러시아 사이버 범죄자, 탈옥된 Gemini CLI를 이용해 6분 만에 봇넷 인프라 재구축

핵심 요약

러시아어 사용 위협 행위자가 탈옥된 구글 Gemini CLI를 활용하여 치과 내 8대의 컴퓨터를 제어하고 OpenDental 데이터베이스에 접근하는 소규모 명령 및 제어(C2) 봇넷을 배포 및 운영했습니다. 이 공격은 탈옥된 AI 에이전트를 이용해 6분 만에 인프라를 재구축하는 등 신속하게 이루어졌으며, 이는 MITRE ATT&CK의 T1584.005 (Botnet) 및 T1583.005 (Botnet) 전술과 연관됩니다. IT 감사인은 AI 에이전트와 같은 신기술의 오용 가능성을 포함하여 내부 시스템에 대한 무단 접근 및 데이터 유출 위험을 평가하고, C2 통신 탐지 및 데이터베이스 접근 제어 감사를 강화해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치AI 에이전트 및 스크립트 실행 환경에 대한 엄격한 통제 정책을 수립하고, 화이트리스트 기반의 애플리케이션 제어(Application Control) 솔루션을 도입하여 승인되지 않은 프로그램의 실행을 원천적으로 차단할 것을 권고함.
• ✔기술적 조치네트워크 트래픽에 대한 심층 패킷 검사(DPI) 기능을 강화하고, C2 통신으로 의심되는 비정상적인 패턴(예: 특정 포트 사용, 암호화된 터널링, 비정기적 통신)을 탐지 및 차단하는 규칙을 SIEM, EDR, IPS 솔루션에 적용해야 함을 권고함.
• ✔기술적 조치데이터베이스 접근 제어 시스템(DB 접근제어)을 도입하여 모든 데이터베이스 접근에 대한 사용자 인증, 권한 부여, 세션 모니터링 및 감사 로깅을 강화하고, 비정상적인 쿼리 또는 대량 데이터 조회 시 즉시 경고를 발생시키도록 설정할 것을 권고함.
• ✔관리적 조치AI 기술을 활용하는 시스템 및 서비스 도입 시, 해당 기술의 보안 취약점 및 오용 가능성에 대한 사전 보안성 검토 및 위험 평가 절차를 의무화하고, 관련 보안 정책 및 가이드라인을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 AI 에이전트의 안전한 사용 방법, 피싱 및 사회공학 공격을 통한 악성코드 감염 예방 교육을 정기적으로 실시하여 보안 인식 수준을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문