맨디언트 “IAB, 초기 공격 발판 마련 후 2차 조직에 넘기기까지 평균 22초 소요”
IAB, 초기 감염 과정서 2차 그룹 선호하는 악성코드·터널 설치
이메일 피싱 6%로 줄어···음성 기반 피싱으로 전환
장기간 첩보활동·위장취업 증가하며 드웰타임 늘어
[데이터넷] 사이버 공격 조직 중 초기 침투 브로커(IAB)가 공격 발판을 마련한 후 랜섬웨어 조직에 넘기기까지 걸리는 시간은 평균 22초에 불과하다. 2022년 8시간에서 99.92%나 줄어든 것이다.
구글 클라우드 시큐리티 맨디언트의 연례 보고서 ‘엠트렌드(M-Trends) 2026’에 따르면 사이버 범죄 생태계 내 전문화와 협력이 심화되고 있으며, 그 예로 IAB가 2차 공격그룹에 접근 권한을 넘기기까지 걸리는 시간이 빠르게 단축되고 있다는 사실을 언급했다.
IAB는 악성 광고, 클릭픽스 등 비교적 쉽게 사용자를 속일 수 있는 소셜 엔지니어링 기법을 사용해 공격 발판을 마련한다. 이 접근 권한을 랜섬웨어와 같은 고위험 공격을 실행하는 2차 그룹에 판매한다.
IAB는 초기 감염 과정에서 2차 그룹이 선호하는 악성코드나 터널을 미리 설치한다. 이는 2차 공격자가 네트워크에 처음 접근하는 순간부터 즉시 공격을 시작할 수 있도록 사전 준비가 완료된 상태라는 사실을 의미한다.
공격자들이 조직을 침해하는 방식에서도 유사한 패턴이 나타난다. 맨디언트가 분석한 침해사고 중 기존에 사용된 침투 경로를 이용한 것이 10%로 세 번째로 많이 사용한 경로인 것으로 나타났다. 랜섬웨어 공격의 경우 30%를 차지하며, 이는 2024년 15%에 비해 두 배로 증가한 것이다.
랜섬웨어 공격에서 가장 많은 침투 방식이 이전에 사용된 침투 경로를 이용한 것으로, 전체 공격의 30%를 차지한다/ 구글 클라우드 시큐리티 맨디언트 ‘M-Trends 2026’
OAuth 토큰 탈취해 공급망 공격 벌여
공격에 가장 많이 사용되어온 이메일 피싱은 전체 사고의 6%로 줄어들었다. 보고서에서는 공격자가 이메일보다 상호작용이 활발한 음성 기반 소셜 엔지니어링으로 전환되고 있다고 설명했다. UNC3944가 IT 헬프데스크를 속여 MFA를 우회하고 SaaS에 대한 초기 액세스 권한을 얻는 것을 대표적인 예로 들 수 있다.
공격자는 장기 유지되는 OAuth 토큰과 세션 쿠키를 획득해 표준 방어 체계를 우회한다. 그리고 타사 SaaS 공급업체를 침해해 하드코딩된 키와 개인 액세스 토큰을 탈취하고, 이 조직의 고객 환경으로 침투해 데이터를 탈취한다.
랜섬웨어 공격 방식도 대대적으로 변했다. 랜섬웨어는 데이터 암호화에 그치지 않고 백업 인프라, ID 서비스 및 가상화 관리 영역까지 적극적으로 공격한다. 레드바이크(아키라), 어젠다(퀼린)이 대표적인 그룹이다.
잘못 구성된 AD 인증서 서비스 템플릿 악용 공격도 빈번해지고 있다. 공격자는 암호 순환을 우회하는 관리자 계정을 생성하고 클라우드 스토리지에서 백업 객체를 삭제한다. 하이퍼바이저의 ‘티어0’ 특성을 이용해 게스트 수준의 방어 체계를 우회한다. 가상화 스토리지 계층을 직접 공격하거나 하이퍼바이저 데이터 저장소를 암호화함으로써, 연결된 모든 가상 머신을 동시에 작동 불능 상태로 만든다.
취약점 공개 7일 전부터 악용
공격자가 조직에 침투해 탐지되기까지 걸리는 시간을 말하는 ‘드웰타임(Dwell Time)’이 늘어난 것도 중요한 변화다. 드웰타임은 2011년 416일에서 2024년 11일로 지속적으로 줄어들었지만, 2024년 11일에서 2025년 14일로 늘어났다. 드웰타임이 늘어난 것은 2016년 99일에서 2017년 101일로 증가한 것에 이어 두번째다.
드웰타임이 증가한 이유로 보고서는 방어 체계를 회피하는 기술이 더욱 정교해졌기 때문이라고 고 설명했다. 특히 사이버 스파이 활동, 북한 IT 종사자 관련 사건의 경우, 두 범주 모두 평균 체류 시간이 122일에 달해 드웰타임을 증가시키는 요인이 되었다.
장기간 첩보활동을 UNC6201·UNC5807는 VPN·라우터와 같은 엣지·코어 네트워크 장치를 공격한다. 이 장치의 기본 패킷 캡처 기능을 활용해 네트워크를 전송하는 민감한 데이터와 평문 자격 증명을 직접 가로챌 수 있다.
