중앙아시아 정부 노린 UAT-6275…윈라 취약점·깃허브 악용해 침투

핵심 요약

공격집단 UAT-6275가 중앙아시아 및 독립국가연합(CIS) 정부기관을 대상으로 사이버 첩보 활동을 수행했으며, 이 과정에서 윈라(WinRAR) 취약점과 깃허브(GitHub)에 호스팅된 공격용 스크립트 등을 악용한 것으로 확인되었다. UAT-6275는 악성 문서, 실행파일, 바로가기 파일, 취약한 압축파일 등 다양한 초기 침투 경로(Initial Access, TA0001)를 활용하여 시스템에 침투했으며, 특히 윈라 취약점과 깃허브를 악용하여 악성코드를 유포하고 명령을 실행하는 전술을 사용했다. IT 감사인은 이러한 공격 동향을 바탕으로 조직 내 소프트웨어 취약점 관리 체계와 외부 서비스(예: GitHub) 활용에 대한 보안 통제를 점검하고, 최신 위협에 대한 방어 역량을 강화할 필요가 있음을 시사한다.

개선 권고안

• ✔기술적 조치조직 내 사용되는 모든 상용 소프트웨어(특히 WinRAR과 같은 압축 프로그램)에 대해 최신 보안 패치를 즉시 적용하고, 자동 업데이트 기능을 활성화하여 최신 취약점으로부터 시스템을 보호해야 함을 권고함.
• ✔기술적 조치깃허브(GitHub)와 같은 외부 코드 저장소 및 파일 공유 서비스에 대한 접근 통제 정책을 강화하고, 해당 서비스를 통한 악성코드 유포 및 명령 제어(C2) 시도를 탐지하기 위한 네트워크 및 엔드포인트 보안 솔루션의 규칙을 고도화하여 적용해야 함을 권고함.
• ✔기술적 조치악성 문서, 실행파일, 바로가기 파일 등 다양한 초기 침투 벡터에 대한 엔드포인트 탐지 및 대응(EDR) 솔루션의 탐지 규칙을 최신 위협 인텔리전스를 기반으로 주기적으로 업데이트하고, 행위 기반 분석 기능을 강화하여 알려지지 않은 위협에 대한 방어 역량을 확보해야 함을 권고함.
• ✔관리적 조치최신 위협 인텔리전스(CTI)를 수집, 분석, 활용하는 프로세스를 수립하고, 이를 기반으로 조직의 보안 정책 및 통제를 주기적으로 검토 및 업데이트할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 악성 문서, 피싱 이메일, 의심스러운 외부 링크 클릭 등 사회공학적 공격 기법에 대한 보안 교육을 정기적으로 실시하여 사용자 인식을 제고하고, 초기 침투 시도를 방어할 수 있도록 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기