ARTEX 인프라 추적: 실제 공격 활동 정황 포착
AI 기반 침투 테스트 도구 ARTEX의 관련 인프라에서 실제 공격 활동을 시사하는 구체적인 흔적이 확인됐다.
AhnLab SEcurity intelligence Center(ASEC)는 인터넷에 노출된 ARTEX 관련 작업 디렉터리 두 곳을 분석해 웹셸, 내부망 탐색, 원격 접속, 자격증명 수집, C2(Command & Control) 통신 및 원격 제어 악성코드(임플란트) 관련 자료를 발견했다.
앞선 분석이 ARTEX의 운영 인프라와 다중 Agent 기반 플랫폼으로의 진화를 보여줬다면, 이번 세 번째 분석은 관련 환경에서 실제 시스템을 대상으로 한 공격 활동 정황이 관찰됐다는 점에서 주목할 만하다.
다만 확인된 자료만으로 모든 활동이 ARTEX에 의해 자동 실행됐거나, 특정 공격 조직이 동일한 인프라를 운영했다고 단정할 수는 없다.
ARTEX 인프라 추적, 도구 분석에서 실제 활동 정황으로
ASEC은 지난 10월 1일부터 ARTEX 관련 인프라를 지속적으로 추적해 분석 결과를 공개하고 있다.
첫 번째 분석에서는 LLM 기반 자율 침투 테스트 프레임워크인 ARTEX의 특징과 함께 약 600개의 추가 IP를 확인했다. 일부 인프라에서는 또 다른 AI 기반 공격·보안 플랫폼인 CyberStrikeAI가 함께 운영되는 사례도 발견됐다.
이어 두 번째 분석에서는 ARTEX 관련 인프라에서 AI API Gateway, 공격 표면 관리(ASM), 침투 테스트 및 C2 관련 도구 등이 확인됐다. 특히 여러 Worker Agent를 중앙 Planner가 조율하는 ARTEX v2를 발견하면서, AI 기반 침투 테스트 도구가 다중 Agent 기반의 통합 작업 환경으로 발전하고 있음을 소개했다.
[이전 분석 보기]
이번 세 번째 분석에서는 관련 작업 디렉터리에 남아 있는 파일과 실행 흔적을 통해 실제 공격 활동의 가능성을 보다 구체적으로 살펴봤다.
사례 1. 웹셸에서 내부망 접근까지 이어지는 공격 흐름
첫 번째 사례에서는 ARTEX 관련 작업 디렉터리에 저장된 37개 파일이 확인됐다. 분석된 자료에는 ASPX 웹셸, Reverse TCP Relay, Pass-the-Hash(비밀번호 대신 계정의 인증 해시값을 이용하는 Pass-the-Hash 기법) 기반 원격 접속 시도, PowerShell 명령 에이전트, 내부망 탐색 스크립트 등이 포함돼 있었다.
웹셸 관련 스크립트에서는 웹 서버를 통해 명령을 실행하도록 구성된 흔적이 확인됐다. 이어 Reverse TCP Relay를 이용해 외부 연결을 내부 RDP 서비스로 전달하려는 정황과, 관리자 계정의 NTLM 해시를 이용한 Pass-the-Hash 기반 RDP 접속 시도가 발견됐다.
또한 원격 명령 수신·실행을 위한 PowerShell 에이전트와, 내부 시스템의 SMB, RPC, SQL Server, RDP, WinRM 등 여러 서비스에 대한 접근 가능성을 점검하는 스크립트도 확인됐다.
확인된 자료를 바탕으로 추정할 수 있는 공격 흐름은 다음과 같다.
웹셸을 통한 명령 실행 → 내부 RDP 접근을 위한 연결 중계 → 관리자 자격 증명을 이용한 원격 접속 시도 → PowerShell 명령 에이전트 운영 시도 → 추가 내부 시스템 탐색
ASEC은 확보된 자료를 바탕으로 Reverse RDP Relay가 실제 실행됐을 가능성을 중간~높은 신뢰도로 평가했으며, Pass-the-Hash 기반 RDP 접속 시도가 있었다는 점은 높은 신뢰도로 확인했다.
