새로운 해킹 캠페인, Microsoft Windows WinRAR 취약점 악용

핵심 요약

체크포인트 연구원들은 중국의 '아마라스-드래곤' 해킹 캠페인이 Microsoft Windows 환경에서 널리 사용되는 WinRAR 소프트웨어의 취약점을 악용하고 있다고 밝혔다. 공격자들은 WinRAR 취약점을 활용하여 초기 접근(Initial Access)을 확보하고, 압축 파일(T1027.015 Compression)을 통해 악성 페이로드를 은닉하여 시스템에 침투하는 전술을 사용하는 것으로 분석된다. 이는 클라이언트 애플리케이션의 취약점 악용(T1203 Exploitation for Client Execution)을 통해 방어 회피(T1211 Exploitation for Defense Evasion)를 시도하는 전형적인 APT 공격 수법이다. IT 감사인은 이러한 공격이 국내 금융·공공·IT 서비스 조직의 사용자 단말 및 서버 환경에 광범위하게 설치된 WinRAR 소프트웨어를 통해 침투할 수 있음을 인지하고, 관련 취약점 관리 및 보안 통제 현황을 면밀히 점검해야 한다.

💡 개선 권고안

• ✔기술적 조치조직 내 모든 Microsoft Windows 기반 시스템에 설치된 WinRAR 소프트웨어의 버전을 최신 보안 패치가 적용된 버전으로 즉시 업데이트할 것을 권고함. 또한, WinRAR 사용이 필수적이지 않은 시스템에서는 해당 소프트웨어의 설치를 제거하거나, 보안성이 검증된 다른 압축 소프트웨어로 대체하는 방안을 검토할 것을 권고함.
• ✔기술적 조치EDR, 백신, 차세대 방화벽 등 엔드포인트 및 네트워크 보안 솔루션의 정책을 강화하여 WinRAR 관련 취약점 악용 시도 및 악성코드 유포 행위를 실시간으로 탐지하고 차단할 수 있도록 규칙을 최적화하고, 위협 인텔리전스를 지속적으로 업데이트할 것을 권고함.
• ✔관리적 조치WinRAR과 같은 상용 소프트웨어에 대한 취약점 관리 프로세스를 강화하고, 신규 취약점 발생 시 신속하게 인지하고 패치를 적용할 수 있는 비상 대응 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 WinRAR 취약점 악용 사례 및 안전한 파일 처리 방법에 대한 보안 교육을 강화하여 사회공학적 공격에 대한 경각심을 높이고, 의심스러운 파일은 실행하지 않도록 주의를 당부할 것을 권고함.
• ✔관리적 조치조직 내 소프트웨어 자산 관리 시스템을 활용하여 WinRAR을 포함한 모든 상용 소프트웨어의 설치 현황 및 버전 정보를 주기적으로 점검하고, 미인가 소프트웨어 설치를 통제하는 정책을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문