유로폴의 Amadey·StealC 단속과 2,700만 자격증명 회수: 사이버범죄 조립망 교란의 의미

유로폴(Europol)을 중심으로 Bitdefender, Bitsight, ESET, Microsoft 등 민간 보안기업이 합동으로 Amadey와 StealC 악성코드 운영 인프라를 폐쇄했다. 단속 과정에서 약 2,700만 개의 도용된 자격증명이 함께 회수되어, 사이버 조립망(assembly line) 교란이라는 새로운 국제 단속 모델의 효용이 다시 한번 확인됐다.

단속 배경: Amadey와 StealC는 어떤 위협이었나

Amadey는 초기 침투용 로더(loader) 역할을 하는 악성코드이고, StealC는 계정·지갑·쿠키 등 민감 정보를 유출하는 인포스틸러(info-stealer)다. 두 패밀리는 단독으로도 위험하지만, 함께 사용될 때 랜섬웨어와 금융사기 초기 단계의 핵심 도구로 기능한다는 점이 오래전부터 위협 인텔리전스 보고서에서 지적돼 왔다.

Amadey 로더의 감염 흐름과 StealC 인포스틸러 역할

Amadey는 스팸 메일, 취약한 노출 서비스, 크랙·키젠 배포 사이트 등을 통해 진입한 뒤 StealC를 포함한 2차 페이로드를 내려받는 구조다. StealC는 브라우저 저장 비밀번호, 자동완성 데이터, 암호화폐 지갑, FTP/SSH 자격증명, 세션 쿠키를 수집해 C2 서버로 전송하며, 이후 랜섬웨어 배포와 계정 도용의 출발점이 된다.

랜섬웨어·금융사기로 이어지는 조립망 구조

Amadey와 StealC는 사이버범죄자들이 흔히 사용하는 모듈형 조립망의 핵심 부품으로 기능했다. 즉, 초기 침투 → 정보 탈취 → 자격증명 판매 → 랜섬웨어/사기团伙 접근 → 핵심인프라인프라 공격이라는 다단계 공격 흐름의 시작점을 제공한 것이다.

따라서 이번 단속의 가치는 단순한 멀웨어 제거가 아니라, 후속 범죄로 이어지는 파이프라인 자체를 끊는 데 있었다고 볼 수 있다.

민관 합동 단속의 작동 방식

이번 작전은 유로폴이 조율하고 다국적 law enforcement가 집행 권한을, 민간 보안기업이 기술 인텔리전스를 분담하는 민관 협력 모델로 진행된 것으로 알려져 있다. The Hacker News 보도가 인용한 유로폴 발표에 따르면 Bitdefender, Bitsight, ESET, Microsoft가 위협 인텔리전스 공유와 인프라 추적에 핵심 역할을 했다.

유로폴 및 각국 law enforcement의 역할

유로폴은 유럽 내 회원국 law enforcement의 활동을 조율하고, 유럽 외 법 집행기관과의 공조를 연결하는 허브 역할을 했다. 실제 서버 압수, 도메인 압류, 범죄자 신원 확보 등 강제력 기반 조치는 각국 law enforcement가 수행한 것으로 보고됐다.

Bitdefender, Bitsight, ESET, Microsoft의 위협 인텔리전스 기여

민간 기업은 C2 인프라 맵핑, 멀웨어 샘플 분석, 피해자 식별 정보를 제공했다. 특히 Microsoft와 ESET은 자사 클라우드와 엔드포인트에서 탐지된 침해 지표를, Bitsight는 노출된 자산 관점의 인텔리전스를, Bitdefender는 멀웨어 코드 분석 결과를 공유한 것으로 전해졌다.

민관 협력이 멀웨어 차단 단계를 넘어, 후속 범죄 단계까지 추적 범위를 확장한 점에서 의의가 있다.

2,700만 자격증명 회수의 의미

회수된 약 2,700만 건의 도용 자격증명은 단순한 숫자가 아니다. The Hacker News 보도에 따르면 이번 단속에서 확보된 정보는 피해자 식별과 잠재적 2차 피해 방지에 직접 활용 가능한 자료라는 점에서 의미가 크다.

회수 규모가 나타내는 피해자의 광범위성

2,700만 건은 글로벌 인구 기준으로 한 국가의 소규모 행정 단위 전체에 필적하는 규모다. 이는 Amadey-StealC 생태계가 단일 지역이나 산업에 한정되지 않고, 기업 사용자·일반 소비자·개발자 등 다양한 계층의 자격증명을 광범위하게 수집해 왔음을 시사한다.

credential stuffing과 랜섬웨어 초기 침투 경로 차질

도용 자격증명은 credential stuffing(탈취한 계정 정보를 다른 서비스에 대량 시도하는 공격)과 랜섬웨어团伙의 초기 침투에 1차 연료로 쓰인다. 이번 단속으로 회수된 정보가 각 서비스 제공업체와 공유되어 비밀번호 재설정, 다중 인증 적용이 이뤄지면, 후속 범죄 조직의 침투 경로가 일시적으로 크게 위축될 것으로 분석된다.

회수 자체보다, 회수된 자격증명이 실제 강제 조치와 결합될 때 단속 효과가 극대화되는 구조다.

보안 업계에 주는 시사점

유로폴은 이번 작전이 사이버범죄자들이 사용하는 조립망 자체를 교란하는 것이 핵심 목표라고 강조했다. 이는 멀웨어 한 종을 제거하는 전통적 접근에서 한 단계 진화한 전략으로 평가된다.

assembly line 교란 전략의 효과와 한계

조립망 교란은 랜섬웨어·금융사기·핵심인프라 공격에 이르는 전체 사슬의 신뢰성과 비용 구조를 흔드는 데 효과적이다. 다만 운영자 신원 파악과 체포까지 이어지지 못하면, 잔여 인프라가 새로운 브랜드로 빠르게 재기동될 가능성이 높다는 점은 한계로 지적된다.

단속 이후 재기동 가능성과 모니터링 과제

단속 이후에도 Amadey·StealC와 유사한 기능을 가진 로더와 인포스틸러가 즉시 대체될 가능성이 크다. 따라서 이번 단속의 성과를 단발성 이벤트가 아니라, 유사 인프라를 조기 탐지하는 모니터링 체계 구축의契机로 활용해야 한다는 시각이 업계에서 우세하다.

단속 성과는 일회성 종료가 아니라, 후속 위협 인텔리전스 품질을 높이는 출발선으로 보는 시각이 필요하다.

대응 권고: 기업과 사용자가 취해야 할 조치

• 비밀번호 재사용 금지: 동일 비밀번호를 여러 서비스에 쓰는 습관은 credential stuffing의 직접적 진입로가 된다.
• 다중 인증 적용: 다중 인증(MFA)은 도용된 자격증명만으로 계정을 장악하기 어렵게 만들어 랜섬웨어 초기 침투를 차단한다.
• 엔드포인트 탐지 고도화: Amadey류 로더는 정상 프로세스 형태를 위장하므로 행위 기반 탐지와 EDR 도입이 효과적이다.
• 위협 인텔리전스 공유: 업계 ISAC, 공공 CERT와 침해 지표를 상시 공유해야 유사 조립망의 재기동을 조기에 포착할 수 있다.

참고 자료: The Hacker News – Amadey and StealC Malware Network Disrupted, Europol 공식 발표