리눅스용 새로운 GoGra 멀웨어, 통신에 Microsoft Graph API 사용

핵심 요약

리눅스 환경을 표적으로 하는 GoGra 백도어의 새로운 변종이 발견되었으며, 이 멀웨어는 합법적인 Microsoft Graph API와 Outlook 받은 편지함을 악용하여 은밀하게 페이로드를 전달합니다. 공격자는 합법적인 클라우드 서비스 API를 악용하여 탐지를 우회하고 지속성을 확보하는 전술(MITRE ATT&CK T1059.009 Cloud API, T1114.002 Remote Email Collection)을 사용하며, 이는 기존 보안 솔루션의 탐지를 회피하고 내부 시스템에 침투할 수 있는 새로운 공격 벡터를 제시합니다. IT 감사인은 이러한 합법적인 서비스 악용 사례를 통해 클라우드 API 사용 및 이메일 시스템에 대한 보안 통제와 모니터링 체계의 적정성을 점검하고, 이상 행위 탐지 역량을 강화해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치리눅스 서버에 대한 EDR(Endpoint Detection and Response) 솔루션을 도입하거나 기존 솔루션의 탐지 규칙을 GoGra 멀웨어와 같이 합법적인 채널을 악용하는 신규 위협에 대응할 수 있도록 지속적으로 업데이트 및 고도화할 것을 권고함.
• ✔기술적 조치Microsoft 365 환경에서 Graph API 호출 및 Outlook 사용에 대한 감사 로그를 강화하고, SIEM(Security Information and Event Management) 시스템과 연동하여 비정상적인 API 호출 패턴, 대량의 이메일 전송/수신, 의심스러운 첨부 파일 활동 등을 실시간으로 탐지하고 경고하는 규칙을 수립 및 적용해야 함을 권고함.
• ✔기술적 조치이메일 보안 게이트웨이(Email Security Gateway) 및 ATP(Advanced Threat Protection) 솔루션의 기능을 최적화하여, 알려지지 않은 악성코드 및 스피어피싱 공격에 대한 방어 역량을 강화하고, 특히 실행 가능한 페이로드나 스크립트가 포함된 첨부 파일에 대한 검역 및 차단 정책을 강화할 것을 권고함.
• ✔관리적 조치클라우드 서비스(Microsoft 365 등)의 API 사용에 대한 보안 정책을 수립하고, API 접근 권한을 최소한으로 부여하며, 정기적인 접근 권한 검토 및 감사 절차를 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 합법적인 서비스(이메일, 클라우드 API)를 악용하는 최신 공격 기법에 대한 보안 교육을 정기적으로 실시하여, 의심스러운 이메일이나 시스템 동작에 대한 인지도를 높이고 즉시 신고할 수 있도록 인식 제고 활동을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문