XARVIS는 AI 기반 안보 빅데이터 플랫폼입니다. 다크웹, 텔레그램, 소셜 미디어 등 사이버 범죄가 빈번한 채널을 통합 모니터링해 유의미한 인사이트를 제공합니다. 필요한 정보를 신속하게 검색하고 분석할 수 있어, 위협 행위자 추적에 즉시 활용할 수 있습니다.
- XARVIS 소개
- 왜 XARVIS인가?
- 주요 기능
- Use Cases
공공·정부기관용 사이버안보 빅데이터 플랫폼 XARVIS(자비스)는 다크웹과 각종 히든 채널에서 발생하는 국내외 안보 위협을 신속하게 식별·분석해 공공 치안 강화를 위한 사이버범죄 인텔리전스를 제공합니다.
S2W가 세계 최초로 개발한 다크웹 특화 AI 언어모델 DarkBERT(다크버트)를 기반으로 다크웹, 텔레그램, 소셜 미디어 등을 정밀 모니터링하고 데이터를 수집·정제합니다. 이러한 AI 기반 분석 역량은 분산된 단서를 연계·교차 분석해 특정 범죄 사건과 관련된 위협 행위자를 정밀하게 식별·프로파일링하는 데 활용되며, 이를 통해 사이버범죄 수사와 위협 분석에 필요한 인사이트를 제공합니다.
다양한 히든 채널에서 확보한 텍스트, 이미지, 파일, 활동 기록 등의 단서를 자동 수집·검색해 사건의 정황을 빠르고 정확하게 파악할 수 있습니다.
- 다크웹·텔레그램·소셜 미디어의 게시물, 첨부 파일, 활동 이력 등을 자동 수집·탐지
- 여러 플랫폼에 흩어진 데이터를 한 번에 검색하고 실제 원본 화면 확인
- 사건 판단에 필요한 근거 자료를 신속하게 확보
XARVIS를 활용해 다양한 플랫폼과 콘텐츠에 산재된 식별자, 암호화폐 주소, 이미지 정보 등의 단서를 실시간으로 수집·통합합니다. 이렇게 모인 정보를 결합해 마인드맵 형태로 직관적으로 시각화함으로써, 단서 간의 연결 고리를 따라 용의자를 추적할 수 있습니다.
- 지식 그래프 기반 클러스터링을 활용한 다차원 데이터 교차 분석 도구(Graph Analysis)
- 비트코인 주소·텔레그램 ID·이메일 등 분산 정보의 연관 구조 도출
- 수사보드(Evidence Board) 형태로 단서 간 관계 흐름 시각화
암호화폐 거래 이력과 지갑 정보를 기반으로 자금 세탁 시도 등 의심 거래를 분석하고 추적할 수 있습니다.
- 거래소·개인 지갑 여부, 거래 히스토리, 토큰 기반 송수신 정보 파악
- IP 주소 및 지리 데이터 기반 실제 위치 단서 확보
- 데이터 교차 분석 툴(Graph Analysis)로 가상자산 이동 흐름 통합 분석
DarkCHAT(다크챗)을 통해 방대하고 복잡한 범죄 데이터를 자연어 질의만으로 검색하고 조사할 수 있습니다.
또한 실시간 유출 데이터 탐색, 원본 게시물 조회, 산업별 영향 통계, 유사 사건 추천 등 XARVIS 내부 데이터베이스와 연계된 심층 분석 기능을 제공해, 복잡한 조사 작업을 효율적으로 단축합니다.
-
유저 프로파일링(User Profiling)- 위협 행위자 국가·산업별 분류 및 위험도 측정
- 게시물과 링크, 주요 활동 시간 및 행동·언어 패턴 통합 조회
- 사용자 상세 정보 변경 이력 추적 (닉네임 등) -
소셜 미디어 브라우저(Social Media Browser)- 소셜 미디어 실시간 모니터링
- Facebook(페이스북), Instagram(인스타그램), X(트위터), WhatsApp(왓츠앱), VK(프콘탁테), Discord(디스코드) 등 지원
- 사용자명 및 활동 정보 수집 -
크로놀로지컬 브라우저(Chronological Browser)- 휘발성이 강한 다크웹 원본 데이터 실시간 확보
- 삭제·수정 게시물 시간순 변화 추적
- 실제 다크웹 페이지와 동일한 인터페이스 제공 -
사이버범죄 수사 전용 검색 엔진(Search Engine)- 다양한 익명 채널의 사이버범죄 관련 정보 통합 검색·조회
- 다출처·이종 데이터 수집·처리 시스템화 기술 적용
- 범죄 유형 및 수사 목적에 따라 필터·연산자를 활용해 정교한 탐색 가능 -
다크웹/텔레그램 모니터링(Monitoring)- 게시글·이미지·파일·식별자 실시간 수집
- 신규 위협·이상 징후 조기 탐지
- 여러 채널에 흩어진 단서를 기반으로 사건 정황 파악 및 근거 자료 확보 -
위치 정보 기반 추적(Geolocation)- 메타데이터 GPS 좌표·가상자산·IP 주소 단서 확보
- 위치 정보 기반 활동 지역 및 이동 흐름 추정
- 지리 공간 데이터 결합을 통한 접속 패턴 분석
XARVIS는 S2W의 AI 팀이 개발한 다크웹 특화 언어 모델인 ‘DarkBERT’를 활용하여 분야별 위협 정보를 분류하여 제공합니다. 해킹 포럼에 업로드된 게시글이 타겟하고 있는 국가 및 산업을 자동으로 분석해 국가별/산업별 모니터링이 수월해지는 기대효과가 있습니다. S2W의 인공지능은 위협 정도의 수위를 계산해 가장 위험한 컨텐츠 순서대로 보여줍니다.
