소포스는 GOLD OGRE가 레드팀 활동이나 ‘진단 테스트’를 하는 것처럼 AI에 요청해 안전장치를 우회하고, Cursor 등 AI 에이전트를 Aur0ra 랜섬웨어 공격에 활용했다고 밝혔다. 소포스는 조직들이 기존 보안 통제를 유지하는 한편 백업 격리와 권한 관리, 네트워크 분할로 공격자의 내부 이동을 제한해야 한다고 권고했다.
소포스 분석에 따르면 공격자들은 탈취한 계정 정보와 VPN·SOCKS 접속 정보, 표적과 목표를 AI 에이전트에 제공했다. 에이전트는 네트워크와 Active Directory를 조사하고 명령을 실행하며, 제한적인 사람의 개입만으로 내부에서 이동했다. 일부 환경에서는 네트워크 공유 폴더와 백업 저장소, 클라우드 연결 저장소를 살피고 암호 스프레이, Kerberoasting, NTLM 릴레이, 파일·백업에서의 자격 증명 추출을 시도했다. 일부 환경에서는 도메인 관리 권한에 도달했으며, 피해 조직 세 곳은 이후 Aur0ra의 데이터 유출 사이트에 이름이 올라왔다.
소포스는 2026년 5월 Cursor의 AI 지원으로 개발된 침투 후 공격 프레임워크에 관한 보고서를 발표했다. 여러 업체의 엔드포인트 탐지·대응(EDR) 제품을 시험한 뒤, 분석가들은 같은 인프라가 Cobalt Strike와 Aur0ra 랜섬웨어 작전에 사용된 사실을 확인했다. 소포스는 Aur0ra를 운영하는 사이버 범죄 조직 GOLD OGRE가 공격에 AI를 폭넓게 활용한다고 분석했다.
분석에서 확인된 공격자들은 공통된 명령·제어 인프라와 도구를 사용해 Active Directory를 조사하고 측면 이동을 수행했으며, 데이터 수집을 위해 네트워크 공유 폴더에 집중했다. 탈취한 데이터는 S3 호환 저장소로 전송된 것으로 나타났다. Sophos는 잠재적 영향이 있는 고객에게 즉시 알리고, 법 집행기관과 협력해 다른 피해 조직에도 통지했다고 밝혔다.
공격자들은 Cursor의 Composer 에이전트와 앤스로픽, xAI, Moonshot이 제공하는 모델을 사용했다. 소포스 분석에 따르면 초기에는 앤스로픽 모델을 거의 단독으로 쓰다가 다른 모델도 도입했다. 이 변화는 도구 제작에서 실제 침입으로 목표가 옮겨간 것과 관련됐을 가능성이 있다고 소포스는 설명했다.
소포스는 조직에 인터넷에 노출된 장치의 보안 패치, 피싱에 강한 다중 인증(MFA), EDR 경보 모니터링을 계속 적용하라고 권고했다. 여기에 중요 서버 분할, 백업 격리, 도메인 관리자 권한 검토, 특권 계정 관리(PAM), 애플리케이션 제어를 더해 공격자의 내부 이동을 줄여야 한다고 밝혔다.
소포스가 공개한 탐지 지표에는 Chisel SOCKS 터널, BloodHound를 이용한 도메인 조사, NetExec 활동, Kerberoasting, Cobalt Strike 관련 탐지 항목이 포함됐다. 위협 지표로는 Aur0ra 작전에 사용된 IP 주소들이 제시됐으며, 소포스는 IP 주소가 재할당될 수 있고 악성 콘텐츠를 포함할 가능성이 있으므로 브라우저에서 열기 전에 위험을 고려하라고 경고했다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요