[논문 리뷰] Money Over Morals: A Business Analysis of Conti Ransomware

Ian W. Gray, Jack Cable외 3명|arXiv (Cornell University)|2023. 04. 23.

Advanced Malware Detection Techniques인용 수 6

한 줄 요약

이 논문은 泄露된 채팅 로그와 비트코인 거래 데이터를 사용하여 컨티 랜섬웨어 집단에 대한 첫 번째 종합적인 암호경제학적 분석을 제시한다. 수작업으로 666개의 비트코인 주소를 분류하고, 새로운 지불 분할 탐지 방법론을 적용함으로써 저자들은 $83.9만 달러의 가능성이 높은 랜섬웨어 지불금을 확인한다—이것은 이전 공개 데이터셋보다 5배 이상 많은 금액이다. 동시에 그룹의 운영 보안과 금융 인프라에 대한 핵심적인 취약점을 드러낸다.

ABSTRACT

Ransomware operations have evolved from relatively unsophisticated threat actors into highly coordinated cybercrime syndicates that regularly extort millions of dollars in a single attack. Despite dominating headlines and crippling businesses across the globe, there is relatively little in-depth research into the modern structure and economics of ransomware operations. In this paper, we leverage leaked chat messages to provide an in-depth empirical analysis of Conti, one of the largest ransomware groups. By analyzing these chat messages, we construct a picture of Conti's operations as a highly-profitable business, from profit structures to employee recruitment and roles. We present novel methodologies to trace ransom payments, identifying over $80 million in likely ransom payments to Conti and its predecessor -- over five times as much as in previous public datasets. As part of our work, we publish a dataset of 666 labeled Bitcoin addresses related to Conti and an additional 75 Bitcoin addresses of likely ransom payments. Future work can leverage this case study to more effectively trace -- and ultimately counteract -- ransomware activity.

연구 동기 및 목표

• 랜섬웨어로서의 서비스(RaaS) 운영으로서의 컨티 랜섬웨어의 경제적 및 조직적 분석을 제공하는 것.
• 공개된 채팅 로그의 행동 히وري스틱과 블록체인 거래 분석을 활용하여 랜섬웨어 지불금을 식별하고 추적하는 것.
• 컨티의 내부 비즈니스 구조, 역할, 채용 및 보상 방식을 매핑하는 것.
• 향후 연구 및 수사 목적을 위해 666개의 비트코인 주소를 레이블링한 데이터셋을 공개하는 것.
• 특히 KYC 준수 교환소에 대한 의존도가 높은 그룹의 금융 인프라에 내재된 체계적 취약점을 규명하는 것.

제안 방법

• 유출된 채팅 로그에서 유래한 666개의 비트코인 주소를 수작업으로 분류하여 주요 기능(예: 급여, 보상, 랜섬웨어 지불금 등)을 식별하는 것.
• 블록체인 거래 분석을 적용하여 총 수익, 운영 비용 및 역할별 급여 분포를 추정하는 것.
• 운영자와 약정자 간의 일반적인 분할 행동을 기반으로 랜섬웨어 지불금을 탐지하기 위한 새로운 방법론 개발.
• 크리스털 블록체인의 정밀 분석 도구를 활용하여 주소를 연결하고 거래를 군집화함으로써 추적 가능성을 향상시키는 것.
• 채팅 로그의 정성적 분석을 통해 조직적 역할, 채용 절차 및 내부 커뮤니케이션 패턴을 재구성하는 것.
• 기타 알려진 교환소(예: 지미, 바이낸스)와의 지불 흐름을 대조하여 고위험 중심화된 자금 세탁 지점들을 식별하는 것.

Figure 1: An example of splitting. This address received 22 Bitcoin from the US-based Gemini exchange, and split into 25% and 75%. 1 Bitcoin from this address would eventually be sent to an address in the leak. Other funds were transferred to other illicit entities, such as the sanctioned exchange G

실험 결과

연구 질문

• RQ1 공개된 거래 패턴과 행동 히وري스틱을 활용하여 랜섬웨어 운영에서의 랜섬웨어 지불금을 신뢰성 있게 식별할 수 있는 방법은 무엇인가?
• RQ2 컨티의 실제 랜섬웨어 지불 규모는 얼마이며, 이는 이전 공개 데이터셋과 비교해 어떻게 다를까?
• RQ3 컨티 랜섬웨어 집단 내부의 비즈니스 구조와 운영 역할은 무엇인가?
• RQ4 급여 지급과 같은 컨티의 금융 관행이 운영 보안에 노출된 취약점을 어떻게 드러내는가?
• RQ5 지미, 바이낸스와 같은 중심화된 교환소가 랜섬웨어 자금 추적 및 차단에 얼마나 중요한 전략적 지점으로 작용하는가?

주요 결과

• 연구는 컨티와 그 전신에 대해 약 $83.9만 달러의 가능성이 높은 랜섬웨어 지불금을 확인했으며, 이는 이전 공개 데이터셋보다 5배 이상 많은 금액이다.
• 식별된 컨티 지불금의 90퍼센트 이상이 두 개의 교환소를 통해 유입되었으며, 이 중 하나는 특정되지 않은 교환소이며 다른 하나는 지미로, 모두 지니 고객 확인(KYC) 규정을 이행한다.
• 급여 및 랜섬웨어 지불금을 KYC 준수 교환소를 통해 통과시킴으로써 운영 보안이 빈약한 컨티 그룹은 추적 가능한 금융 흔적을 남긴다.
• 분석 결과, 명확한 역할, 채용 절차 및 보상 수준을 갖춘 체계적인 RaaS 비즈니스 모델이 존재함을 확인했으며, 이는 매우 조직화된 사이버 범죄 산업단지임을 시사한다.
• 연구는 향후 연구 및 수사 활동을 위해 666개의 레이블링된 비트코인 주소와 추가로 75개의 랜섬웨어 지불금 주소를 포함한 데이터셋을 공개한다.
• 연구 결과는 조직의 지도부와 금융 인프라—특히 교환소 기반 자금 세탁을 겨냥하는 것이 랜섬웨어 운영을 차단하는 데 있어 매우 효과적인 전략임을 강조한다.

Figure 2: The largest discovered likely payment, of $9.5M in March 2020. The funds originated from the unlabeled cluster discussed in Section IV .