Lapsus$

**Lapsus$**는 **LAPSUS$**로 표기되며, 마이크로소프트에 의해 스트로베리 템페스트로 분류되었고, 최근에는 ShinyHunters의 일부이거나 그 자체로 식별되는 국제적인 공갈 중심 해커 그룹으로, 회사 및 정부 기관에 대한 다양한 사이버 공격으로 알려져 있다. 이 그룹은 여러 나라에서 활동했으며, 2022년에는 브라질과 영국에서 구성원들이 체포되었다. 시티오브런던 경찰에 따르면, 구성원 중 최소 두 명은 십대였다.

Lapsus$는 사회공학, MFA 피로, SIM 스와핑 및 공급업체 공격을 포함한 다양한 공격 벡터를 사용한다. 그룹이 대상 조직 내 특권 있는 직원의 자격 증명을 획득하면, 원격 데스크톱 도구를 사용하는 등 다양한 방법을 통해 민감한 데이터를 얻으려고 시도한다. 그 다음에는 공갈 시도가 이어진다. 처음에는 텔레그램 메시징 앱이 모집 및 피해자로부터 얻은 민감한 데이터를 게시하는 등 대중과의 소통에 사용되었다.

Lapsus$에 귀속된 첫 번째 주요 사이버 공격은 2021년 12월 브라질 보건부의 컴퓨터 시스템에 대한 것이었다. Lapsus$는 마이크로소프트, 엔비디아, 삼성그룹을 포함한 대형 기술 기업들에 대한 일련의 사이버 공격으로 명성을 얻었다. 이러한 공격 이후, 시티오브런던 경찰은 Lapsus$에 대한 경찰 수사와 관련하여 7명을 체포했다고 발표했다. 그룹은 2022년 4월까지 활동이 중단된 것으로 여겨졌지만, 2022년 9월에 우버와 록스타 게임스를 포함한 다양한 대형 기업에 대한 유사한 공격 벡터를 통한 일련의 데이터 유출로 다시 등장한 것으로 추정되며, 이후 시티오브런던 경찰과 브라질 경찰에 의해 다시 체포되었다. 이 그룹은 2022년 9월 이후 활동이 중단된 것으로 보이며, 구성원들은 다른 그룹으로 흩어지고 영국인 구성원 두 명은 유죄 판결을 받았다. 그룹의 창립 멤버 중 한 명인 아리온 쿠르타즈는 정신 시설에 무기한 수용 명령을 받았다.

## 공격

### 브라질 보건부 (2021)
Lapsus$가 저지른 첫 번째 알려진 사이버 공격은 브라질 브라질 보건부에 대한 것이었다. 보건부 웹사이트는 12월 10일 금요일 오전 1시경에 폐쇄되었다. Lapsus$는 내부 서버에서 50TB의 데이터를 유출 및 삭제한 후 보건부 웹사이트 홈페이지에 "데이터를 돌려받고 싶으면 연락하세요"라는 메시지와 함께 텔레그램 및 이메일 주소를 남겼다. 금요일 오후까지 메시지는 제거되었지만, 웹사이트와 브라질인에게 코로나 백신 접종 증명서를 제공하는 "ConecteSUS" 앱의 사용자 데이터는 여전히 사용할 수 없어 여행객들에게 혼란을 야기했다.

### Okta (2022)
2022년 1월 21일, Lapsus$는 제3자 고객 지원 엔지니어의 침해된 계정을 통해 신원 및 접근 관리 회사인 Okta 서버에 접근했다. Okta는 2022년 1월 25일에 침해를 확인했다. 최종 포렌식 보고서에 따르면, Okta의 최고 보안 책임자 데이비드 브래드버리(David Bradbury)는 이 공격이 두 개의 활성 고객에게만 영향을 미쳤다고 말했다. Okta는 Lapsus$가 텔레그램 채널에서 Okta의 고객 네트워크를 침해했음을 암시하는 스크린샷을 공유한 후 해킹 주장을 조사하기 시작했다. 처음에 Okta는 Lapsus$ 해커가 1월 16일에서 1월 21일 사이 "5일 동안" Sitel 지원 엔지니어의 노트북에 대한 RDP 접근을 획득했다고 말했다.

### 엔비디아 (2022)
2022년 2월 23일, 기술 회사 엔비디아는 시스템 침해 사실을 인지했다. Lapsus$는 엔비디아로부터 1테라바이트의 데이터를 확보했다고 주장하며, 엔비디아가 장치 드라이버를 오픈 소스화하지 않으면 "RTX 3090Ti 및 향후 개정판을 포함한 모든 최신 엔비디아 GPU의 완전한 실리콘, 그래픽 및 컴퓨터 칩셋 파일"을 공개하겠다고 위협했다. 2022년 3월 3일, 엔비디아의 71,000명 이상의 직원의 자격 증명이 온라인에 유출되었다.

### 삼성그룹 (2022)
2022년 3월 4일, Lapsus$는 휴대폰 제조업체 삼성그룹의 내부 데이터에 대한 190GB 토렌트를 게시했는데, 여기에는 삼성 갤럭시 휴대폰 라인의 소스 코드가 포함되어 있었다. 삼성그룹은 3일 후 침해를 확인했다.

### 메르카도리브레 (2022)
2022년 3월 8일, 아르헨티나 전자 상거래 회사 메르카도리브레는 Lapsus$가 30만 고객의 사용자 데이터에 접근했음을 확인했다. 이 그룹은 또한 메르카도리브레에 속한 24,000개의 저장소에 접근했다고 주장했다.

