러시아어 해커, 랜섬웨어로 돈 벌고 우크라이나 군사 정보도 팔았다

러시아어를 사용하는 초기 접근 브로커(IAB·Initial Access Broker) 한 명이 랜섬웨어 조직에 네트워크 접근권을 판매해 수익을 올리는 동시에, 우크라이나 군사 표적을 겨냥한 정보 작전까지 함께 수행한 정황이 포착됐다. 보안 연구 기업 CloudSEK는 이 해커가 운영하던 명령 서버가 외부에 그대로 노출된 사실을 발견하고, 그 안에 담긴 작전 기록을 분석해 2026년 8월 보고서로 발표했다 .

노출된 서버, 해커의 '플레이북'이 그대로 드러나다

CloudSEK 연구팀은 러시아와 연계된 위협 행위자가 소유한 서버에서 오픈 디렉터리(open directory)를 발견했다. 이 디렉터리는 2025년 중반부터 2026년 후반까지 해커의 활동을 시간순으로 기록한 명령 로그 역할을 했다 . 디렉터리 안에는 다음 항목들이 포함돼 있었다:

• CVE별로 분류된 취약점 공격 도구
• 국가별로 정리된 표적 목록
• '취약', '안전', '접근 불가'로 분류된 스캔 결과
• 수십만 개의 표적을 대상으로 한 진행 상황을 추적하는 체크포인트 메커니즘

말 그대로 해커의 플레이북이자 키 입력 기록(log)이 그대로 남아 있었고, 이를 아는 사람이라면 누구든 열어볼 수 있는 상태였다.

악용된 취약점과 표적 분야

이 브로커는 인터넷에 연결된 네트워크 장비와 웹 애플리케이션을 노리는 최소 12개의 CVE에 대한 공격 코드를 준비하고 있었다 . 영향을 받은 업체는 Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, Hikvision 등이다 . 대부분은 공개된 개념 증명(PoC) 코드였으나, Fortinet과 Citrix 관련 주요 공격 코드는 러시아어 래퍼가 추가된 모듈식 프레임워크로 개조돼 SSH 키 주입, VPN 사용자 생성, 관리자 백도어 구축, 대량 스캔을 자동화했다 . 해커는 또 Nuclei 템플릿 저장소 전체와 함께 신규 취약점 및 C2/스틸러 패널을 탐지하는 100개 이상의 맞춤형 템플릿을 보관하고 있었다 .

표적이 된 분야는 교육, 의료, 금융, 통신, 정부 기관 등으로, 북미와 유럽 등 10개국 이상으로 퍼져 있었다 .

액티브 디렉토리 완전 장악의 명확한 증거

해커의 사후 공격(post-exploitation) 체인은 조직의 액티브 디렉토리(AD)를 완전히 장악했음을 보여준다 :

• 수평 이동(Lateral movement): Neo-reGeorg 웹 셸과 SOCKS 터널로 내부 접근을 확보한 후 Evil-WinRM을 활용한 NTLM 기반 수평 이동을 진행했다 .
• 자격 증명 탈취: 도메인 컨트롤러에서 DPAPI 백업 키를 추출하고, SAM 및 LSA 시크릿을 덤프했으며, 브라우저에 저장된 자격 증명도 수집했다 .
• krbtgt 손상 및 골든 티켓: 해커는 krbtgt 해시를 추출한 뒤 10년 이상 유효한 커베로스(Kerberos) 티켓을 위조했다. 이는 비밀번호 재설정이나 엔드포인트 조치와 무관하게 지속적인 재접근이 가능함을 의미한다 .
• 실제 사건을 통한 확인: 미국 의료 기관인 Greater Pittsburgh Orthopaedic Associates(GPOA)가 이 디렉터리 안에 도메인 장악(관리자 자격 증명 수집, DC에서 DPAPI 백업 키 추출)이 확인된 표적으로 등록돼 있었다. 이후 GPOA는 2025년 RansomHouse의 유출 사이트에 이름이 올랐다. 범죄형 접근 브로커가 랜섬웨어 조직에 접근권을 넘기는 전형적인 시간 차(time lag)와 일치하는 패턴이다 .

우크라이나를 겨냥한 정보 수집 방법

작전 후반부로 갈수록 해커의 활동은 순수한 상업적 접근권 판매를 넘어섰다 :

• Sliver C2 배치: 해커는 우크라이나 국방 및 항공우주 분야 표적을 겨냥해 Sliver 명령 및 제어(C2) 프레임워크를 배포했다 .
• 소스코드 탈취: 방위 관련 프로젝트의 노출된 버전 관리 시스템을 통해 소스코드 저장소에 접근해 데이터를 탈취했다 .
• IP 카메라 감시: 수천 대의 노출된 IP 카메라에서 이미지를 수집하고, 노출된 원격 데스크톱(RDP) 세션의 스크린샷을 캡처했다. 이는 우크라이나 군사 자산의 위치를 파악하는 데 유용한 정보이다 .
• 2차 표적: 미국, 유럽, 한국도 작업 증거물 내에 2차 정보 수집 표적으로 등장했다 .

CloudSEK는 이 수법이 우크라이나 군사 위치를 파악하기 위한 러시아의 IP 카메라 감시 활동을 경고한 네덜란드 정보기관(AIVD/MIVD)의 자문 내용과 매우 유사하다고 지적했다 .

이중 프로필이 러시아의 문서화된 관행과 일치하는 방식

CloudSEK는 이 해커가 러시아어를 사용하는 초기 접근 브로커이며, 우크라이나를 겨냥한 활동은 카메라 정보를 포함한 접근권을 국가 정보 기관에 판매한 범죄적 계약자(criminal contractor)로 설명하는 것이 가장 타당하다고 높은 신뢰도로 평가했다 .

이는 러시아 정보 기관(SVR, GRU, FSB)의 잘 알려진 패턴과 일치한다. 이들은 직접 초기 침해를 수행하기보다 범죄 생태계에서 초기 네트워크 접근권을 조달하는 경향이 있다 . 범죄 브로커가 인터넷 장비 스캔과 취약점 공격 같은 고역량·고소음 작업을 처리하고, 국가 기관은 초기 침해 단계에서 자국이 통제하는 인프라를 노출하지 않고 고가치 표적(특히 방위, 항공우주, 정부 기관)에 대한 사전 구축된 접근 비용을 지불하는 방식이다.

해커가 랜섬웨어 조직에 판매한 동일한 접근권이 우크라이나 군사 표적을 겨냥한 감시 파이프라인으로도 판매된 것이다. 이는 동일한 기술적 역량으로 범죄 수익과 러시아 국가를 위한 전략적 정보 가치를 동시에 창출하는 이중 사용(dual-use) 모델이다 .