WormGPT, 다크웹에 등장한 CatGPT의 ‘범죄 버전’... Google Bard도 등판
TSMC 해킹으로 논란된 서드파티 보안 이슈... 다시 활개치는 랜섬웨어 조직들


■ 방송 : 보안뉴스TV(bnTV) <곽경주의 다크웹 인사이드> 36화
■ 진행 : 권 준 보안뉴스 편집국장
■ 출연 : 곽경주 S2W 이사

□권준 국장 : 안녕하세요, 보안뉴스 권준 편집국장입니다.

■곽경주 이사 : 안녕하세요, S2W 곽경주입니다.

□권준 국장 : 최근에 무엇보다도 ChatGPT로 대표되는 생성형 AI에 대한 관심이 뜨거운 것 같은데요? 특히 이제 다크웹에서 10만 개가 넘는 ChatGPT 계정이 발견됐고, 다크웹에서 인기 아이템이 됐다. 그리고 최근에는 ‘WormGPT’라고 하나요? 다크웹에 출연한 어두운 GPT 이런 것도 화제가 되고 있는 것 같은데 정리를 한번 해주신다면요?


▲[곽경주의 다크웹 인사이드] 36화 시작 화면[이미지=보안뉴스]

[ChatGPT 계정 유출과 WormGPT]
■곽경주 이사 : ChatGPT는 너무나 잘 아실 것이고 유료 계정이 탈취된 이슈가 있는데 이게 다크웹에서 판매가 되고 있고요. 75% 정도가 ‘Racoon Stealer’라고 하는 유명한 계정 탈취용 악성코드가 있어요. 그것에 의해서 탈취가 된 것인데, 이런 (해킹 범죄를 하는) 이유는 많은 사람들이 Private ChatGPT 계정 에다가 기업 내부 데이터를 활용하는 (경우가 많은데) 이런 기업 내부 데이터를 확보할 수 있다는 이점이 공격자 입장에서 있는 것 같고요. 그리고 개인정보 같은 것들도 그 안에 저장이 되어있으니까 2차 피해를 만들어 낼 수도 있는 것이고 인기가 많죠.

그리고 WormGPT 라고 하는 것은 GPT 생성형 언어 모델을 이용해서 GPT 버전 2로 보이는데, 그것을 이용해서 (제작한 것인데) 원래 ChatGPT는 불법적인 것들에 대해서 좀 걸러내는 것들이 기본적으로 있죠. 해킹할 수 있는 코드를 만들어 달라든가 WormGPT는 기본적으로 그런 것들에 대한 제한을 다 풀어놓은 상태인 것이고요.

유료 모델이에요, 판매하고 있는 게시물을 보시면 1년에 550 유로에요, 한화로 따지면 780,000원. 이걸 프라이빗으로 구축을 할 수도 있거든요? 이 구축할 때의 비용은 5,000유로 정도, 한화로 7,000,000원 정도가 필요한 것이고요, 이것도 하나의 비즈니스에요.

WormGPT에 대한 기사가 나오고 그리고 이제 분석 보고서 같은 것들이 나오면서 원래 WormGPT.AI라는 도메인에서 이것이 서비스가 되고 있었는데 지금은 닫았어요.

제가 봤을 때는 다크웹 기반으로 사이트를 하나 만들어서 다시 서비스를 하지 않을까 이거 기능 자체가 되게 좋아요. 악성코드를 제작하는 코드를 ‘Python’으로 짜주기도 하고, 그리고 메모리상에서의 안전함이 보장된 ‘Rust’라는 언어가 있는데, 그것을 이용해서 악성코드를 제작한다든가, 그런 것 자체가 가능하기 때문에 (범죄자들의) 돈벌이가 될 것 같거든요? 그래서 지금은 한시적으로 닫았지만 다시 다크웹 기반으로 만들어질 것 같다.

□권준 국장 : ChatGPT의 이런 것(프로그래밍)을 응용해가지고 별도로 제작, 만든 것이라고 볼 수 있네요?

■곽경주 이사 : 네, 그렇죠, 모델링을 다르게 했겠죠. GPT라는 언어 모델을 이용해서 윤리적 허들이나 그런 것들을 다 없애고 범죄에 이용될 수 있게.

□권준 국장 : 그럼 만든 사람도 되게 똑똑한 것이 아닌가요?

■곽경주 이사 : 똑똑하죠. (웃음)

□권준 국장 : 머리 좋은 것이 잘못된 방향으로 쓰이면 참 골치 아픈데요.

