카스퍼스키, 산업 조직을 표적으로 한 사이버 공격 탐지

공격자는 합법적인 클라우드 컴퓨팅 서비스를 이용해 맬웨어를 관리하고 복잡하고 다단계의 공격 파이프라인을 구축해 침입 탐지 시스템을 우회합니다. 이를 통해 악의적인 사람들은 피해자의 네트워크 시스템에 맬웨어를 퍼뜨리고, 원격 제어 도구를 설치하고, 장치를 제어하고, 기밀 정보를 훔치고 삭제할 수 있습니다.

카스퍼스키는 사이버 범죄자들이 네트워크 방어를 교묘하게 회피하는 방식을 설명하기 위해 이 캠페인에 SalmonSlalom이라는 이름을 붙였습니다.

카스퍼스키 ICS CERT 전문가들은 아시아 태평양 (APAC) 지역의 산업 조직을 표적으로 삼은 사이버 공격 캠페인을 발견했습니다. 이 캠페인은 대만(중국), 말레이시아, 중국, 일본, 태국, 한국, 싱가포르, 필리핀, 베트남 등 아시아 태평양(APAC) 지역의 여러 국가에 있는 정부 기관과 중공업 조직을 대상으로 했습니다.

해커는 세금 관련 문서로 위장한 악성 코드가 포함된 압축 파일을 사용하여 WeChat, Telegram과 같은 이메일 및 메시징 앱을 통한 피싱 캠페인을 통해 확산시킵니다. 복잡한 다층 맬웨어 설치 과정이 시스템에 설치되면 사이버 범죄자는 FatalRAT이라는 백도어를 설치하게 됩니다.

이 캠페인은 Gh0st RAT, SimayRAT, Zegost, FatalRAT 등 오픈소스 원격 접속 맬웨어(RAT)를 사용하는 이전의 공격과 유사점이 있지만, 전문가들은 전술, 기술, 운영 방식에 상당한 변화가 있음을 발견했으며, 이러한 모든 변화는 중국어를 사용하는 조직과 기관을 표적으로 삼도록 맞춤화되었습니다.

카스퍼스키는 사이버 범죄자들이 정교한 전술과 끊임없이 변화하는 방법을 통해 네트워크 방어를 교묘하게 회피하는 모습을 묘사하기 위해 이 캠페인에 SalmonSlalom이라는 이름을 붙였습니다. 마치 장애물을 극복하기 위해 인내심과 독창성이 필요한 빠르고 힘든 여정을 헤엄치는 연어와 유사합니다.

이러한 공격 캠페인으로부터 중공업 조직을 사전에 보호하기 위해 카스퍼스키는 다음과 같은 조치를 권장합니다.

- 보안 솔루션의 관리 계정과 웹 인터페이스에 로그인할 때는 항상 2단계 인증(2FA)을 활성화하고 요구하세요.

- 시스템 전반에 최신 버전의 중앙 보안 솔루션을 설치하고, 바이러스 백신 데이터베이스와 프로그램 모듈을 정기적으로 업데이트합니다.

- 법률에 따라 클라우드 보안 서비스 사용이 제한되지 않은 시스템 그룹을 대상으로 최신 위협(예: Kaspersky Security Network 등)에 대한 정보를 업데이트합니다.

- Kaspersky Unified Monitoring and Analysis Platform과 같은 보안 모니터링 시스템(SIEM)을 구축합니다.

카스퍼스키 ICS CERT 책임자인 예브게니 곤차로프는 "사이버 범죄자들은 ​​운영 기술(OT) 환경에서도 비교적 간단한 기법을 사용하여 목표를 달성합니다. 이번 캠페인은 아시아 태평양 지역의 중견 기업들에게 악의적인 공격자가 OT 시스템에 원격으로 침투할 수 있다는 경고를 던지고 있습니다. 기업들은 이러한 위협에 대한 인식을 높이고, 방어 체계를 강화하며, 사이버 공격으로부터 자산과 데이터를 보호하기 위해 선제적으로 대응해야 합니다."라고 말했습니다.

김탄