- ‘오퍼레이션 킬스위치’에 위협 인텔리전스 제공…핵심 서버 5대 통제·용의자 3명 잠정 체포

 

 

 

그룹아이비가 랜섬웨어 서비스형(RaaS) 조직 ‘킬섹(KillSec)’을 대상으로 한 국제 공조 수사 ‘오퍼레이션 킬스위치(Operation KillSwitch)’에 참여했다. 킬섹의 운영 방식과 인프라, 핵심 활동 주체에 대한 사이버 위협 인텔리전스를 제공했으며, 법 집행기관은 최소 110TB의 탈취 데이터를 확보하고 핵심 서버 5대를 통제했다. 독일 함부르크 주 형사경찰청과 함부르크 검찰청이 주도한 이번 수사는 유럽형사경찰기구(유로폴)와 유럽사법기구(유로저스트)가 지원했다. 벨기에와 핀란드, 독일, 그리스, 네덜란드, 루마니아, 스페인, 스위스, 영국, 미국 관계 기관도 참여했다.

 

약 1,000건 의심 공격 추적…핵심 서버 5대 통제

킬섹은 전 세계 약 1,000건의 의심 공격과 연관된 것으로 알려졌다. 법 집행기관은 지난 9월 30일 킬섹의 데이터 유출 사이트를 장악하고 최소 110TB의 탈취 데이터를 확보했으며, 그리스와 루마니아, 스페인, 영국에서 용의자 3명을 잠정 체포하고 8곳을 수색했다. 수사 과정에서는 킬섹의 주요 운영자로 추정되는 16세 용의자도 확인했다.

 

피해자로부터 탈취한 데이터를 저장하고 킬섹의 활동을 관리하는 데 사용된 핵심 서버 5대도 법 집행기관의 통제하에 들어갔다. 킬섹 도메인은 압수 안내 페이지로 연결됐으며, 수사관들은 관리자와 개발자, 협상 담당자, 실제 공격을 수행하는 외부 공격자 등 서로 다른 역할을 맡은 것으로 추정되는 용의자들을 확인했다. 현재까지 실제 성공한 것으로 확인된 공격은 약 500건이며, 압수된 증거에 대한 수사가 진행되면서 수치는 달라질 수 있다.

 

외부 공격자 모집해 랜섬웨어 공격 수행

킬 시큐리티(Kill Security), k1llsec으로도 알려진 킬섹은 다른 공격자가 랜섬웨어를 이용해 공격하도록 서비스를 제공하는 RaaS 방식으로 활동해왔다. 그룹아이비는 2024년 킬섹의 활동을 처음 식별한 뒤 추적을 계속했다.

 

킬섹은 다크웹에 데이터 유출 사이트를 운영하고 공개 텔레그램 채널에서 외부 공격자를 모집했다. 제휴 공격자는 킬섹의 랜섬웨어와 공격 도구를 이용해 피해 조직을 공격한 뒤 수익 일부를 킬섹과 나눴다. 그룹아이비의 ‘하이테크 범죄 동향 보고서 2026(High-Tech Crime Trends Report 2026)’에 따르면 킬섹은 2025년 아시아·태평양과 중남미, 중동에서 가장 활발하게 활동한 랜섬웨어 조직 10곳 가운데 하나로 확인됐다.

 

피해 주장 조직 274곳…금융·의료 분야 집중

그룹아이비는 킬섹의 데이터 유출 사이트와 텔레그램 채널을 지속적으로 모니터링해 킬섹이 피해자로 공개 주장한 조직 274곳을 확인했다. 국가별로 미국 소재 조직이 약 35%로 가장 많았고 인도가 17%로 뒤를 이었다. 브라질과 영국, 호주, 콜롬비아는 각각 약 3%를 차지했다. 지역별로는 북미가 약 35%, 아시아·태평양 30%, 유럽 14%, 중동·아프리카 약 10%였다. 금융 서비스와 의료 분야에서 피해가 가장 많이 나타났으며 정부기관과 대기업도 피해 목록에 포함됐다. 대형 보험사와 투자회사, 수백만 명의 사용자를 보유한 소비자용 애플리케이션 기업도 이름을 올렸다.

 

킬섹은 2025년 1월 병원을 공격 대상에서 제외한다고 밝혔지만 같은 해 말부터 의료 소프트웨어와 IT 서비스 제공업체까지 공격 범위를 넓혔다. 하나의 서비스 제공업체가 침해되면 해당 플랫폼을 이용하는 여러 의료기관의 환자 기록이 노출될 수 있기 때문이다. 파일을 암호화하지 않고 탈취한 데이터를 직접 판매하기도 했다. 단일 기업의 데이터에는 5,000달러, 글로벌 보험사에서 탈취했다고 주장한 데이터에는 50만 달러를 요구했다. 그룹아이비는 이를 바탕으로 킬섹이 랜섬웨어를 운영하면서 탈취 데이터를 거래하는 데이터 브로커 역할도 병행한 것으로 분석했다.

