이란 정부 지원 해킹조직 머디워터(MuddyWater)가 랜섬웨어 조직으로 위장해 정보탈취 공격을 수행한 정황이 확인됐다. 이번 공격은 겉으로는 카오스 랜섬웨어 서비스 공격처럼 보였지만, 실제 목적은 파일 암호화가 아니라 계정 탈취, 내부 잠복, 데이터 유출에 가까웠다.
보안기업 래피드7은 올해 초 발생한 침해사고를 분석한 결과, 공격자가 마이크로소프트 팀즈를 이용해 직원에게 접근했다고 밝혔다. 공격자는 IT 지원 담당자처럼 대화하며 화면 공유를 유도했고, 이 과정에서 계정 정보와 다중인증 정보를 입력하게 했다. 이후 애니데스크 같은 원격관리 도구를 설치해 내부 접근 권한을 탈취했다.
래피드7은 “이번 공격은 일반 랜섬웨어 공격과 달리 파일 암호화를 거의 수행하지 않았다”며 “카오스 랜섬웨어 흔적은 공격 목적을 숨기기 위한 장치였을 가능성이 있다”고 분석했다. 공격자는 내부 정찰, VPN 설정 확인, 데이터 탈취를 진행한 뒤 피해 조직에 이메일로 금전을 요구했다.
머디워터가 꼬리가 잡힌 것은 코드서명 인증서다. 래피드7은 해당 파일이 과거 머디워터 공격에서도 쓰인 ‘Donald Gay’ 명의 인증서로 서명됐다고 설명했다.
체크포인트 관계자도 "이란 연계 조직이 범죄형 랜섬웨어 생태계를 이용해 국가 차원의 목적을 숨기고 있다”고 평가했다. 또 다양한 공개·상용 도구를 섞어 쓰며 추적을 어렵게 만들고 있다고 분석했다.
국내 기업도 팀즈 외부 채팅, 화면 공유, 원격제어 프로그램 설치에 주의해야하고, 특히 IT 지원을 사칭한 연락, 갑작스러운 MFA 요청, 원격 접속 도구 설치 요구는 즉시 보안팀에 신고해야 한다.
댓글
0