호텔 와이파이 탈취해 가짜 업데이트로 감시 악성코드 유포

핵심 요약

마이크로소프트 보고서에 따르면, APT29(Midnight Blizzard)의 하위 조직인 Storm-2945가 탈취된 호텔 와이파이를 통해 가짜 브라우저 업데이트를 유포하여 원격 액세스 트로이목마(RAT)인 CornFlake를 설치한 사건이 발생했습니다. 공격자들은 CaptiveCrunch 작전을 통해 사용자의 웹캠 이미지, 마이크 오디오, 키 입력을 캡처하는 등 민감한 정보를 탈취했으며, 이는 MITRE ATT&CK의 Input Capture(T1056) 및 Content Injection(T1659) 전술을 활용한 것으로 분석됩니다. IT 감사인 및 CISO는 이러한 지능형 지속 위협(APT) 공격에 대비하여 외부 네트워크 사용 환경에서의 보안 통제 강화, 소프트웨어 업데이트 프로세스 검증, 그리고 엔드포인트 탐지 및 대응(EDR) 시스템의 감시 역량 강화에 대한 시사점을 얻어야 합니다.

💡 개선 권고안

• ✔기술적 조치임직원의 외부 네트워크 사용 시 VPN 접속을 강제하고, 엔드포인트 보안 솔루션(EDR)을 통해 비정상적인 네트워크 트래픽 및 프로세스 행위를 실시간으로 모니터링 및 차단하도록 정책을 강화할 것을 권고함.
• ✔기술적 조치모든 소프트웨어 업데이트는 중앙 집중식 패치 관리 시스템을 통해 배포하고, 업데이트 파일의 무결성을 검증하는 절차를 의무화하여 가짜 업데이트 유포를 원천적으로 차단해야 함을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 탐지 규칙을 최신 위협 인텔리전스(특히 APT29 관련 전술 및 기법)와 연동하여 고도화하고, 웹캠, 마이크, 키보드 입력 등 민감 정보 접근을 시도하는 프로세스에 대한 감시 및 차단 기능을 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격(가짜 업데이트, 피싱 등) 및 공용 와이파이 사용 시 보안 수칙에 대한 정기적인 교육을 시행하고, 보안 인식 제고를 위한 캠페인을 수립 및 시행할 것을 권고함.
• ✔관리적 조치외부 네트워크 사용 환경에서의 보안 취약점을 식별하고 개선하기 위해 정기적인 모의 해킹 및 취약점 점검을 수행하고, 그 결과를 정보보호 관리체계에 반영하여 지속적으로 개선할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문