 

관리자 승인 거쳐 랜섬웨어 빌드 생성

그룹아이비 연구진이 2024년 10월 분석한 ‘킬섹 2.0 제휴 플랫폼(Affiliate Platform)’은 Tor 기반으로 피해자 관리와 랜섬웨어 협상, 페이로드 설정 등에 사용됐다. 당시 킬섹은 윈도 환경을 대상으로 하는 암호화 프로그램을 제공했으며, 제휴 공격자는 가입비 250달러와 랜섬웨어 공격 수익의 12%를 지급하는 조건으로 이용했다. 제휴 공격자가 원하는 시점에 랜섬웨어 빌드를 직접 생성하지는 못했다. 각각의 빌드는 킬섹 관리자의 승인을 받아야 했으며, 그룹아이비는 이를 랜섬웨어 페이로드를 관리하는 소수의 핵심 운영팀이 존재했음을 보여주는 정황으로 분석했다.

 

킬섹은 2024년 11월 VM웨어 ESXi 가상화 호스트를 대상으로 하는 랜섬웨어도 공개했다. 해당 랜섬웨어는 가상 머신(VM)을 종료하고 스냅샷을 삭제한 뒤 로그를 지워 피해자가 사용하는 복구 지점을 제거할 수 있었다. 2025년 1월에는 포럼 평판이나 1,000달러의 보증금을 요구하며 숙련된 침투테스터를 공개 모집했고, 공격 수익 가운데 킬섹이 가져가는 비율도 20%로 높였다. 일부 제휴 공격자는 록빗(LockBit), 랜섬허브(RansomHub), 퀼린(Qilin), 배시(Bashe) 등 다른 RaaS 프로그램에서도 활동한 것으로 확인됐다. 유로폴에 따르면 수사관들은 킬섹이 AI를 활용해 랜섬웨어 인프라를 구축·유지하고 잠재적인 공격 대상을 식별한 방식도 확인했다.

 

피싱·RDP·클라우드 설정 오류 악용

킬섹 제휴 공격자들은 피싱과 외부에 노출된 원격 데스크톱 프로토콜(RDP) 서비스에 대한 무차별 대입 공격, 인터넷에 노출된 애플리케이션의 알려진 취약점 악용 등을 주요 공격 경로로 사용했다. 네트워크 침투 과정조차 필요하지 않은 사례도 상당수 확인됐다. 잘못된 설정으로 외부에서 접근할 수 있게 된 클라우드 스토리지에서 데이터를 직접 탈취하는 방식이다.

 

그룹아이비는 기업에 인터넷 노출 자산에 대한 지속적인 인벤토리를 유지하고 클라우드 스토리지와 원격 접속 서비스까지 관리 범위에 포함할 것을 권고했다. 원격 접속에는 다중 인증(MFA)을 적용하고 실제 공격에 악용되는 것으로 알려진 취약점의 패치를 우선하며, 오프라인·불변 백업을 유지하고 가상화 플랫폼을 핵심 시스템으로 보호할 것도 제안했다. 민감한 데이터를 보관하는 소프트웨어와 IT 서비스 제공업체에도 같은 수준의 보안 관리가 필요하다고 설명했다. 데이터 유출 사이트와 사이버 범죄 지하 시장을 지속적으로 모니터링해 자사 정보가 공개적으로 노출된 이후가 아니라 노출 사실을 조기에 파악하는 방안도 권고했다.

 

위협 인텔리전스로 핵심 활동 주체 추적

그룹아이비는 오퍼레이션 킬스위치에서 킬섹의 운영 방식과 인프라, 핵심 활동 주체에 관한 사이버 위협 인텔리전스를 제공했다. 이번 작전은 그룹아이비가 유로폴과 국제형사경찰기구(인터폴), 아프리카형사경찰기구(AFRIPOL) 등 법 집행기관과 협력해 지원한 국제 사이버 범죄 수사 가운데 하나다. 그룹아이비는 현재까지 60개 이상 국가에서 1,600건 이상의 첨단 사이버 범죄 수사에 기여했다고 밝혔다.

 

그룹아이비 드미트리 볼코프(Dmitry Volkov) CEO는 “서버는 몇 주 만에 교체할 수 있지만, 랜섬웨어 플랫폼을 개발하고 각 공격을 승인하는 사람들은 그렇지 않다”며 “이들을 식별하고 법 집행기관이 사법 절차를 진행할 수 있도록 지원하는 것이 단순한 공격 인프라 차단을 실제 조직 와해로 이어지게 한다”고 밝혔다.

 

#그룹아이비 #GroupIB #킬섹 #KillSec #오퍼레이션킬스위치 #OperationKillSwitch #랜섬웨어 #RaaS #사이버위협인텔리전스 #사이버보안 #유로폴