랜섬웨어 데이터 유출 사이트 인텔리전스 분석은(는) 무엇을 하나요?
개요
이중 갈등 모델로 운영되는 랜섬웨어 그룹은 Tor 히든 서비스에 데이터 유출 사이트(DLS)를 유지하며, 여기에 피해자 이름, 탈취한 데이터 샘플, 협박을 위한 카운트다운 타이머를 게시합니다. 2025년 상반기에는 96개의 고유 랜섬웨어 그룹이 활동 중이었으며, 월평균 약 535명의 피해자가 등록되었습니다. 이러한 사이트를 모니터링하면 활성 위협 그룹, 표적 부문, 지리적 패턴 및 신규 랜섬웨어 계열에 대한 인텔리전스를 얻을 수 있습니다. 이 스킬은 DLS 인텔리전스의 안전한 수집, 구조화된 데이터 추출, 그룹 활동 추세 추적 및 부문별 위험 평가 생성을 다룹니다.
사용 시기
- 랜섬웨어 유출 사이트 인텔리전스 분석이 필요한 보안 사고를 조사할 때
- 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
- SOC 분석가가 이 분석 유형에 대한 구조화된 절차가 필요할 때
- 관련 공격 기술에 대한 보안 모니터링 적용 범위를 검증할 때
전제 조건
- Python 3.9+ 및
requests,beautifulsoup4,pandas,matplotlib라이브러리 .onion사이트 또는 상용 DLS 모니터링 피드 액세스를 위한 Tor 프록시 (SOCKS5)- 랜섬웨어 이중 갈취 비즈니스 모델에 대한 이해
- 주요 랜섬웨어 계열 (Qilin, Akira, LockBit, BlackCat, Clop)에 대한 친숙함
- 랜섬웨어 추적 피드 (Ransomwatch, RansomLook, DarkFeed) 액세스 권한
주요 개념
이중 갈취 모델
현대 랜섬웨어 그룹은 피해자 데이터를 암호화할 뿐만 아니라 암호화 전에 데이터를 유출합니다. 유출 사이트는 공개적인 압박 수단으로 사용됩니다. 피해자는 카운트다운 타이머, 부분 데이터 샘플 및 파일 트리와 함께 게시됩니다. 몸값이 지불되지 않으면 전체 데이터가 공개됩니다. 일부 그룹은 DDoS 위협을 추가하거나 피해자의 고객에게 직접 연락하는 삼중 갈취로 전환했습니다.
DLS 인텔리전스 가치
유출 사이트는 다음을 제공합니다: 피해자 식별 (회사명, 부문, 국가), 공격 타임라인 (게시일, 마감일, 데이터 공개일), 데이터 볼륨 추정치, 그룹 역량 평가 (표적 부문, 공격 빈도, 운영 템포), 추세 분석 (신규 그룹 등장, 그룹 재브랜딩, 법 집행 기관 타격).
안전한 수집 관행
절대 프로덕션 환경에서 DLS 사이트에 직접 액세스하지 마십시오. 전용 모니터링 서비스 (Ransomwatch, DarkFeed, KELA, Flashpoint), Tor 격리 연구 VM, 상용 위협 인텔리전스 플랫폼 또는 커뮤니티 유지 데이터셋을 사용하십시오. 모든 분석은 적절한 권한 하에 격리된 환경에서 수행해야 합니다.
워크플로우
1단계: 공개 피드에서 랜섬웨어 유출 사이트 데이터 수집
import requests
import json
import pandas as pd
from datetime import datetime, timedelta
from collections import Counter
class RansomwareIntelCollector:
"""공개 추적 소스에서 랜섬웨어 DLS 인텔리전스를 수집합니다."""
