실이 확인됐다.
실무에서는 다음으로 무엇을 해야 합니까?
해커는 우크라이나 방위산업체의 소스코드를 탈취하고 IP 카메라 영상을 수집했다. 이는 러시아 정보기관(SVR, GRU, FSB)이 범죄 생태계에서 초기 접근권을 조달하는 전형적인 패턴과 일치한다.
러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다.
Fortinet, Citrix 등 12개 이상의 취약점을 악용해 교육, 의료, 금융, 통신, 정부 기관을 침해했다. 특히 미국의 정형외과 의료기관(GPOA)의 도메인을 장악한 후 해당 기관이 랜섬웨어 조직 RansomHouse의 공격 대상이 된 사실이 확인됐다.
해커는 우크라이나 방위산업체의 소스코드를 탈취하고 IP 카메라 영상을 수집했다. 이는 러시아 정보기관(SVR, GRU, FSB)이 범죄 생태계에서 초기 접근권을 조달하는 전형적인 패턴과 일치한다.
What did CloudSEK discover about a Russian-speaking hacker who simultaneously ran ransomware-related access sales for profit and conducted eConceptual illustration of a dual-purpose cyber operation: criminal access brokerage and state-aligned espionage from a single operator.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What did CloudSEK discover about a Russian-speaking hacker who simultaneously ran ransomware-related access sales for profit and conducted e. Article summary: Now let me get the remaining content from the CloudSEK article to ensure completeness.. Topic tags: general, government, news, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual eviden
openai.com
러시아어를 사용하는 초기 접근 브로커(IAB·Initial Access Broker) 한 명이 랜섬웨어 조직에 네트워크 접근권을 판매해 수익을 올리는 동시에, 우크라이나 군사 표적을 겨냥한 정보 작전까지 함께 수행한 정황이 포착됐다. 보안 연구 기업 CloudSEK는 이 해커가 운영하던 명령 서버가 외부에 그대로 노출된 사실을 발견하고, 그 안에 담긴 작전 기록을 분석해 2026년 8월 보고서로 발표했다 .
노출된 서버, 해커의 '플레이북'이 그대로 드러나다
CloudSEK 연구팀은 러시아와 연계된 위협 행위자가 소유한 서버에서 오픈 디렉터리(open directory)를 발견했다. 이 디렉터리는 2025년 중반부터 2026년 후반까지 해커의 활동을 시간순으로 기록한 명령 로그 역할을 했다 . 디렉터리 안에는 다음 항목들이 포함돼 있었다:
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"러시아어 해커, 랜섬웨어로 돈 벌고 우크라이나 군사 정보도 팔았다"에 대한 짧은 대답은 무엇입니까?
러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다.
먼저 검증할 핵심 포인트는 무엇인가요?
러시아어 해커가 운영하던 명령 서버가 외부에 노출되면서 전모가 드러났다. 2025년 중반부터 2026년 후반까지 이어진 작전 기록에는 랜섬웨어 조직에 망 접근권을 판매한 정황과 우크라이나 군사 표적을 정찰한 흔적이 함께 담겨 있었다. Fortinet, Citrix 등 12개 이상의 취약점을 악용해 교육, 의료, 금융, 통신, 정부 기관을 침해했다. 특히 미국의 정형외과 의료기관(GPOA)의 도메인을 장악한 후 해당 기관이 랜섬웨어 조직 RansomHouse의 공격 대상이 된 사실이 확인됐다.
실무에서는 다음으로 무엇을 해야 합니까?
해커는 우크라이나 방위산업체의 소스코드를 탈취하고 IP 카메라 영상을 수집했다. 이는 러시아 정보기관(SVR, GRU, FSB)이 범죄 생태계에서 초기 접근권을 조달하는 전형적인 패턴과 일치한다.
말 그대로 해커의 플레이북이자 키 입력 기록(log)이 그대로 남아 있었고, 이를 아는 사람이라면 누구든 열어볼 수 있는 상태였다.
악용된 취약점과 표적 분야
이 브로커는 인터넷에 연결된 네트워크 장비와 웹 애플리케이션을 노리는 최소 12개의 CVE에 대한 공격 코드를 준비하고 있었다 . 영향을 받은 업체는 Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, Hikvision 등이다 . 대부분은 공개된 개념 증명(PoC) 코드였으나, Fortinet과 Citrix 관련 주요 공격 코드는 러시아어 래퍼가 추가된 모듈식 프레임워크로 개조돼 SSH 키 주입, VPN 사용자 생성, 관리자 백도어 구축, 대량 스캔을 자동화했다 . 해커는 또 Nuclei 템플릿 저장소 전체와 함께 신규 취약점 및 C2/스틸러 패널을 탐지하는 100개 이상의 맞춤형 템플릿을 보관하고 있었다 .
표적이 된 분야는 교육, 의료, 금융, 통신, 정부 기관 등으로, 북미와 유럽 등 10개국 이상으로 퍼져 있었다 .
