GoSecure, 3년간 RDP 허니팟 내부에서 해커들의 화면을 직접 녹화하다

2020년 1월, GoSecure의 연구원 올리비에 빌로도와 앙드레안 베르제롱은 미국에 의도적으로 취약한 비밀번호를 설정한 가상 머신을 마이크로소프트의 원격 데스크톱 프로토콜(RDP)로 구축했습니다. 이는 랜섬웨어 조직이 기업 네트워크에 침입할 때 사용하는 것과 동일한 접속 지점이었습니다. 그것은 함정이었습니다. 이들이 직접 만든 PyRDP 도구는 모든 세션 동안 해당 머신의 화면을 녹화하고, 침입자가 자신의 클립보드에 복사한 모든 내용을 은밀히 가로챘습니다.

3년 동안 이 머신은 2,100만 건의 로그인 시도와 비밀번호 무차별 대입을 통해 성공한 2,600건 이상의 로그인을 포착했습니다. 연구원들은 그중 2,300건의 세션을 녹화하고, 업로드된 파일 470개를 수집했으며, 유용한 영상이 담긴 비디오 339개를 분석했습니다. 100시간이 넘는 분량으로, 베르제롱은 이를 '그들이 하는 모든 것을 보여주는 사실상의 감시 카메라'라고 표현했습니다. 공격자들은 자신들의 도구(Masscan, NLBrute)와 작업 흐름, 때로는 자신에 대해서까지 드러냈습니다. 한 명은 자신의 이름이 포함된 것으로 보이는 비밀번호를 생성했고, 다른 이들은 함정 내부에서 개인 이메일 계정에 로그인했습니다.

이 영상은 현장 지침서가 되었습니다. 팀은 공격자들을 던전 앤 드래곤즈 캐릭터 이름을 딴 다섯 유형으로 분류했습니다. 즉시 정찰을 하는 '레인저', IP와 비밀번호 목록으로 무차별 대입하며 나아가는 '바바리안', RDP를 다른 머신으로 연결하는 '위저드', 암호화폐 채굴기를 설치하고 트래픽을 수익화하는 '도둑', 그리고 길을 잃은 '바드'입니다. 한 명은 구글에서 '역대 가장 강력한 바이러스'를 검색했고, 다른 이들은 유튜브에서 음란물을 찾았으며, 이들은 항상 페르시아어로 글을 썼습니다. 자동화된 것은 거의 없었습니다. 대부분의 공격자는 손으로 직접 클릭하며 돌아다녔습니다. 이 연구는 라스베이거스의 블랙햇에서 발표되었습니다.

침입을 기록만 하지 말고, 그 일이 벌어지는 것을 지켜보십시오. 공격자 자신의 화면과 클립보드를 녹화하면, 함정이 도구와 습관, 신원을 스스로 문서화합니다.

RDP는 이미 침입이 집중되는 지점이므로, 취약한 RDP 함정은 이론적인 모집단이 아니라 실제 공격자 모집단을 표본으로 삼습니다.

영상은 로그보다 우수합니다. 기술과 도구를 포렌식 재구성 없이 공격자의 화면에서 바로 읽어낼 수 있습니다.

클립보드 캡처는 공격자가 자신의 머신에서 가져오는 것, 즉 자격 증명과 신원을 포착합니다. 다만 일부는 법적으로 사용할 수 없습니다.

방법을 공개하면 공격자의 비용이 높아집니다. 감시받는 침입자는 속도를 늦추거나 습관을 바꾸게 되며, 어느 쪽이든 방어입니다.

로그를 저장하는 허니팟은 무엇이 실행되었는지 알려주지만, 운영자의 세션을 녹화하는 허니팟은 그들이 누구인지 알려줍니다. 공격자도 사람처럼 행동하고, 사람은 정보를 흘립니다.

빌로도는 이번 수확물, 즉 기술과 도구, 심지어 공격자들이 텔레그램을 설치하고 침해된 시스템에서 로그인해 전화번호와 국가 코드를 노출한 것까지가 기술 로그가 결코 제공하지 못했던 정보였다고 말했습니다. 다만 일부 자격 증명은 안타깝게도 법적으로 사용할 수 없었습니다. GoSecure는 기업들이 자체 함정을 운영해 경영진에게 누가 문을 두드리는지 보여줄 것을 제안했고, 향후 함정에 암호화 가능한 파일을 심어 랜섬웨어 조직을 유인하는 방안도 제시했습니다. 외부 검증으로 Malwarebytes의 마크 스톡클리는 노출 위험을 강조했습니다. 그가 과거에 운영한 허니팟 RDP 10개는 모두 15시간 이내에 공격을 받았습니다.