■곽경주 이사 : 기술에는 항상 양면성이...

[Google AI ‘Bard’]
□권준 국장 : Google의 ‘Bard’ 얘기를 또 안 할 수 없을 것 같아요. 보도에 의하면 Bard가 사이버 범죄자들에 의해서 오히려 ChatGPT보다 더 활용성이 좋다...이사님께서 보시기에 이 두 가지 모델이 보안 측면과 사용성 측면에서 어떤 차이를 느끼셨는지?

■곽경주 이사 : 개인적인 의견인데 글을 쓴다든가 뭔가를 찾아본다든가 사실 아직까지는 사람이 쓴 것처럼 있어 보이게 써주는 것은 ChatGPT가 저는 나은 것 같고요. Google Bard는 아직까지 약간 로봇 같은 것 같다.

저는 ChatGPT를 조금 더 많이 쓰기는 하는데요, CheckPoint가 최근에 분석한 내용을 보면 Google Bard 같은 경우에 공격 코드를 제작해 준다든가 할 때 우회하기가 더 쉽다라는 보고서를 낸 것이 있어요. 그래서 저도 (테스트)를 해봤는데 문제점이 되는 부분들을 빠르게 조치를 한 것 같아요.

다른 방식으로 우회해 보려고 제가 해봤는데, Bard도 그렇고 ChatGPT도 똑같아요. 제가 우회할 수 있는 그 Prompt를 넣어가지고 해보니까, 공격 코드나 이런 것들을 그대로 뱉어 내고 아직까지 그것을 완벽하게 막을 수 있는 방법은 없는 것 같아요. 앞으로도 이런 일은 계속 발생할 거예요. 보안이 공격이 있고 방어가 있는 것처럼 그런 생성형 언어 모델들도 그런 공격과 방어가 계속 있을 것 같습니다.

[LockBit 랜섬웨어, TSMC 해킹]
□권준 국장 : 랜섬웨어 다시 얘기를 안 할 수 없을 것 같은데, 최근 랜섬웨어 공격 관련해서는 화제가 되고 있는 곳은 ‘TSMC’인 것 같아요. 특히 이제 ‘LockBit’ 이라는 최대 랜섬웨어 조직한테 당했고, 요구하는 금액도 컸고. 또 자세히 보니까 (LockBit이) TSMC는 Third Party를 통해서 공략을 했다는 부분에 있어서 사실 조금 더 이야깃거리가 있을 것 같거든요? Third Party 보안은 저희가 항상 강조하기도 했는데, 그 중요성에 대해서 다시 한 번 설명을 해주시면 좋을 것 같습니다.

■곽경주 이사 : TSMC 케이스는 LockBit이 먼저 (공격 사실을) 공개했던 것은 아니고요. ‘bassterlord’ 라고 하는 애가 있어요. 다크웹에서 계정 정보 판매하고 하는 범죄자인데 bassterlord가 TSMC 내부 서버에 접근했음을 증명하는 글들을 쓴 것이 있어요. 그것을 저희(S2W)는 처음에 6월 말에 발견을 했었고, 그때 저희가 대만 쪽에 바로 알렸거든요? 이런 것이 올라왔다.

그 다음 날 LockBit이 자기네들이 TSMC 해킹을 했다라고 하면서 유출 데이터를 공개했어요. bassterlord라고 하는 범죄자로부터 해당 데이터를 산 것으로 추정되고 있어요.

그러고 나서 얼마 안 있다가 TSMC가 이 사고에 대한 개요를 설명하는 공지문을 띄웠죠. ‘Kinmax Technology’라는 Third Party 업체가 있는데, 그곳으로부터 해킹이 시작됐고 Kinmax랑 TSMC랑 서로 민감한 데이터를 주고받는 부분들이 있는데, 그런 것들을 공격자가 알고 Kinmax를 먼저 해킹한 것 같고요.

그런데 이번 사고로 인해서 기업의 민감정보나 고객 정보가 유출되지는 않았다라고 하고요. 그래서 LockBit에서 지금 883억 정도 7,000만달러를 요구하고 있는데, TSMC는 응하지 않을 것으로 보여요.

□권준 국장 : 대기업 같은 경우에는 워낙 협력사들이 많아서 그런 쪽의 보안들 다시 한 번 조금 더 점검하고 각인을 해야 될 것 같아요.

■곽경주 이사 : 맞아요, 위탁 업체에 대한 감사나 보안 강도를 점검하고 그것을 이제 재계약 시기에 반영한다든가 강하게 강제를 해야 많이 바뀔 것 같아요.