액티브 디렉토리 완전 장악의 명확한 증거
해커의 사후 공격(post-exploitation) 체인은 조직의 액티브 디렉토리(AD)를 완전히 장악했음을 보여준다 :
수평 이동(Lateral movement): Neo-reGeorg 웹 셸과 SOCKS 터널로 내부 접근을 확보한 후 Evil-WinRM을 활용한 NTLM 기반 수평 이동을 진행했다 .
자격 증명 탈취: 도메인 컨트롤러에서 DPAPI 백업 키를 추출하고, SAM 및 LSA 시크릿을 덤프했으며, 브라우저에 저장된 자격 증명도 수집했다 .
krbtgt 손상 및 골든 티켓: 해커는 krbtgt 해시를 추출한 뒤 10년 이상 유효한 커베로스(Kerberos) 티켓을 위조했다. 이는 비밀번호 재설정이나 엔드포인트 조치와 무관하게 지속적인 재접근이 가능함을 의미한다 .
실제 사건을 통한 확인: 미국 의료 기관인 Greater Pittsburgh Orthopaedic Associates(GPOA)가 이 디렉터리 안에 도메인 장악(관리자 자격 증명 수집, DC에서 DPAPI 백업 키 추출)이 확인된 표적으로 등록돼 있었다. 이후 GPOA는 2025년 RansomHouse의 유출 사이트에 이름이 올랐다. 범죄형 접근 브로커가 랜섬웨어 조직에 접근권을 넘기는 전형적인 시간 차(time lag)와 일치하는 패턴이다 .
우크라이나를 겨냥한 정보 수집 방법
작전 후반부로 갈수록 해커의 활동은 순수한 상업적 접근권 판매를 넘어섰다 :
Sliver C2 배치: 해커는 우크라이나 국방 및 항공우주 분야 표적을 겨냥해 Sliver 명령 및 제어(C2) 프레임워크를 배포했다 .
소스코드 탈취: 방위 관련 프로젝트의 노출된 버전 관리 시스템을 통해 소스코드 저장소에 접근해 데이터를 탈취했다 .
IP 카메라 감시: 수천 대의 노출된 IP 카메라에서 이미지를 수집하고, 노출된 원격 데스크톱(RDP) 세션의 스크린샷을 캡처했다. 이는 우크라이나 군사 자산의 위치를 파악하는 데 유용한 정보이다 .
2차 표적: 미국, 유럽, 한국도 작업 증거물 내에 2차 정보 수집 표적으로 등장했다 .
CloudSEK는 이 수법이 우크라이나 군사 위치를 파악하기 위한 러시아의 IP 카메라 감시 활동을 경고한 네덜란드 정보기관(AIVD/MIVD)의 자문 내용과 매우 유사하다고 지적했다 .
이중 프로필이 러시아의 문서화된 관행과 일치하는 방식
CloudSEK는 이 해커가 러시아어를 사용하는 초기 접근 브로커이며, 우크라이나를 겨냥한 활동은 카메라 정보를 포함한 접근권을 국가 정보 기관에 판매한 범죄적 계약자(criminal contractor)로 설명하는 것이 가장 타당하다고 높은 신뢰도로 평가했다 .
이는 러시아 정보 기관(SVR, GRU, FSB)의 잘 알려진 패턴과 일치한다. 이들은 직접 초기 침해를 수행하기보다 범죄 생태계에서 초기 네트워크 접근권을 조달하는 경향이 있다 . 범죄 브로커가 인터넷 장비 스캔과 취약점 공격 같은 고역량·고소음 작업을 처리하고, 국가 기관은 초기 침해 단계에서 자국이 통제하는 인프라를 노출하지 않고 고가치 표적(특히 방위, 항공우주, 정부 기관)에 대한 사전 구축된 접근 비용을 지불하는 방식이다.
해커가 랜섬웨어 조직에 판매한 동일한 접근권이 우크라이나 군사 표적을 겨냥한 감시 파이프라인으로도 판매된 것이다. 이는 동일한 기술적 역량으로 범죄 수익과 러시아 국가를 위한 전략적 정보 가치를 동시에 창출하는 이중 사용(dual-use) 모델이다 .
말 그대로 해커의 플레이북이자 키 입력 기록(log)이 그대로 남아 있었고, 이를 아는 사람이라면 누구든 열어볼 수 있는 상태였다.
악용된 취약점과 표적 분야
이 브로커는 인터넷에 연결된 네트워크 장비와 웹 애플리케이션을 노리는 최소 12개의 CVE에 대한 공격 코드를 준비하고 있었다 . 영향을 받은 업체는 Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, Hikvision 등이다 . 대부분은 공개된 개념 증명(PoC) 코드였으나, Fortinet과 Citrix 관련 주요 공격 코드는 러시아어 래퍼가 추가된 모듈식 프레임워크로 개조돼 SSH 키 주입, VPN 사용자 생성, 관리자 백도어 구축, 대량 스캔을 자동화했다 . 해커는 또 Nuclei 템플릿 저장소 전체와 함께 신규 취약점 및 C2/스틸러 패널을 탐지하는 100개 이상의 맞춤형 템플릿을 보관하고 있었다 .
