"범인의 진짜 목적이 뭐야?" 🕵️‍♂️ 조각난 단서들을 모아 AI에게 '공격 시나리오'와 '의도' 요약시키기

안녕하세요, 셜록 홈즈를 꿈꾸는 보안 분석가 여러분! 🔎

우리는 지금까지 꽤 긴 여정을 달려왔습니다.

1. 정적 분석: 코드 속에 숨겨진 암호화 도구와 협박 메시지를 찾았고,
2. 동적 분석: 샌드박스에서 실행해보고 레지스트리를 조작하는 현장을 덮쳤으며,
3. MITRE ATT&CK: 이 행위들을 T1486, T1490 같은 전문 용어로 변환까지 했습니다.

지금 여러분의 책상 위에는 기술적인 단서(Technical Artifacts)들이 수북이 쌓여 있습니다. 하지만 경영진이나 고객사가 진짜 궁금해하는 건 "그래서 무슨 파일이 변조됐는데?"가 아닙니다.

"그래서 이 해커가 원하는 게 뭡니까? 돈입니까, 정보입니까? 아니면 시스템 파괴입니까?"

 

 

 

바로 '공격자의 의도(Intent)'와 '목적(Objective)'입니다. 수백 개의 기술적 파편들을 하나의 '범죄 시나리오'로 엮어내는 작업이죠. 이걸 사람이 하려면 꽤 많은 통찰력이 필요하지만, 우리에겐 AI 프로파일러가 있습니다.

오늘은 지금까지 모은 모든 분석 데이터를 AI에게 던져주고, "이 공격의 큰 그림(Big Picture)을 그려줘"라고 요청하는 실습을 해보겠습니다. 🧠✨

---

1. 🧩 입력 데이터 준비: 우리가 가진 조각들

먼저, AI에게 알려줄 정보를 정리해봅시다. (지난 시간 실습 결과물들입니다.)

• [정적 분석]
  • API: CryptEncrypt, CryptGenKey, WriteFile, DeleteFile
  • Strings: ALL YOUR FILES ARE ENCRYPTED, restore_guide.txt, .locked
• [동적 분석]
  • 행위: cmd.exe가 vssadmin.exe Delete Shadows 실행 (복구 무력화)
  • 지속성: HKCU\...\Run 키에 자가 등록
• [MITRE ATT&CK]
  • T1486 (Data Encrypted for Impact)
  • T1490 (Inhibit System Recovery)

이것들은 'Fact(사실)'입니다. 이제 AI에게 'Insight(통찰)'를 요구할 차례입니다.

---

2. 🗣️ [프롬프트] AI를 '사이버 범죄 프로파일러'로 만들기

단순히 요약해달라고 하지 말고, 공격자의 심리와 전략을 분석해달라고 해야 합니다.

📝 의도 분석 전용 프롬프트

[역할] 당신은 사이버 범죄 심리 분석가이자 위협 인텔리전스(TI) 전문가입니다.

[작업] 아래 제공된 기술적 분석 데이터(Technical Findings)를 바탕으로, 공격자의 '의도(Intent)', '목적(Objective)', '공격 시나리오(Narrative)'를 추론하여 요약하세요.

[분석 데이터]

1. 주요 API: CryptEncrypt, InternetOpen
2. 발견된 문자열: "Your files are encrypted", "bitcoin wallet address..."
3. 주요 행위: 섀도우 복사본 삭제(vssadmin), 시작 프로그램 등록
4. MITRE ID: T1486, T1490, T1547

[요청 사항] 다음 3가지 항목으로 나누어 비즈니스 관점에서 설명하세요.

1. 공격의 핵심 목적: (예: 금전 갈취, 산업 스파이, 핵티비즘 등)
2. 공격 시나리오 재구성: 침투부터 목적 달성까지의 흐름을 이야기처럼 서술하세요.
3. 심각도 및 의도 분석: 공격자가 피해자에게 어떤 심리적 압박을 가하려고 했는지, 복구 가능성은 열어두었는지 등을 분석하세요.