RANSOMWATCH_API = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/posts.json"
RANSOMWATCH_GROUPS = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/groups.json"
def __init__(self):
self.posts = []
self.groups = []
def fetch_ransomwatch_data(self):
"""ransomwatch에서 랜섬웨어 피해자 게시물을 가져옵니다."""
resp = requests.get(self.RANSOMWATCH_API, timeout=30)
if resp.status_code == 200:
self.posts = resp.json()
print(f"[+] ransomwatch에서 {len(self.posts)}개의 피해자 게시물 로드됨")
else:
print(f"[-] 게시물 가져오기 실패: {resp.status_code}")
resp = requests.get(self.RANSOMWATCH_GROUPS, timeout=30)
if resp.status_code == 200:
self.groups = resp.json()
print(f"[+] {len(self.groups)}개의 랜섬웨어 그룹 프로필 로드됨")
return self.posts
def get_recent_victims(self, days=30):
"""최근 N일 동안 게시된 피해자를 가져옵니다."""
cutoff = datetime.now() - timedelta(days=days)
recent = []
for post in self.posts:
try:
discovered = datetime.fromisoformat(
post.get("discovered", "").replace("Z", "+00:00")
)
if discovered.replace(tzinfo=None) >= cutoff:
recent.append(post)
except (ValueError, TypeError):
continue
print(f"[+] 최근 {days}일 동안 {len(recent)}명의 피해자")
return recent
def get_group_activity(self, group_name):
"""특정 랜섬웨어 그룹의 모든 게시물을 가져옵니다."""
group_posts = [
p for p in self.posts
if p.get("group_name", "").lower() == group_name.lower()
]
print(f"[+] {group_name}: 총 {len(group_posts)}명의 피해자")
return group_posts
collector = RansomwareIntelCollector()
collector.fetch_ransomwatch_data()
recent = collector.get_recent_victims(days=30)
2단계: 그룹 활동 및 추세 분석
def analyze_group_trends(posts, top_n=15):
"""랜섬웨어 그룹 활동 추세를 분석합니다."""
group_counts = Counter(p.get("group_name", "unknown") for p in posts)
monthly_activity = {}
for post in posts:
try:
date = datetime.fromisoformat(
post.get("discovered", "").replace("Z", "+00:00")
)
month_key = date.strftime("%Y-%m")
group = post.get("group_name", "unknown")
if month_key not in monthly_activity:
monthly_activity[month_key] = Counter()
monthly_activity[month_key][group] += 1
except (ValueError, TypeError):
continue
analysis = {
"total_posts": len(posts),
"unique_groups": len(group_counts),
"top_groups": group_counts.most_common(top_n),
"monthly_totals": {
month: sum(counts.values())
for month, counts in sorted(monthly_activity.items())
},
"monthly_top_groups": {
month: counts.most_common(5)
for month, counts in sorted(monthly_activity.items())
},
}
print(f"\n=== 랜섬웨어 그룹 활동 ===")
print(f"추적된 총 피해자 수: {analysis['total_posts']}")
print(f"활성 그룹 수: {analysis['unique_groups']}")
print(f"\n상위 {top_n}개 그룹:")
for group, count in analysis["top_groups"]:
print(f" {group}: 피해자 {count}명")
return analysis
trends = analyze_group_trends(collector.posts)
3단계: 부문 및 지리적 위험 평가
def assess_sector_risk(posts, target_sector=None, target_country=None):
"""특정 부문 또는 지역에 대한 랜섬웨어 위험을 평가합니다."""
sector_data = {}
country_data = {}
for post in posts:
# 가능한 경우 부문 추출 (모든 피드에 포함되지는 않음)
sector = post.get("sector", post.get("industry", "unknown"))
country = post.get("country", "unknown")
if sector not in sector_data:
sector_data[sector] = {"count": 0, "groups": Counter(), "recent": []}
sector_data[sector]["count"] += 1
sector_data[sector]["groups"][post.get("group_name", "")] += 1
if country not in country_data:
country_data[country] = {"count": 0, "groups": Counter()}
country_data[country]["count"] += 1
country_data[country]["groups"][post.get("group_name", "")] += 1
# 부문 위험 점수 계산
total = len(posts)
risk_assessment = {
"total_victims": total,
"sectors": {},
"countries": {},
}
for sector, data in sorted(sector_data.items(), key=lambda x: -x[1]["count"]):
pct = (data["count"] / total * 100) if total > 0 else 0
risk_assessment["sectors"][sector] = {
"victim_count": data["count"],
"percentage": round(pct, 1),
"top_groups": data["groups"].most_common(5),
"risk_level": (
"critical" if pct > 15
else "high" if pct > 8
else "medium" if pct > 3
else "low"
),
}
for country, data in sorted(country_data.items(), key=lambda x: -x[1]["count"]):
pct = (data["count"] / total * 100) if total > 0 else 0
risk_assessment["countries"][country] = {
"victim_count": data["count"],
"percentage": round(pct, 1),
"top_groups": data["groups"].most_common(5),
}
return risk_assessment
risk = assess_sector_risk(collector.posts)
4단계: 신규 및 재브랜딩 그룹 추적
def track_new_groups(posts, lookback_days=90):
"""새롭게 등장한 랜섬웨어 그룹을 식별합니다."""
