해커들, 정보 탈취기로 2단계 인증 우회

공격자들은 C 드라이브를 Windows Defender의 제외 목록에 추가하는 스크립트를 자주 삽입하여 멀웨어가 탐지되지 않고 작동하도록 합니다. 활성 멀웨어가 있음에도 불구하고 Windows Defender는 녹색 체크 표시를 표시하여 사용자에게 시스템 보안에 대한 잘못된 확신을 줍니다. 이 방법은 안티바이러스 소프트웨어가 더 이상 중요한 시스템 영역을 검사하지 않아 멀웨어가 자유롭게 실행되도록 하여 사용자에게 잘못된 보안감을 줍니다.

10대 때 Leo는 가장 효과적인 보안 솔루션을 식별하려는 열망으로 초기 보안 연구에 착수했습니다. 그는 Bitdefender를 포함한 다양한 안티바이러스 도구에 대해 다양한 멀웨어 샘플을 실행하여 실험을 수행했습니다. 취미로 시작된 이 실용적인 접근 방식은 현재 주요 엔터프라이즈 공급업체와 함께 일하는 전문 경력으로 발전했으며, 그 당시에는 Windows Defender가 존재하지 않았습니다.

이 Windows 전용 도구는 사용자가 시스템 프로세스를 효과적으로 모니터링하고 관리할 수 있도록 하는 필수 기능을 제공합니다. 단순성 덕분에 사이버 보안 초보자도 쉽게 접근할 수 있으며 시스템 작동에 대한 기본적인 이해를 제공합니다.

Windows 작업 관리자는 시작 항목의 불완전한 목록을 제공하며 모든 실행 중인 프로세스를 표시하지 못합니다. 대부분의 최신 멀웨어는 숨겨진 서비스로 작동하거나 합법적인 Microsoft 프로세스와 통합되어 작업 관리자에게 보이지 않게 하여 탐지를 회피합니다. 이러한 숨겨진 위협을 발견하려면 Autoruns와 같은 도구나 서비스 섹션을 확인하는 것이 필요하며, Autoruns는 지속성 메커니즘에 대한 심층 조사를 위한 권장 시작점입니다.

Autoruns의 출력을 분석하는 것은 훌륭한 학습 연습이 되어 사용자가 다양한 시스템 프로세스 및 잠재적 취약점을 이해하는 데 도움이 됩니다. 더 고급 진단 도구도 존재하지만 초보자에게는 이상적이지 않으므로 Autoruns 및 TCP View가 중요한 시작점입니다.

글로벌 장치 ID(GDIP)는 특정 가상 또는 물리적 컴퓨터에 전역적으로 연결되어 VPN 사용 여부에 관계없이 온라인 활동을 지속적으로 추적할 수 있습니다. 이 식별자는 연결의 명백한 출처가 위조된 경우에도(예: 런던 또는 플로리다에서) 특정 장치를 식별할 수 있도록 합니다. 원격 측정 데이터는 이 ID를 Microsoft로 지속적으로 전송하여 법 집행 기관이 인식된 연결 위치와 상관없이 소셜 미디어 로그인을 특정 장치에 연결할 수 있도록 합니다.

Leo는 Windows를 사용하지 않는다고 주장하면 위선자가 될 것이라고 인정합니다. 왜냐하면 Windows는 많은 기업의 주요 운영 체제이며 게임 산업에서 광범위하게 사용되기 때문입니다. 그는 Linux가 아직 Windows의 광범위한 채택 및 기능에 대한 만족스러운 대안을 제공하지 못했다고 언급합니다. 개인 정보 보호 문제가 존재하지만, Windows의 원격 측정 데이터 수집은 다양한 서비스 조정 및 시스템 조정을 통해 완화될 수 있습니다.

글로벌 장치 ID(GDID) 시스템은 랜섬웨어 운영자를 추적하고, 일부 경우 피해자를 돕는 긍정적인 결과를 보여주었습니다. 법 집행 기관은 공격자의 서버에서 암호화 키를 복구하여 피해자가 데이터를 무료로 해독할 수 있도록 했습니다. 이러한 기능으로 인해 랜섬웨어 작성자들은 단순 암호화에서 데이터 유출 모델로 전환했습니다. 도난 및 판매된 데이터는 되돌릴 수 없는 위협을 가하므로 정보 탈취기는 데이터가 판매되면 되돌릴 수 없으므로 선호되는 방법이 되었습니다.

공격자들이 시스템에 접근하기 위해 사용하는 가장 널리 퍼진 방법은 손상된 자격 증명입니다. 정보 탈취기는 현재 이러한 자격 증명을 획득하는 지배적인 방법으로, 가정 사용자 및 기업 환경 모두에 영향을 미칩니다. 이러한 광범위한 사용은 정보 탈취기를 모든 부문에서 중요한 위협으로 만듭니다.

