구글 클라우드 맨디언트 연구팀 분석 자료 이미지
구글 클라우드 산하 맨디언트 연구팀은 "UNC6692로 추적되는 위협 행위자가 마이크로소프트 팀즈를 악용해 피해자에게 접근한 뒤, ‘스노우’로 명명된 맞춤형 악성코드 묶음을 배포했다"고 밝혔다.
공격자는 이메일을 대량 발송해 피해자의 업무 환경을 혼란스럽게 만든 뒤, 팀즈에서 IT 헬프데스크 직원으로 위장해 접근했다. 이후 “스팸 메일 문제를 해결하기 위한 패치”라고 속여 악성 파일을 설치하게 했다.
이번 공격은 UNC6692로 추적되는 위협 그룹이 수행한 것으로 분석됐다. 공격에는 ‘스노우(Snow)’로 불리는 맞춤형 악성코드 묶음이 사용됐다. 이 악성코드는 악성 브라우저 확장 프로그램, 터널링 도구, 백도어로 구성됐다. 단순 피싱을 넘어 기업 내부망 깊숙이 침투한 뒤 계정 정보를 빼내고 도메인 장악까지 노리는 구조였다.
이메일 폭탄으로 혼란 만든 뒤 팀즈로 접근
공격은 대량의 이메일 발송에서 시작됐다. 피해자는 갑자기 쏟아지는 메일 때문에 업무에 불편을 겪게 됐다. 이 시점에 공격자는 마이크로소프트 팀즈로 메시지를 보내 “메일 폭주 문제를 해결해 주겠다”며 IT 지원 담당자처럼 행동했다.
피해자는 외부 계정에서 온 팀즈 초대를 수락했고, 공격자는 스팸 차단용 로컬 패치를 설치하라고 안내했다. 그러나 해당 링크는 정상 보안 패치가 아니었다. 링크를 클릭하면 공격자가 관리하는 아마존웹서비스(AWS) S3 저장소에서 오토핫키(AutoHotkey) 실행 파일과 스크립트가 내려받아졌다. 이 스크립트는 초기 정찰을 수행한 뒤 악성 크로미엄(Chromium) 기반 브라우저 확장 프로그램인 스노우벨트(SnowBelt)를 설치했다.
이 방식은 최근 사이버 범죄자들이 자주 사용하는 ‘헬프데스크 사칭’ 수법이다. 공격자는 이메일 피싱만 보내는 것이 아니라, 피해자가 매일 사용하는 협업 도구 안으로 직접 들어와 정상적인 IT 지원 절차처럼 보이게 만들었다. 마이크로소프트도 최근 외부 팀즈 협업 기능과 원격 지원 도구가 사회공학 공격에 악용되는 사례가 늘고 있다고 경고하고 있다.
몰래 실행되는 브라우저 확장 프로그램
스노우벨트는 피해자가 눈치채기 어렵게 동작한다. 공격자는 마이크로소프트 엣지를 헤드리스 모드로 실행했다. 헤드리스 모드는 화면에 브라우저 창을 띄우지 않고 백그라운드에서 실행하는 방식이다. 사용자는 브라우저가 실행되고 있다는 사실을 쉽게 알 수 없었다.
스노우벨트는 오랜기간 활동하기 위해 예약 작업과 시작 폴더 바로가기도 만들었다. 시스템이 재부팅돼도 악성 기능이 다시 실행될 수 있도록 하기 위한 조치였다. 이 악성 확장 프로그램은 공격자의 명령을 받아 다음 단계 악성코드로 전달하는 중간 통로 역할도 했다.
스노우 악성코드 묶음은 크게 세 가지로 구성됐다. 스노우벨트는 명령을 전달하고 지속성을 유지했다. 스노우글레이즈(SnowGlaze)는 웹소켓(WebSocket) 터널을 만들어 감염된 내부 시스템과 공격자 명령제어 서버 사이 통신을 숨겼다. 스노우베이슨(SnowBasin)은 파이썬 기반 백도어로, 감염 시스템에서 명령을 실행하고 결과를 다시 공격자에게 보냈다.
내부망 정찰과 도메인 장악 시도
감염 이후 공격자는 내부망을 정찰했다. 서버 메시지 블록(SMB), 원격 데스크톱 프로토콜(RDP) 같은 서비스를 찾아 추가 침투 대상을 확인했다. 이후 확보한 계정 정보를 이용해 내부 시스템 간 이동을 시도했다.
공격자는 LSASS 메모리를 덤프해 인증 정보를 확보했다. LSASS는 윈도 환경에서 로그인 세션과 인증 정보를 처리하는 핵심 프로세스다. 이 정보가 탈취되면 공격자는 비밀번호를 몰라도 계정 권한을 이용해 다른 시스템에 접근할 수 있다. 실제 공격에서는 패스더해시(pass-the-hash) 기법도 사용됐다. 이는 탈취한 해시 값을 이용해 추가 시스템에 인증하는 방식이다.
최종 단계에서는 포렌식 도구인 FTK 이미저가 사용됐다. 공격자는 이를 이용해 액티브 디렉터리 데이터베이스와 시스템, 보안 계정 관리자(SAM), 보안 레지스트리 하이브를 추출했다. 이 파일들은 도메인 전체 계정과 인증 정보 분석에 악용될 수 있다. 이후 공격자는 라임와이어를 이용해 해당 데이터를 외부로 빼낸 것으로 조사됐다.
신뢰받는 업무 도구가 공격 통로로 악용
이 사례는 기업 보안에서 협업 도구 관리가 얼마나 중요해졌는지를 보여준다. 공격자는 제로데이 취약점을 먼저 악용한 것이 아니라, 사용자가 신뢰하는 업무 도구와 IT 지원 절차를 이용했다. 이메일 폭탄으로 불편을 만든 뒤, 바로 해결책을 제시하는 방식으로 피해자의 판단 시간을 줄였다.
기업은 팀즈 메시지와 초대 정책을 점검할 필요가 있다. 외부 사용자가 내부 임직원에게 직접 연락할 수 있는 범위를 제한하고, 헬프데스크 계정 표시 방식과 지원 절차를 명확히 해야 한다. 직원 교육도 단순히 “수상한 메일을 열지 말라”는 수준을 넘어 팀즈, 원격지원 도구, 브라우저 확장 프로그램 설치 요청까지 의심할 수 있도록 실제 업무 상황에 맞춘 훈련이 필요한 상황이다.
댓글
0