group_first_seen = {}
for post in posts:
group = post.get("group_name", "")
try:
date = datetime.fromisoformat(
post.get("discovered", "").replace("Z", "+00:00")
)
if group not in group_first_seen or date < group_first_seen[group]["first_seen"]:
group_first_seen[group] = {
"first_seen": date,
"first_victim": post.get("post_title", ""),
}
except (ValueError, TypeError):
continue
cutoff = datetime.now() - timedelta(days=lookback_days)
new_groups = {
group: info for group, info in group_first_seen.items()
if info["first_seen"].replace(tzinfo=None) >= cutoff
}
# 신규 그룹별 총 피해자 수 계산
for group in new_groups:
victims = [p for p in posts if p.get("group_name") == group]
new_groups[group]["total_victims"] = len(victims)
new_groups[group]["avg_per_month"] = round(
len(victims) / max(1, lookback_days / 30), 1
)
print(f"\n=== 신규 그룹 (최근 {lookback_days}일) ===")
for group, info in sorted(new_groups.items(), key=lambda x: -x[1]["total_victims"]):
print(f" {group}: 피해자 {info['total_victims']}명, "
f"최초 발견 {info['first_seen'].strftime('%Y-%m-%d')}")
return new_groups
new_groups = track_new_groups(collector.posts, lookback_days=90)
5단계: 인텔리전스 보고서 생성
def generate_ransomware_intel_report(trends, risk, new_groups):
"""랜섬웨어 위협 인텔리전스 보고서를 생성합니다."""
report = f"""# Ransomware Threat Intelligence Report
Generated: {datetime.now().isoformat()}
## Executive Summary
- **Total victims tracked**: {trends['total_posts']}
- **Active ransomware groups**: {trends['unique_groups']}
- **New groups (last 90 days)**: {len(new_groups)}
## Top Active Groups
| Rank | Group | Victims |
|------|-------|---------|
"""
for i, (group, count) in enumerate(trends["top_groups"][:10], 1):
report += f"| {i} | {group} | {count} |\n"
report += "\n## New Emerging Groups\n"
for group, info in sorted(new_groups.items(), key=lambda x: -x[1]["total_victims"])[:10]:
report += f"- **{group}**: {info['total_victims']} victims since {info['first_seen'].strftime('%Y-%m-%d')}\n"
report += "\n## Sector Risk Assessment\n"
report += "| Sector | Victims | % | Risk Level |\n|--------|---------|---|------------|\n"
for sector, data in list(risk["sectors"].items())[:10]:
report += f"| {sector} | {data['victim_count']} | {data['percentage']}% | {data['risk_level'].upper()} |\n"
report += """
## Recommendations
1. Monitor DLS feeds daily for your organization and supply chain partners
2. Prioritize patching vulnerabilities exploited by top active groups
3. Implement offline backup strategy to reduce extortion leverage
4. Conduct tabletop exercises for ransomware scenario response
5. Share indicators with sector ISACs and threat sharing communities
"""
with open("ransomware_intel_report.md", "w") as f:
f.write(report)
print("[+] Report saved: ransomware_intel_report.md")
return report
generate_ransomware_intel_report(trends, risk, new_groups)
검증 기준
- 공개 추적 피드에서 랜섬웨어 피해자 데이터 수집 완료
- 월별 분석을 포함한 그룹 활동 추세 분석 완료
- 부문 및 지역별 위험 평가 생성 완료
- 신규 및 등장 그룹 식별 및 활동 지표 산출 완료
- 실행 가능한 권장 사항이 포함된 인텔리전스 보고서 생성 완료
- 모든 수집은 승인된 공개 소스를 통해 수행