[다시 활개 치는 랜섬웨어 조직들]
□권준 국장 : 지난 2021년이 제일 랜섬웨어 피해가 가장 큰 해로 기록이 된 것 같아요. 근데 올해 이제 상반기가 지났죠? 올해가 아마 (최다 랜섬웨어 피해) 두 번째가 될 것이다는 예측이 있어서 실질적으로 아무래도 현장에서 (여러 피해 사건을) 접하다 보시면 느낌이 어떠신지?

■곽경주 이사 : 저희가 작년 말에 이거 촬영할 때 그런 얘기를 한 적이 있거든요? 약간 소강상태인 것 같다, (랜섬웨어 조직들) 얘네들 놀러 간 것인지 그만 둔 것인지 모르겠다고 한 적이 있는데, 놀러갔던 것 같고 리프레시를 했던 것 같고...

몇 달 지나고 나서 작년 상반기 대비 피해 기업이 엄청 늘었어요. 기존에 LockBit이나 랜섬웨어도 그렇지만 ‘Clop’이라고 했던 한 1년 좀 넘게 조용했었던 그 랜섬웨어도 새로운 취약점을 가지고 나와서 해킹하기 시작했고, 신생 랜섬웨어 그룹이 더 많이 생겼어요.

그리고 그들이 타깃팅을 하는데 ‘Big Game Hunting’ 대기업 위주로 돈이 있는 위주로 일단 공격을 한 후에 그 회사가 상장사인지 이런 것을 볼 수도 있고 매출이 얼마인지 그리고 임직원 수는 얼마인지 자기네들이 해킹한 서버 대수는 몇 대인지 이런 것들까지 다 상정해서 랜섬(Ransom, 몸값)을 책정하거든요? (최근에) 큰 회사들 많이 공격했었던 것 같아요. 앞으로 더 심화될 것 같아요.

□권준 국장 : 거의 그러면 2021년하고 비슷한 수준이 될 수도 있겠다는...

■곽경주 이사 : 네, 네.

□권준 국장 : 네, 랜섬웨어 공격은 (그에 대한) 대비는 항상 필요하다.

[한 달간 다크웹 해킹 피해 통계]
□권준 국장 : 마지막으로 활발하게 활동했던 조직하고 그다음에 피해 국가·기업 현황 좀 통계 좀 말씀해주시죠.

■곽경주 이사 : 지난 한 달간 400개가 넘는 기업이 랜섬웨어 공격의 피해를 당했고요. 다크웹 기반의 랜섬웨어 조직에 의한 피해 기업만 말씀드리는 것이고 다크웹 기반이 아닌 랜섬웨어 (피해)도 많기 때문에 실제 피해는 훨씬 많을 거예요. 개인에 대한 것들도 있기 때문에.

그리고 Clop이 LockBit을 제쳤습니다. Clop이 80개가 넘는 기업의 피해를 양산했고, File Transfer 파일을 전송하는 시스템의 솔루션의 취약점을 이용한 것이거든요? 그리고 두 번째로는 LockBit 그리고 BlackCat.

국가 별로 (해킹 피해 횟수를) 보게 되면 (1위는) 미국인데 2위·3위나라와 격차가 더 심화되는 느낌이에요. 미국이 200개가 조금 넘고, 나머지 영국·프랑스는 25개, 15개.

피해 업권 같은 경우에는 제조업이 제일 많고, 지지난달 대비 피해 기업 수가 100개 정도가 증가했어요. 그러니까 굉장히 가파르게 증가하고 있는 추세인 것이죠.

국내의 피해 기업들 보면은 국내 자동차 제조기업 중에 하나가 ‘Snatch’라는 랜섬웨어에 당했다라는 피해 사실도 공개됐고요. 국내 기업도 꽤 많이 이제 좀 늘어나고 있어요.

□권준 국장 : 지금 또 이제 한창 여름 휴가철인데, 보안 담당자들도 휴가 가기도 쉽지 않은 상황인 것 같고.

■곽경주 이사 : 그렇죠.

□권준 국장 : 휴가 가기 전에 특별하게 점검들을 잘 해놓으셔야 겠다는 생각도 좀 하고. 좋은 소식들이 아니라 무거운 소식들인데 잘 대비하시고, 그다음에 여름 휴가철 건강관리 잘 하셨으면 좋겠습니다. 오늘도 너무 좋은 말씀 감사드리고요,

■곽경주 이사 : 감사합니다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>