다만 원격 접속의 최종 성공 여부나 PowerShell 명령 에이전트의 정상적인 명령 수신·실행 여부는 확인되지 않았다. 내부망 탐색 스크립트 역시 실제 점검 결과가 확보되지 않아 대상 서비스에 접근했는지는 판단할 수 없다.
이번 사례는 외부 진입점에서 내부망 접근과 추가 탐색으로 이어질 수 있는 다단계 공격 절차의 흔적이 하나의 작업 환경에서 확인됐다는 점에서 의미가 있다.
사례 2. 내부망 탐색과 자격증명 수집, Windows·Linux 환경의 임플란트
두 번째 사례에서는 총 14개 파일이 확인됐다.
자료에는 내부망 스캔 결과, root 계정의 SSH 접속 시도, JVM Heap Dump를 활용한 자격증명 수집 스크립트, Java 기반 실행 파일, Windows·Linux용 임플란트, Reverse SOCKS 워커 등이 포함돼 있었다.
내부망 탐색과 관리자 권한 접근 시도
확인된 스캔 결과에는 Kubernetes Pod 네트워크와 별도 사설 네트워크에 존재하는 시스템 및 서비스 정보가 기록돼 있었다.
SSH, HTTP, MySQL, Redis, MongoDB, Memcached 등 다양한 서비스가 식별됐으며, 일부 서비스는 인증 없이 접근 가능한 상태로 기록돼 있었다.
또한 root 계정으로 SSH 접속을 시도하고 Docker 관련 프로세스를 재실행하도록 구성된 스크립트도 발견됐다.
이는 단순한 외부 자산 탐색을 넘어 내부 네트워크 구조와 서비스, 관리자 권한 접근 가능성까지 조사한 흔적으로 볼 수 있다.
다만 실제 SSH 인증이 성공했거나 권한을 획득했는지는 확인되지 않았다.
애플리케이션 메모리에서 자격증명 수집 시도
이번 사례에서는 JVM Heap Dump를 이용해 인증 정보를 추출하도록 설계된 Python 스크립트도 확인됐다.
해당 스크립트는 Redis 데이터베이스와 관련 파일에서 접근 정보를 탐색하고, Java 애플리케이션의 Heap Dump에서 Access Key, Secret Key, 비밀번호 등의 정보를 추출하도록 구성돼 있었다.
이는 공격자가 설정 파일뿐 아니라 애플리케이션 메모리에 남아 있는 인증 정보까지 수집 대상으로 삼을 수 있음을 보여준다.
다만 실제 Heap Dump 파일이나 자격증명 추출 결과는 확보되지 않아 정보 유출 여부는 확인되지 않았다.
Windows와 Linux를 대상으로 한 임플란트
두 번째 사례에서는 Java, Rust, Go 등 다양한 언어로 작성된 실행 파일과 스크립트도 발견됐다.
임플란트(Implant)는 사이버 공격자가 침투한 시스템에 설치해 원격 명령 실행, 정보 수집, 추가 공격 활동 등을 수행하는 악성코드 또는 에이전트를 의미한다. 공격자가 시스템에 지속적으로 접근하기 위한 수단으로도 활용된다.
이번에 확인된 Rust 기반 Linux·Windows용 임플란트에서는 명령 실행, 파일 업로드·다운로드, 프로세스 관리, 프록시 및 터널 기능 등이 확인됐다.
Go 기반 Linux 임플란트에서도 원격 명령 실행, 시스템 정보 수집, 파일 작업 및 자격 증명 관련 탐색 기능이 확인됐다.
또한 Reverse SOCKS 워커는 내부 시스템과 외부 C2 사이에 통신 경로를 구성할 수 있도록 설계돼 있었다.
이러한 자료는 서로 다른 운영체제와 실행 환경을 대상으로 원격 제어, 내부 이동 및 정보 수집을 지원할 수 있는 도구들이 함께 존재했다는 점을 보여준다.
