Gamaredon Exploits WinRAR to Deliver GammaWorm and GammaSteel Against Ukraine

핵심 요약

러시아 해킹 그룹 Gamaredon이 WinRAR의 경로 탐색(path traversal) 취약점(CVE-2025-8088)을 악용하여 악성코드를 유포하고 데이터 탈취를 시도하는 활동이 포착되었습니다. 공격자들은 WinRAR 아카이브 내에 악성 HTML 애플리케이션(GammaPhish)을 삽입하여 실행하고, 이를 통해 GammaWorm 및 GammaSteel과 같은 추가 악성코드를 다운로드 및 실행하는 전술(Initial Access(TA0001), Execution(TA0002))을 사용했습니다. 이는 수집된 데이터를 압축하여 유출하기 전 준비하는 T1560.001 Archive via Utility 및 T1027.015 Compression 전술과도 연관됩니다. IT 감사인은 조직 내에서 널리 사용되는 상용 소프트웨어의 취약점 관리 현황과 사용자 대상 사회공학적 공격 방어 체계를 점검하여 잠재적 데이터 유출 및 시스템 침해 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 모든 시스템에서 사용되는 WinRAR 소프트웨어의 버전을 점검하고, CVE-2025-8088 취약점을 포함한 알려진 모든 보안 취약점에 대한 최신 패치를 신속하게 적용해야 함을 권고함.
• ✔기술적 조치이메일 게이트웨이, 웹 프록시, 엔드포인트 보안 솔루션(EDR, 백신) 등에서 악성 압축 파일(예: .rar, .zip) 및 HTML 애플리케이션(.hta) 파일에 대한 탐지 및 차단 규칙을 강화하고, 최신 위협 정보에 기반하여 지속적으로 업데이트해야 함을 권고함.
• ✔관리적 조치상용 소프트웨어 및 오픈소스 소프트웨어에 대한 취약점 관리 정책을 수립하고, 정기적인 취약점 스캐닝 및 패치 관리 프로세스를 강화하여 잠재적 보안 위협에 선제적으로 대응해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 WinRAR과 같은 압축 파일 및 이메일 첨부 파일에 대한 사회공학적 공격(스피어피싱)의 위험성을 교육하고, 의심스러운 파일 실행을 자제하도록 보안 인식 제고 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문