표적이 된 분야는 교육, 의료, 금융, 통신, 정부 기관 등으로, 북미와 유럽 등 10개국 이상으로 퍼져 있었다 .
액티브 디렉토리 완전 장악의 명확한 증거
해커의 사후 공격(post-exploitation) 체인은 조직의 액티브 디렉토리(AD)를 완전히 장악했음을 보여준다 :
수평 이동(Lateral movement): Neo-reGeorg 웹 셸과 SOCKS 터널로 내부 접근을 확보한 후 Evil-WinRM을 활용한 NTLM 기반 수평 이동을 진행했다 .
자격 증명 탈취: 도메인 컨트롤러에서 DPAPI 백업 키를 추출하고, SAM 및 LSA 시크릿을 덤프했으며, 브라우저에 저장된 자격 증명도 수집했다 .
krbtgt 손상 및 골든 티켓: 해커는 krbtgt 해시를 추출한 뒤 10년 이상 유효한 커베로스(Kerberos) 티켓을 위조했다. 이는 비밀번호 재설정이나 엔드포인트 조치와 무관하게 지속적인 재접근이 가능함을 의미한다 .
실제 사건을 통한 확인: 미국 의료 기관인 Greater Pittsburgh Orthopaedic Associates(GPOA)가 이 디렉터리 안에 도메인 장악(관리자 자격 증명 수집, DC에서 DPAPI 백업 키 추출)이 확인된 표적으로 등록돼 있었다. 이후 GPOA는 2025년 RansomHouse의 유출 사이트에 이름이 올랐다. 범죄형 접근 브로커가 랜섬웨어 조직에 접근권을 넘기는 전형적인 시간 차(time lag)와 일치하는 패턴이다 .
우크라이나를 겨냥한 정보 수집 방법
작전 후반부로 갈수록 해커의 활동은 순수한 상업적 접근권 판매를 넘어섰다 :
Sliver C2 배치: 해커는 우크라이나 국방 및 항공우주 분야 표적을 겨냥해 Sliver 명령 및 제어(C2) 프레임워크를 배포했다 .
소스코드 탈취: 방위 관련 프로젝트의 노출된 버전 관리 시스템을 통해 소스코드 저장소에 접근해 데이터를 탈취했다 .
IP 카메라 감시: 수천 대의 노출된 IP 카메라에서 이미지를 수집하고, 노출된 원격 데스크톱(RDP) 세션의 스크린샷을 캡처했다. 이는 우크라이나 군사 자산의 위치를 파악하는 데 유용한 정보이다 .
2차 표적: 미국, 유럽, 한국도 작업 증거물 내에 2차 정보 수집 표적으로 등장했다 .
CloudSEK는 이 수법이 우크라이나 군사 위치를 파악하기 위한 러시아의 IP 카메라 감시 활동을 경고한 네덜란드 정보기관(AIVD/MIVD)의 자문 내용과 매우 유사하다고 지적했다 .
이중 프로필이 러시아의 문서화된 관행과 일치하는 방식
CloudSEK는 이 해커가 러시아어를 사용하는 초기 접근 브로커이며, 우크라이나를 겨냥한 활동은 카메라 정보를 포함한 접근권을 국가 정보 기관에 판매한 범죄적 계약자(criminal contractor)로 설명하는 것이 가장 타당하다고 높은 신뢰도로 평가했다 .
이는 러시아 정보 기관(SVR, GRU, FSB)의 잘 알려진 패턴과 일치한다. 이들은 직접 초기 침해를 수행하기보다 범죄 생태계에서 초기 네트워크 접근권을 조달하는 경향이 있다 . 범죄 브로커가 인터넷 장비 스캔과 취약점 공격 같은 고역량·고소음 작업을 처리하고, 국가 기관은 초기 침해 단계에서 자국이 통제하는 인프라를 노출하지 않고 고가치 표적(특히 방위, 항공우주, 정부 기관)에 대한 사전 구축된 접근 비용을 지불하는 방식이다.
해커가 랜섬웨어 조직에 판매한 동일한 접근권이 우크라이나 군사 표적을 겨냥한 감시 파이프라인으로도 판매된 것이다. 이는 동일한 기술적 역량으로 범죄 수익과 러시아 국가를 위한 전략적 정보 가치를 동시에 창출하는 이중 사용(dual-use) 모델이다 .
media.defense.gov[PDF] Russian State-Sponsored Cyber Actors Target Cleared Defense ...
cloudsek.comInside a Russian-Speaking Access Broker's Dual Operation
cdn.prod.website-files.comCloudsek Annual Threat Landscape Report 2024
cybersecuritynews.comRussian Hacker Breaches Companies, Sells Their Access ...