또한 공격자는 맞춤형 인메모리 멀웨어를 네트워크 장비에 배포해 시스템을 재부팅해도 지속적으로 활동하도록 했다. 엣지 장비는 보안 도구를 설치할 수 있는 리소스가 부족하고, 오래된 OS를 사용하기 때문에 EDR/AV 설치가 어렵다. 파일 시스템 또는 메모리 포렌식 분석도 쉽지 않아 침해를 인지하는데 한계가 있다.
보안 팀은 공격자의 존재를 확인하거나 복구 범위를 적절히 설정하는 데 필요한 증거를 확보하지 못해 보안 사각지대로 남게 된다. 대표적인 예로 400일간 활동한 브릭스톰(BRICKSTORM)을 들 수 있다. 로그 저장 정책이 보통 90일에 그치기 때문에 400일 전에 감염된 브릭스톰의 최초 접근 경로와 침입의 전체 범위를 전혀 파악할 수 없었다.
공격에 가장 많이 사용되는 것은 취약점 공격으로, 전체 침입의 32%를 차지했다. 취약점과 패치가 공개되기 평균 7일 전부터 공격에 악용되고 있어 제로데이 위협이 한층 더 높아졌다.
AI 이용해 침해 환경 최적화된 공격 진행
보고서에서는 AI를 활용하는 공격에 주의해야 한다고 당부했다. 공격자들은 공격 주기를 단축시키기 위해 AI를 사용하고 있다. 프롬프트플럭스(PROMPTFLUX), 프롬프트스틸(PROMPTSTEAL) 등의 악성코드는 공격 실행 도중 AI에 쿼리를 보내 침해 환경에 적합한 스크립트를 작성하도록 명령한다. 자격 증명 탈취 악성코드 콰이어트볼트(QUIETVAULT)는 대상 시스템에서 로컬 AI 명령줄 도구를 검사하고, 미리 정의된 프롬프트를 실행해 구성 파일을 검색한다.
증류 공격(Distillation Attack)을 이용해 고가치 AI 모델의 핵심 로직과 특수 학습 데이터를 추출하는 사고도 연이어 공개되고 있다.
맨디언트는 2025년까지 AI로 인한 직접적인 침해사고가 발생하지는 않았으며, 대부분의 사고는 인적·시스템 오류로 인한 것이라고 설명했다. 그러나 AI 기반 기능이 진화하면서 언제든지 AI 기반 공격 가능성에 대비해야 한다. 여러 유형의 인젝션 기술을 테스트해 방어 전략을 마련하며, 개발자 툴체인 악용과 같은 AI 구현과 관련된 고유한 위험 요소를 파악하고 조치해야 한다.
공격자보다 앞선 보호 정책 마련해야
맨디언트는 공격자의 속도보다 앞서 보호하기 위해 다음의 조치를 취할 것을 권고했다.
중요도가 낮은 경고도 중요 지표로 간주:
IAB에서 2차 공격자로 이어지는 시간이 몇 초 단위로 단축됨에 따라 보안 팀은 대응 플레이북을 재구성해야 한다. 일상적인 악성코드 경고를 임박한 2차 침입의 고우선순위 지표로 간주하고, 사용자가 공격자에게 속아 직접 키보드에 공격 명령어를 입력하기 전에 조치해야 한다.
핵심 제어 영역 격리:
가상화 및 관리 플랫폼은 가장 엄격한 접근 제한이 적용되는 Tier-0 자산으로 취급해야 한다. 복구 기능 파괴에 대응하기 위해 백업 환경은 회사 AD 도메인에서 분리하고 변경 불가능한 스토리지를 사용해야 한다.
지속적인 신원 확인으로의 전환:
대화형 소셜 엔지니어링은 MFA을 우회하는 경우가 많으므로, 엄격한 최소 권한 정책을 시행하고, SaaS 통합을 정기적으로 감사하며, 모든 SaaS 애플리케이션을 중앙 ID 공급자(IdP)를 통해 라우팅해야 한다.
정적 침해지표(IOC)에서 행동 기반 이상 탐지로의 전환:
공격자들이 인프라를 빠르게 변경하고 맞춤형 인메모리 멀웨어를 배포함에 따라, 정적 침해지표(IOC)에만 의존하는 것은 충분하지 않다. 방어자는 비정상적인 활동과 설정된 기준선에서 벗어난 행위를 탐지하는 행동 기반 탐지 모델을 구현해야 한다. 특히 엣지 디바이스에 대한 무단 접근, 비정상적인 대량 API 작업, 또는 SaaS 통합 토큰의 의심스러운 사용과 관련된 활동에 초점을 맞춰야 한다.
가시성 확대 및 로그 보존 기간 연장:
전체 생태계에 고급 위협 탐지 기능을 배포해야 한다. 수년간 지속되는 침입으로 인한 가시성 격차를 해소하려면 조직은 표준 90일 기간을 넘는 로그 보존 정책을 시행해야 한다. 특히 애플리케이션 및 관리 로그와 같은 중요 네트워크 장치 로그와 하이퍼바이저 수준의 원격 측정 데이터를 중앙 집중식 장기 저장소로 전송해 정교한 공격자가 악용하는 사각지대를 제거해야 한다.
Tag
댓글
0