사이버 공격은 초기 접근 브로커와 같은 전문화된 역할을 포함하는 정교한 노동 분업을 통해 비즈니스처럼 기능합니다. 이 브로커들은 자격 증명을 획득하고 침해로 수익을 창출하려는 입찰자에게 조직에 대한 접근 권한을 판매합니다. 이러한 자격 증명의 가격은 대상 조직으로부터 추출할 수 있는 잠재적 재정적 이득에 따라 크게 달라지며, 현대 사이버 범죄의 체계적인 특성을 강조합니다.

보안 사고가 발생하면 피해자는 종종 공황 상태에 빠져 계정에서 스스로 잠금 상태에 빠짐으로써 상황을 악화시킵니다. 계정 환경에 대한 이해 부족에서 비롯된 이러한 반응은 해커에게 손상된 시스템을 악용할 더 많은 시간과 기회를 제공합니다. 침해 중 피해를 완화하려면 침착하고 정보에 입각한 대응이 중요합니다.

Microsoft Defender는 고급 샌드박스 및 클라우드 분석을 통해 탐지율을 크게 개선하여 이제 다른 공급업체와 경쟁할 수 있는 성능을 제공합니다. 이러한 발전에도 불구하고 새 컴퓨터에는 McAfee와 같이 사용자들이 블로트웨어로 인식하는 프로그램이 미리 설치되어 있는 경우가 많습니다. Avast 및 McAfee를 포함한 현대 무료 안티바이러스 제품도 '화려한 애드웨어'로 진화하여 진정으로 효과적이고 방해받지 않는 보안 솔루션을 찾는 데 어려움을 겪고 있음을 강조합니다.

이 클라우드 의존적인 접근 방식은 위협이 Defender가 탐지할 수 있도록 클라우드에 식별되고 업로드되어야 함을 의미하며, 이는 중요한 시간 지연을 초래합니다. 해커는 이 제한을 적극적으로 악용하여 Defender를 특별히 테스트하고 우회하며, 기본 상태를 활용하여 탐지되지 않는 멀웨어를 배포합니다.

탐지 기능을 강화하려면 더 정교한 메모리 탐지를 제공하는 Bit Defender와 같은 무료 솔루션을 고려하는 것이 좋습니다. 최신 멀웨어는 표준 파일 스캐너를 우회하기 위해 파일리스, 메모리 기반 실행을 자주 사용하므로 고급 메모리 탐지가 중요합니다. 해커는 종종 Defender의 제외 목록에 자신을 추가하여 내장 방어 기능을 무력화하고 멀웨어가 조용히 실행되도록 하므로 추가 보안 계층이 필요합니다.

악성 광고는 Google과 같은 플랫폼에서 악성 사이트가 상위 검색 결과로 나타나 의심하지 않는 사용자를 속일 수 있으므로 상당한 위험을 초래합니다. 해커는 종종 합법적인 웹사이트의 모양을 모방하거나 심지어 능가하는 매우 설득력 있는 유사 도메인을 만듭니다. 주목할 만한 사건으로는 OBS Studio 및 7-Zip과 같은 인기 소프트웨어를 사칭하는 멀웨어 사이트가 있었는데, 가짜 사이트가 공식 사이트보다 더 우수해 보였습니다.

해커는 데이터 도난과 악용 사이에 며칠 또는 몇 주에 걸쳐 '시간 창'을 남겨두는 경우가 많으며, 이는 탐지를 위한 중요한 기회를 제공합니다. 도난된 데이터는 Discord 웹훅과 같은 플랫폼을 통해 자주 기록되며, 공격자는 행동하기 전에 이를 모니터링합니다. 이 기간 동안 조기 탐지는 피해자가 비밀번호를 재설정하고, 접근 권한을 취소하며, 자격 증명이 완전히 손상되기 전에 추가 피해를 잠재적으로 방지할 수 있도록 합니다.

Google 또는 Microsoft 제품군과 같은 단일 플랫폼에 의존하는 것은 공급업체 종속성을 초래하여 이 회사들에게 협상 중 상당한 영향력을 부여합니다. 통제와 유연성을 유지하려면 사용자는 특정 플랫폼에서 벗어나 자신의 도구와 데이터를 관리하도록 노력해야 합니다. 일단 폐쇄적인 생태계에 완전히 통합되면 플랫폼을 전환하는 것이 훨씬 더 어려워져 사용자 선택권이 제한됩니다.

사이버 보안은 특정 운영 체제를 초월하여 Microsoft, Linux, macOS 및 Android에 모두 영향을 미치는 광범위한 문제입니다. 최근 Ubuntu에서도 발견된 심각한 커널 수준 취약점에서 알 수 있듯이 모든 컴퓨팅 환경에는 취약점이 내재되어 있습니다. 사이버 범죄의 광대한 규모는 단일 플랫폼도 면역되지 않으며, 모든 현대 디지털 상호 작용에 영향을 미친다는 것을 강조합니다.