다만 파일의 기능이 확인됐다는 사실과 실제 공격에 사용됐다는 사실은 구분해야 한다. 일부 실행 흔적이 발견됐지만, 모든 임플란트가 실제로 배포·실행됐다고 판단할 근거는 확보되지 않았다.
이번 분석에서 확인된 3가지 핵심 사항
1. 실제 공격 활동을 시사하는 구체적인 흔적 확인
앞선 분석이 ARTEX 관련 인프라와 운영 도구를 확인하는 데 초점을 맞췄다면, 이번에는 실제 시스템을 대상으로 한 공격 활동 정황이 발견됐다. 이는 인프라와 도구의 존재 여부를 넘어 실제 활동의 흔적까지 분석 범위가 확대됐다는 점에서 의미가 있다.
2. 다양한 도구와 기법이 결합된 다단계 공격 정황
두 사례에서는 외부 진입, 내부망 탐색, 원격 접속, 자격증명 수집 및 원격 제어 등 여러 공격 단계와 관련된 자료가 함께 확인됐다. 이는 개별 도구의 탐지뿐 아니라 여러 행위와 이벤트 간 연관성을 분석하는 것이 중요하다는 점을 보여준다.
3. 공격 활동의 흔적과 운영 주체에 대한 신중한 구분
이번 분석에서 공격 활동을 시사하는 자료가 확인됐지만, 모든 활동이 ARTEX에 의해 자동 실행됐거나 동일한 운영 주체에 의해 수행됐다는 사실은 입증되지 않았다. 또한 도구의 기능이 확인됐더라도 실제 공격 성공 여부는 확인된 것이 아니다. 따라서 도구의 존재, 실행 흔적, 공격 성공 여부, 운영 주체를 구분해 분석해야 한다.
주요 탐지 및 헌팅 포인트
이번 분석에서 확인된 공격 활동 정황은 보안 담당자가 실제 환경에서 점검할 수 있는 다양한 탐지 단서를 제공한다.
ASEC은 PowerShell 실행 정책 우회 및 인코딩된 명령 실행, 비정상 스크립트 파일 생성, Pass-the-Hash 기반 원격 접속 시도, CIM/WMI를 통한 PowerShell 실행 등을 주요 헌팅 대상으로 제시했다.
또한 의심 프로세스의 외부 네트워크 연결, 터널링, 원격 제어 악성코드 관련 파일 및 프로세스 행위 등도 함께 조사할 필요가 있다.
이러한 공격은 개별 이벤트만으로 판단하기 어려울 수 있다. 따라서 엔드포인트의 프로세스·파일 행위와 네트워크 연결, 자격 증명 악용 정황 등을 연계 분석하는 것이 중요하다.
AhnLab EDR은 엔드포인트에서 발생하는 의심 행위를 조사하고, AhnLab XDR은 다양한 보안 이벤트를 연계 분석하는 데 활용할 수 있다. 여기에 AhnLab TIP의 위협 인텔리전스를 함께 활용하면 관련 IOC와 위협 활동의 맥락을 파악하는 데 도움이 된다.
AI 기반 공격 자동화 시대, Threat Intelligence의 중요성
ARTEX와 같은 AI 기반 침투 테스트 프레임워크는 작업 계획, 도구 실행, 결과 분석 등 여러 단계를 자동화하는 방향으로 발전하고 있다. 이러한 변화는 합법적인 보안 점검의 효율성을 높이는 동시에, 기존 공격 기술과 도구를 조합하고 반복적인 공격 절차를 자동화하는 데 악용될 가능성도 내포한다.
이번 분석은 특정 도구나 IOC만으로 위협을 판단하기보다, 관련 인프라와 실제 공격 행위의 연관성을 종합적으로 파악하는 것이 중요하다는 점을 보여준다.
ASEC은 ARTEX를 비롯한 AI 기반 공격·보안 도구와 관련 인프라를 지속적으로 추적·분석하고 있다. 이러한 분석을 통해 확보한 위협 정보와 IOC 등은 AhnLab TIP에서 확인할 수 있다.
- AhnLab
