침묵의 "폭풍": 새로운 정보 탈취 악성코드, 세션 탈취 및 서버 측 복호화

핵심 요약

새로운 "Storm" 정보 탈취 악성코드가 로컬 복호화를 우회하여 브라우저 데이터를 공격자 서버로 전송하고, 이를 통해 세션 탈취 및 비밀번호와 다단계 인증(MFA) 우회를 가능하게 합니다. 이 악성코드는 사용자 시스템에 침투하여 웹 브라우저에 저장된 세션 정보 및 인증 데이터를 탈취하는 전술(MITRE ATT&CK T1550.004 Web Session Cookie, T1555.003 Credentials from Web Browsers)을 사용하며, 공격자 서버에서 탈취 데이터를 복호화하여 인증 우회(MITRE ATT&CK T1185 Browser Session Hijacking)를 시도합니다. IT 감사인은 이러한 신종 정보 탈취 악성코드가 기존의 보안 통제를 우회할 수 있음을 인지하고, 엔드포인트 보안 강화 및 세션 관리 정책의 적정성을 중점적으로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR, 백신)의 최신 위협 인텔리전스 업데이트 주기를 단축하고, "Storm"과 같은 신종 정보 탈취 악성코드의 행위 기반 탐지 및 차단 규칙을 지속적으로 고도화하여 적용해야 함을 권고함.
• ✔기술적 조치웹 애플리케이션의 세션 관리 정책을 강화하여 세션 타임아웃을 적절히 설정하고, 세션 쿠키에 HttpOnly, Secure, SameSite 속성을 필수적으로 적용하며, IP 고정 등 세션 하이재킹 방어 메커니즘을 구현할 것을 권고함.
• ✔기술적 조치다단계 인증(MFA) 우회 공격에 대비하여, 비정상적인 접근 시도(예: 비정상적인 IP, 위치, 시간대)를 탐지하고 차단하는 추가적인 인증 및 접근 통제 메커니즘을 도입 및 적용해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 최신 정보 탈취 악성코드의 공격 수법(예: 피싱, 악성 웹사이트 접속) 및 세션 하이재킹의 위험성에 대한 보안 교육을 정기적으로 실시하여 보안 인식을 강화할 것을 권고함.
• ✔관리적 조치정보보호최고책임자(CISO)는 신종 악성코드 및 공격 기법에 대한 위협 인텔리전스를 지속적으로 모니터링하고, 이를 기반으로 조직의 보안 정책 및 통제 체계를 주기적으로 검토 및 업데이트하는 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문