INC & The Gentlemen 랜섬웨어: AI 에이전트 기반 공격 분석
Dokebi · 2026년 10월 29일 · #tech #security #cti #ransomware #ai #threat-intelligence
개요
Check Point Research가 INC 및 The Gentlemen 랜섬웨어 그룹의 계열사(affiliate)들이 AI 에이전트를 사용하여 인간 승인 사이버 공격을 수행하고 있음을 발견했습니다. 이 공격은 62개 조직을 대상으로 원격 접근 시스템과 탈취된 자격 증명을 악용했으며, 제조, 에너지, 의료, 제약 분야에 집중되었습니다. 이는 AI가 공격 실행의 자동화 도구로 사용되는 실사례로, 랜섬웨어 그룹의 AI 활용 트렌드를 보여줍니다.
위협 개요
| 항목 | 내용 |
|---|---|
| 위협 행위자 | INC Ransomware, The Gentlemen (계열사) |
| 공격 유형 | AI 에이전트 기반 랜섬웨어 |
| 타겟 수 | 62개 조직 |
| 주요 산업 | 제조, 에너지, 의료, 제약 |
| 주요 지역 | 미국 |
| 발견 | Check Point Research, SOCRadar, 2026년 10월 |
AI 에이전트의 역할
이 공격에서 AI 에이전트는 다음과 같은 역할을 수행했습니다:
- 정찰 자동화: 타겟 네트워크의 취약점과 진입점을 자동으로 스캔
- 자격 증명 악용: 탈취된 자격 증명을 사용하여 원격 접근 시스템에 로그인
- 측면 이동 (Lateral Movement): 네트워크 내에서 추가 시스템으로의 이동 자동화
- 데이터 수집: 민감 데이터 식별 및 수집 자동화
- 랜섬웨어 배포: 암호화 대상 선별 및 랜섬웨어 배포
핵심은 인간 승인(Human-in-the-Loop) 방식입니다. AI 에이전트가 공격 단계를 수행하되, 주요 결정(예: 랜섬웨어 배포)은 인간 운영자가 승인합니다. 이는 AI의 자동화 속도와 인간의 판단력을 결합한 하이브리드 접근 방식입니다.
공격 체인 (Attack Chain)
- 초기 접근: 탈취된 자격 증명을 사용하여 VPN/RDP/원격 접근 시스템에 로그인
- 정찰: AI 에이전트가 네트워크 스캐닝 및 시스템 정보 수집
- 측면 이동: AI가 추가 시스템으로의 이동 경로 탐색 및 실행
- 데이터 수집: 민감 데이터 식별 및 수집
- 인간 승인: 랜섬웨어 배포 전 인간 운영자의 승인
- 랜섬웨어 배포: 승인 후 AI가 자동으로 랜섬웨어 배포 및 암호화 실행
- 협박: 데이터 유출 위협과 함께 랜섬 요구
타겟 분석
| 산업 | 타겟 이유 | 영향 |
|---|---|---|
| 제조 | OT/IT 융합 환경, 높은 다운타임 비용 | 생산 중단, 공급망 파급 |
| 에너지 | 중요 인프라, 높은 지불 의지 | 서비스 중단, 안전 위험 |
| 의료 | 민감 데이터, 높은 지불 의지 | 환자 데이터 유출, 진료 중단 |
| 제약 | 지적 재산, R&D 데이터 | 연구 데이터 유출, 경쟁 우위 상실 |
AI 활용의 진화
이 공격은 AI가 사이버 범죄에서 어떻게 활용되는지 보여주는 중요한 사례입니다:
- 1세대: AI를 사용하여 피싱 이메일 작성 (텍스트 생성)
- 2세대: AI를 사용하여 취약점 스캐닝 및 익스플로잇 개발 (코드 생성)
- 3세대 (현재): AI 에이전트가 자율적으로 공격 단계를 수행하되 인간이 주요 결정을 승인 (에이전트 기반 공격)
이 진화는 AI가 단순한 도구에서 공격 실행의 핵심 구성 요소로 변모하고 있음을 보여줍니다.
MITRE ATT&CK 매핑
| 전술 | 기술 | ID |
|---|---|---|
| Initial Access | Valid Accounts | T1078 |
| Discovery | Network Service Scanning | T1046 |
| Lateral Movement | Remote Services | T1021 |
| Collection | Data from Local System | T1005 |
| Impact | Data Encrypted for Impact | T1486 |
| Impact | Data Exfiltration | T1041 |
탐지 및 대응
탐지 지표
- 원격 접근 시스템(VPN/RDP)의 비정상 로그인 패턴
- 자동화된 네트워크 스캐닝 활동
- 비정상적인 측면 이동 패턴
- 대량 데이터 수집 및 전송
- 알려진 랜섬웨어 시그니처
대응 방안
- MFA 강제: 모든 원격 접근 시스템에 MFA 적용
- 자격 증명 모니터링: 탈취된 자격 증명 사용 탐지
- 네트워크 세그멘테이션: 중요 시스템 격리
- 백업 및 복구: 오프라인 백업 및 복구 테스트
- AI 기반 탐지: AI 에이전트 공격 패턴에 대한 탐지 규칙 개발
- 인시던트 대응: 랜섬웨어 사고 대응 계획 수립 및 훈련
결론
INC 및 The Gentlemen 랜섬웨어 그룹의 AI 에이전트 활용은 사이버 범죄의 새로운 패러다임을 보여줍니다. AI가 공격 실행의 핵심 구성 요소로 자리잡으면서, 방어자도 AI 기반 탐지 및 대응 체계를 구축해야 합니다. 특히 원격 접근 시스템의 보안과 자격 증명 관리가 핵심 방어선입니다.
참고: Check Point Research - 26th October Threat Intelligence Report, SOCRadar - INC & Gentlemen Ransomware AI Infrastructure