2024년 12월부터 PassiveNeuron이라는 사이버 스파이 캠페인이 Windows 서버를 표적으로 삼아 왔습니다. 피해자는 누구일까요? 주로 아시아, 아프리카, 라틴 아메리카의 정부 기관, 은행, 그리고 산업계였습니다. 이번 시도가 처음은 아닙니다. 6개월간의 중단 후, 더욱 정교한 도구를 사용하여 작전을 재개했습니다.
카스퍼스키는 TA569라는 조직에서 시작된 이 위협을 발견했습니다. 이 조직은 감염된 컴퓨터에 대한 접근 권한을 판매하는 것으로 알려져 있으며, 사실상 암시장이나 다름없습니다. 이 공격은 시스템 깊숙한 곳에 침투하도록 설계된 다양한 악성코드를 사용합니다.
이 캠페인은 대상 인프라의 중추 역할을 하는 Windows Server 시스템의 취약점을 악용합니다. 목표는 분명합니다. 민감한 데이터에 광범위하게 접근하여 탐지되지 않은 채 감시하는 것입니다.
PassiveNeuron 도구 및 작동 방식
PassiveNeuron의 주요 도구는 세 가지입니다. 그중 두 가지는 연구원들에게 이전에 알려지지 않은 새로운 도구입니다. 첫 번째, Neursite는 모듈식 백도어입니다. 시스템 환경을 스캔하고, 프로세스를 시작 또는 중지하고, 네트워크 트래픽을 리디렉션하여 손상된 네트워크를 자유롭게 탐색할 수 있도록 합니다.
두 번째는 NeuralExecutor로, .NET 플랫폼 기반 임플란트입니다. 이 소프트웨어는 공격자가 제어 서버와의 다양한 통신 방식을 통해 감염된 서버에서 추가 페이로드를 수신하고 실행할 수 있도록 합니다.
마지막으로, 이 그룹은 잘 알려진 감사 프레임워크인 Cobalt Strike를 악용하고 있습니다. 이 프레임워크는 침투 테스트에도 사용되지만, 공격자가 은밀하게 침입하고 환경 내에 머무르는 데에도 널리 사용됩니다.
공격자에게 Windows 서버를 표적으로 삼는 것이 전략적 이유
빙빙 돌리지 말고, 인터넷에 노출된 서버는 PassiveNeuron과 같은 APT 공격의 주요 표적입니다. 단 하나의 컴퓨터라도 침해되면 중요한 시스템에 침투할 수 있습니다. 따라서 공격 표면을 줄이고 서버 애플리케이션을 면밀히 감시하는 것이 매우 중요합니다.
관리자가 이러한 모니터링 없이도 충분하다고 생각한다면, 분명 큰 혼란을 겪게 될 것입니다. 이러한 환경에서는 몇 번의 지연된 업데이트가 아닌, 엄격하고 지속적인 경계가 요구됩니다. 그렇지 않으면 온갖 종류의 공격에 무방비로 노출될 수 있습니다.
게다가 이러한 공격은 상황을 더욱 복잡하게 만듭니다. 악성 코드 기능은 키릴 문자를 사용하여 혼란을 야기합니다. 이는 분석가의 시간을 낭비하는 전형적인 허위 정보 유포 전술입니다.
발각되지 않기 위한 실질적인 권장 사항: 위협을 모니터링하고 신속하게 조치를 취하십시오. 이것이 피해를 입지 않는 유일한 방법입니다. 카스퍼스키 전문가들은 직설적으로 말합니다. SOC 팀에 최신 위협 인텔리전스를 제공해야 합니다. 카스퍼스키 위협 인텔리전스 포털은 이러한 위협에 대한 대응에 중요한 자산입니다.
하지만 이것이 전부는 아닙니다. 이러한 표적 위협을 탐지할 수 있도록 팀을 교육하는 것이 필수적입니다. 카스퍼스키는 이러한 새로운 유형의 공격에 대응하기 위해 공인 전문가가 개발한 온라인 교육 과정을 제공합니다.
공격 발생 시 신속한 대응을 위해서는 카스퍼스키 엔드포인트 탐지 및 대응(EDR) 솔루션과 같은 EDR 솔루션이 필수적입니다. 이러한 솔루션은 사고가 확산되기 전에 이를 탐지하고 격리합니다.
네트워크 보호와 팀 차원의 보안 인식은 그 어느 때보다 중요합니다. 방어는 엔드포인트에서만 끝나지 않습니다. 카스퍼스키 안티 타겟드 어택 플랫폼(Kaspersky Anti Targeted Attack Platform)과 같은 엔터프라이즈급 네트워크 보안 플랫폼은 공격으로 인해 심각한 피해가 발생하기 전에 조기에 개입할 수 있도록 지원합니다.
Comments
Leave a comment