---

3. 📤 [결과] AI가 써 내려간 범죄의 전모

AI는 파편화된 기술 용어들을 연결하여 하나의 완벽한 스토리를 만들어냅니다.

🤖 AI 분석 결과 (예시)

🕵️‍♂️ 공격자 의도 및 시나리오 분석 보고서

1. 공격의 핵심 목적: 금전적 이득 (Financial Gain) 이 공격은 명백히 금전 갈취를 목적으로 하는 랜섬웨어(Ransomware) 캠페인입니다. 정보 유출이나 시스템 파괴보다는, 데이터를 인질로 잡고 몸값(Bitcoin)을 요구하는 데 최적화되어 있습니다.

2. 공격 시나리오 재구성 (The Kill Chain)

잠복 (Persistence): 공격자는 악성코드를 실행하자마자 레지스트리(Run Key)에 자신을 등록하여, 사용자가 PC를 재부팅 해도 공격이 지속되도록 '거점'을 확보했습니다.

• 무력화 (Impact): 본격적인 공격 전, vssadmin 명령어로 윈도우의 '섀도우 복사본(백업)'을 조용히 삭제했습니다. 이는 피해자가 돈을 내지 않고 스스로 복구할 수 있는 '퇴로'를 차단한 것입니다.
• 실행 (Action): 이후 CryptEncrypt API를 이용해 사용자 파일을 고강도 암호화 알고리즘으로 잠갔으며, 바탕화면에 restore_guide.txt를 남겨 협상을 시도하고 있습니다.

3. 심각도 및 의도 분석

• 의도: '복구 무력화(T1490)' 기술을 사용한 것으로 보아, 공격자는 단순 장난이 아니라 확실하게 돈을 받아내려는 계획적인 의도를 가지고 있습니다.
• 압박 전술: 사용자가 복구를 시도할 때 백업이 없다는 절망감을 느끼게 하여, 지불 확률을 높이는 고도의 심리적 압박 전술을 구사하고 있습니다.

---

4. 💡 이 과정이 왜 중요할까요? (The "So What?")

기술 분석만 하고 끝내면(예: "T1486이 탐지됨"), 경영진은 이렇게 묻습니다. "그래서 어쩌라고? (So What?)"

하지만 위와 같이 의도를 파악하면 대응 전략이 바뀝니다.

• 금전 목적(랜섬웨어)이라면? ➡️ 즉시 네트워크 차단, 백업 서버 격리, 해커 협상 여부 결정.
• 정보 탈취(스파이)라면? ➡️ 유출된 데이터 파악, 로그 분석을 통한 유출 경로 추적, 법적 대응 준비.
• 파괴 목적(와이퍼)이라면? ➡️ 시스템 재구축 준비, 업무 연속성 계획(BCP) 가동.

즉, AI가 요약해 준 이 '의도'는 의사결정권자가 올바른 판단을 내리게 하는 나침반이 됩니다.

---

🎉 마치며: 이제 보고서 쓸 준비 완료!

축하합니다! 👏 여러분은 이제 기술적 분석가(Technician)의 영역을 넘어, 사건의 본질을 꿰뚫어 보는 위협 인텔리전스 분석가(Analyst)의 시각을 갖추게 되었습니다.

우리는 이제 모든 재료를 손질했습니다.

• Fact: 코드, 로그, MITRE ID
• Insight: 공격자의 의도, 시나리오, 목적

이제 남은 건 단 하나! 이 맛있는 재료들을 예쁜 접시에 담아내는 일입니다. 다음 시간, 대망의 마지막 강의 "[최종] AI로 전문가급 악성코드 분석 보고서(PDF 형태) 자동 생성하기"에서 이 모든 과정을 멋지게 마무리해보겠습니다.

여러분의 분석 스토리가 완벽해지는 그날까지! 화이팅! 📝🚀

---