특정 국가 선택 시, 해당 국가의 산업별 피해 비중을 확인할 수 있으며, 국가를 타겟한 Top 5 users와 주변 국가와의 피해 빈도수를 확인할 수 있습니다.
사이버 범죄는 다크웹을 넘어 텔레그램 채널 내에서도 만연하게 이루어지는 중입니다. 텔레그램 검색 기능은 S2W가 수집하고 있는 다양한 범죄 관련 텔레그램 채널을 keyword-base로 검색 가능하도록 새롭게 추가된 기능입니다.
XARVIS 플랫폼에 통합된 텔레그램 채널은 일반적으로 해킹, 마약, 악성 코드, 핵티비스트 활동 등으로 분류됩니다.
텔레그램 검색창에 마약 관련 은어를 검색 시 해당 키워드를 포함한 실제 채팅 로그들을 확인하실 수 있습니다. 이를 통해 마약이 불법 거래되는 텔레그램 채널과 판매 유저를 파악 할 수 있습니다. 이를 XARVIS에 있는 비트코인 주소 등 다른 데이터들과 분석 교차해 판매자를 추적할 수 있습니다.
XARVIS의 교차 분석 툴을 이용해 위협 행위자를 추적할 수 있습니다. XARVIS는 위협 행위자 관련 식별자를 실시간으로 수집하며 사용자는 이렇게 수집된 여러 데이터를 교차 분석에 활용할 수 있습니다.
2022년, 글로벌 해킹 포럼인 ‘Breached’에서 인도네시아를 지속적으로 타겟하던 유저 ‘Lost_Key’의 활동이 포착 되었습니다.
XARVIS는 해당 유저의 암호화폐 주소 및 텔레그램 주소를 수집하였고, 수집된 암호화폐 주소는 세계적인 암호화폐 거래소 ‘Binance’ 소유임을 확인했습니다.
이렇게 XARVIS의 교차 분석 툴을 활용해 수사 기관들은 위협 행위자의 신원을 식별할 수 있습니다.
XARVIS의 위협 행위자 분석 툴은 다크웹과 텔레그램에는 다수의 아이디를 활용해 활동하는 유저를 추적할 수 있습니다.
XARVIS는 2022년 싱가포르를 지속적으로 타겟하던 유저 ‘okito’의 활동 로그를 포착했습니다. 해당 유저는 글로벌 해킹 포럼 ‘Breached’에서 활동하던 유저로, 수십 여개의 포스팅에 본인의 텔레그램 주소를 남겨두었습니다.
텔레그램 주소 추적 결과, 동일한 텔레그램 주소가 ‘ttyper’이 작성한 포스팅에 게시 되어 있는 것을 발견했고, ‘ttyper’은 해킹 포럼에서 접근 금지된 흔적을 발견했습니다.
이와 같이 해킹 포럼에서 다수의 아이디를 돌려가며 사용하는 유저를 지속적으로 추적할 수 있습니다.
XARVIS는 일 평균 약 150개의 신규 다크웹 도메인을 수집하고 있습니다. S2W의 AI 팀이 개발한 언어 모델인 ‘DarkBERT’를 활용하여, 수집된 도메인을 ‘마약’, ‘금융’, ‘해킹’, ‘무기 판매’ 등으로 자동 분류하고 있습니다.
이를 통해 특정 업권에 있는 기관은 해당 기능을 통해 주기적으로 위협 사이트를 모니터링 할 수 있습니다. 예를 들어, 마약 수사국은 신규로 생성되는 마약 거래 사이트 등에 정보를 얻고, 그 속에서 수집되는 데이터를 활용할 수 있습니다.
XARVIS에서는 다크웹에서 이슈가 되고 있는 글로벌 이슈들을 모니터링 할 수 있습니다.
러시아-우크라이나 전쟁 발발 이후 다크웹에서는 해당 전쟁에 대한 의견이 분분했으며, 두 국가의 주요 정부기관 및 기업, 시민들의 개인 정보를 유통하는 게시글들이 자주 포착되었습니다.
동일한 맥락으로, 이스라엘-팔레스타인 전쟁 발발 이후에도 러-우 전쟁과 유사한 동향이 발견되었습니다.
이와 같이 XARVIS는 특정 주제를 집중적으로 모니터링 할 수 있고, 관련된 불법 거래 및 유해 컨텐츠 확인할 수 있습니다.
XARVIS에서는 특정 키워드를 입력하여 특정 국가 기업의 내부 네트워크 접근 권한 판매 및 수요 정황을 모니터링 할 수 있습니다.
한가지 예시로, 대한민국 특정 기관의 내부 서버에 접근 가능한 계정 정보 판매글이 다크웹에 올라오면 해당 글을 탐지하고 알림을 보냅니다. 이렇게 유출된 계정은 해커에게 악용되어 내부 서버를 무력화나 랜섬웨어 공격으로 번질 수 있습니다.
이러한 상황에 빠르게 대처하고 피해 확산을 막기 위해 주기적인 계정 유출 모니터링과 탐지는 필수입니다.
다크웹 모니터링은 주로 사이버 보안 및 위험 관리와 관련이 있습니다. 다크웹은 일반적인 검색 엔진으로 접근이 불가하기 때문에 종종 불법 활동과 연관되어 개인과 조직에 다양한 사이버 위협을 야기할 수 있습니다.