VPN부터 원격관리도구까지 악용…아누비스 랜섬웨어 공격 방식 진화

핵심 요약

아누비스 랜섬웨어 조직이 시트릭스 제품의 치명적인 취약점인 '시트릭스 블리드2(CVE-2025-5777)'와 탈취된 VPN 계정을 악용하여 기업 내부망에 침투한 사실이 확인되었습니다. 공격자들은 초기 접근(Initial Access)을 위해 외부 원격 서비스(T1133)의 취약점과 계정 탈취를 병행했으며, 탐지를 회피하기 위해 정상적인 원격관리 도구(Remote Access Tools, T1219)를 활용하여 내부망에서 데이터 탈취, 암호화 및 영구 삭제를 수행했습니다. 이는 외부 노출 시스템의 취약점 관리 미흡과 계정 보안의 중요성을 강조하며, IT 감사인은 외부 접근 경로에 대한 보안 통제 현황과 침해사고 대응 체계의 실효성을 면밀히 점검해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치외부망에 노출된 시트릭스(Citrix) 제품 및 VPN 솔루션에 대해 최신 보안 패치를 즉시 적용하고, CVE-2025-5777과 같은 치명적인 취약점이 존재하지 않도록 정기적인 취약점 점검 및 모의 해킹을 수행할 것을 권고함.
• ✔기술적 조치모든 VPN 및 원격관리 도구 접근 시 다중 인증(MFA)을 의무화하고, 강력한 비밀번호 정책을 적용하여 계정 탈취 위험을 최소화할 것을 권고함.
• ✔기술적 조치EDR, SIEM, XDR 솔루션을 활용하여 비정상적인 원격관리 도구 사용, 내부망에서의 비정상적인 데이터 전송, 그리고 랜섬웨어 행위(파일 암호화, 삭제)를 탐지하고 즉각적으로 차단할 수 있는 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치외부 원격 접근 서비스(VPN, VDI 등)에 대한 보안 정책을 재검토하고, 접근 통제 및 계정 관리 절차를 강화하여 비인가 접근을 원천적으로 차단할 수 있도록 개선할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 신속하게 대응하고 복구할 수 있도록 랜섬웨어 대응 플레이북을 최신화하고, 정기적인 모의 훈련을 통해 임직원의 대응 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문