### 유비소프트 (2022)
2022년 3월 10일, 게임 회사 유비소프트는 "사이버 보안 사고"를 경험했다고 확인했지만, 사용자 데이터는 접근되지 않았다.

### T-모바일 (2022)
2022년 3월 17일, Lapsus$는 통신 회사 T-모바일 내의 직원 계정에 접근했다. "White"라는 가명을 사용하는 Lapsus$의 저명한 멤버는 연방수사국과 미국 국방부의 T-모바일 계정에 접근하려고 시도했지만 실패했다. 그러나 Lapsus$는 T-모바일에 속한 소스 코드 저장소를 얻을 수 있었다.

### 마이크로소프트 (2022)
2022년 3월 20일, Lapsus$는 기술 회사 마이크로소프트의 Azure 데브옵스 서버 스크린샷을 텔레그램 채널에 게시했다. 다음날, 그룹은 "Bing 검색 엔진의 소스 코드 90%"를 포함한 37GB의 압축 파일을 공개했다.

### 글로반트 (2022)
2022년 3월 30일, 룩셈부르크 기반 IT 회사인 Globant는 자사 네트워크가 Lapsus$에 의해 침해되었음을 확인했다.

### 우버 (2022)
2022년 9월 15일, 우버는 Lapsus$에 의해 침해되었다고 발표했다.

### 록스타 게임스 (2022)

2022년 9월 18일, 그랜드 테프트 오토 VI와 관련된 90개의 게임 플레이 영상이 GTAForums에 유출되었다. 이 해커는 Lapsus$와 연관되어 있었던 것으로 추정된다. 2023년 12월 25일, 1년 전의 침해로 얻은 추가 콘텐츠가 유출된 것으로 보고되었는데, 여기에는 불리의 계획된 후속작 게임 파일, 파이썬 코드가 포함된 그랜드 테프트 오토 VI, 그리고 게임의 계획된 DLC 콘텐츠에 대한 힌트가 포함된 그랜드 테프트 오토 V의 전체 소스 코드가 포함되어 있었다.

## 상호 작용
이 그룹은 메시징 앱인 텔레그램을 사용했으며, Lapsus$ 텔레그램 채널은 데이터 덤프를 알리고 공범을 모집하는 데 사용되었다. 2022년 3월 현재 약 50,000명의 구독자를 보유하고 있다. 이 그룹은 다음 목표로 삼을 조직에 대한 투표를 게시하기도 했다.

연방수사국은 2022년 3월 21일 정보 제공을 요청했다.

## 구성
기소장에 따르면, 이 그룹의 주모자는 영국 옥스퍼드에 거주하는 16세의 아리온 쿠르타즈였으며, 다른 핵심 멤버는 브라질의 십대였다. 블룸버그 보고서는 이 그룹이 7명의 멤버로 구성되어 있으며 최근에 결성되었을 가능성이 높다고 밝혔다.

## 체포 및 유죄 판결
2022년 3월 24일, 16세에서 21세 사이의 7명이 Lapsus$에 대한 경찰 수사와 관련하여 시티오브런던 경찰에 체포되었다. "White"라는 가명을 사용하는 그룹의 주요 멤버인 아리온 쿠르타즈는 영국 옥스퍼드에서 체포되었다. 그의 신원은 이전에 전 동료에 의해 공개되었으며, 연구 그룹 Unit 221B를 포함한 여러 그룹이 그를 식별했다고 보고되었다. 이 주요 멤버는 2022년 4월 1일에 17세와 함께 기소되었다. 그는 정신과 의사들에 의해 재판을 받기에 부적합하다고 평가되었지만, 7주간의 재판이 2023년 8월까지 진행되었고, 그 결과 17세 소년과 주요 멤버 모두 유죄 판결을 받았다. 쿠르타즈는 정신 시설에 무기한 수용 명령을 받았다.

2022년 10월 19일, Lapsus$ 멤버로 추정되는 브라질 시민이 페이라지산타나, 바이아주에서 경찰에 체포되었고, "오퍼레이션 다크 클라우드" 이후 브라질 보건부 공격 및 기타 사이버 범죄 혐의로 기소되었다. Lapsus$는 또한 경제부, 연방 감사원, 연방 고속도로 경찰을 포함한 브라질 연방 정부의 수십 개의 다른 조직 및 기관을 표적으로 삼았다.

## 분석
이 그룹의 추정되는 modus operandi는 특권 있는 직원의 자격 증명을 획득하여 피해 조직의 기업 네트워크에 접근하는 것에 기반을 두었다. 이러한 자격 증명은 모집 또는 SIM 스와핑과 같은 방법을 사용하여 특권 있는 직원을 해킹하는 등 여러 가지 방법으로 획득되었다. Lapsus$는 그런 다음 원격 데스크톱 또는 네트워크 접근을 사용하여 고객 계정 정보나 소스 코드와 같은 민감한 데이터를 얻었다. 그룹은 그 다음 데이터를 공개하겠다고 위협하여 피해 조직을 공갈했다. 주목할 만한 경우, 데이터는 그 후 공개되었고, 정보는 텔레그램에 게시되었다.

Lapsus$는 우버 해킹에서 사회공학 전술인 다단계 인증 피로 공격을 사용했다.

Lapsus$가 사용한 방법은 2023년 중반 미국 사이버 세이프티 리뷰 보드(Cyber Safety Review Board)의 검토 대상이었다.

## 각주

## 외부 링크
* DEV-0537 - Krebs on Security

분류:해커 그룹
분류:사이버 범죄