랜섬웨어 그룹, FBI의 단속을 사칭해 파트너로부터 2,200만 달러 훔쳐

요약하자면: 몇 주 전, 러시아 해커 그룹이 미국 의료 부문의 상당 부분을 완전히 마비시켰습니다. 이 그룹은 결제 처리, 처방전 주문, 보험 청구 등 환자 계정을 처리하는 옵텀이 운영하는 전국적인 의료 관리 시스템에 랜섬웨어 공격을 실행했습니다. 시스템을 암호화하는 것 외에도 알프브이는 알 수 없는 양의 데이터를 유출했다고 주장했습니다.

지난주 옵텀은 랜섬웨어를 제거하고 도난당한 데이터를 삭제하기 위해 알프브이(일명 블랙캣)에 돈을 지불한 것으로 알려졌습니다. 회사는 이 사건에 대해 입을 굳게 다물었지만, 블록체인의 원장에 따르면 금요일에 같은 계좌에서 7개의 다른 계좌로 3,348,114달러가 이체된 것으로 나타났습니다. 수수료를 제외하면 입금액은 약 2,200만 달러입니다. 옵텀은 알프브이에게 돈을 지불했는지에 대한 질문에는 논평을 거부했습니다.

일요일, 익명의 당사자가 다크웹 포럼에서 2,200만 달러의 지불을 확인한 것으로 보입니다. 이 그룹은 4TB의 데이터를 유출하기 위해 알프브이와 협력했다고 밝혔습니다. 또한 알프브이가 불법 계정을 유출하고 그룹을 유령화했다고 주장했습니다. 따라서 정보를 삭제하지 않고 보관하고 있었습니다.

이 그룹에 따르면, 옵텀이 유출을 우려해 몸값을 지불하도록 유도한 “중요한 데이터”가 포함되어 있다고 합니다. 4TB 캐시에 무엇이 포함되어 있는지 정확히 밝히지는 않았지만, 이 그룹은 이 캐시가 메디케어, CVS-Caremark, 루미스, 메트라이프를 포함한 수십 개 이상의 의료 서비스 제공업체와 보험 회사의 소유라고 말합니다.

화요일, 알프브이의 어두운 웹사이트에 압수수색 공지가 표시되기 시작했습니다. 이 그룹은 FBI와 다른 외국 기관의 공격을 받은 것으로 보입니다. FBI는 이번 압수수색에 대해 논평을 거부했는데, 특히 여러 해커 그룹이 관련된 작업이라면 이례적인 일이 아닐 수 없습니다. 그러나 압수 메시지에는 영국 국가범죄청의 이름이 적혀 있었는데, 이 기관은 해당 그룹에 대한 압수수색과는 아무런 관련이 없다고 밝혔습니다.

나중에 압수수색 혐의를 조사한 연구원들은 해당 페이지가 다른 알프브이 웹사이트 압수수색에서 복사하여 현재 페이지에 붙여넣은 것으로 보인다는 사실을 발견했습니다. 독립 랜섬웨어 연구 기관인 에미소프트는 일요일에 익명의 그룹이 말한 내용이 사실임을 확인했습니다.

“사람들이 계속해서 알프브이/블랙캣의 은폐에 속아 넘어가고 있기 때문입니다: 알프브이/블랙캣은 압수수색을 당하지 않았습니다.”라고 Emisoft 수석 연구원 파비안 워사르가 말했습니다. “그들은 계열사를 상대로 사기를 치고 있습니다. 새로운 게시 중단 공지의 소스 코드를 확인하면 명백히 알 수 있습니다.”

워사르에 따르면, 해당 페이지의 소스 코드에는 누군가 토르 브라우저의 파일 > 페이지 저장 명령을 사용해 공지를 복사한 증거가 발견되었습니다. 복사된 소스는 FBI가 이전에 폐쇄한 다른 알프브이 사이트에서 가져온 것입니다. 그런 다음 위조범은 이 코드를 알프브이의 현재 다크 웹사이트에 삽입했습니다. 워사르의 발견 이후, 범인은 해당 증거를 지웠으며, 이는 알프브이가 FBI의 손에 의해 사라진 것처럼 위장하고 있다는 것을 더욱 분명하게 보여줍니다.

알프브이의 다음 행보에는 불확실성의 구름이 드리워져 있습니다. 현재 현금이 넘쳐나는 이 그룹이 한동안 잠잠해질 것이라는 추측도 있습니다. 하지만 당국의 위협을 느끼는 해커 그룹이 흔히 하는 일인 다른 이름으로 다크 웹에 다시 등장할 가능성이 높습니다. 도주한 해커 팀이 4TB의 데이터로 무엇을 할지는 알 수 없습니다.

※ 퀘이사존 공식 기사가 아닌 해외 뉴스/기사를 번역한 것으로, 퀘이사존 견해와 주관은 포함되어 있지 않습니다.