Chinese APT deploys new malware to keep access to hacked networks

핵심 요약

중국 정부 지원 해킹 그룹 UNC5221이 Microsoft 365 환경에 침투하여 Brickstorm 백도어와 Plenet, AgentPSD 등 미공개 악성코드를 배포하여 지속적인 접근 권한을 유지하고 있습니다. 이들은 Microsoft 365 환경의 취약점을 악용하거나 계정 탈취를 통해 초기 침투 후, 새로운 악성코드를 활용하여 시스템 내부에 영구적인 접근 채널을 구축하는 전술(T1176 Software Extensions, T1588.001 Malware)을 사용합니다. IT 감사인은 클라우드 서비스(특히 M365)에 대한 접근 통제, 이상 행위 탐지 및 대응 체계가 APT 공격에 효과적으로 대응할 수 있는지 면밀히 점검하고, 미공개 악성코드에 대한 위협 인텔리전스 활용 및 제로 트러스트(Zero Trust) 원칙 적용을 강화해야 합니다.

💡 개선 권고안

• ✔기술적 조치Microsoft 365 환경에 대한 다단계 인증(MFA)을 모든 사용자 및 관리자 계정에 의무화하고, 조건부 접근 정책을 강화하여 비정상적인 접근 시도를 차단할 것을 권고함.
• ✔기술적 조치Microsoft 365의 감사 로그(Audit Log) 및 Azure AD 로그인 로그를 SIEM(보안 정보 및 이벤트 관리) 솔루션과 연동하여 비정상적인 로그인 패턴, 관리자 활동, 데이터 접근 시도 등을 실시간으로 탐지하고 경고하는 시스템을 구축 및 고도화할 것을 권고함.
• ✔기술적 조치Microsoft 365 Defender for Endpoint, Defender for Cloud Apps 등 클라우드 네이티브 보안 솔루션을 활용하여 엔드포인트 및 클라우드 애플리케이션 전반에 걸쳐 악성코드 탐지 및 위협 대응 능력을 강화하고, 미공개 악성코드에 대한 위협 인텔리전스를 지속적으로 업데이트하여 적용해야 함을 권고함.
• ✔관리적 조치클라우드 서비스(Microsoft 365)에 대한 보안 정책을 재검토하고, APT 공격 및 제로데이 위협에 대비한 구체적인 대응 절차를 포함하여 업데이트할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 클라우드 환경에서의 보안 위협(피싱, 계정 탈취 등)에 대한 정기적인 보안 교육을 실시하고, 의심스러운 활동 발견 시 보고 절차를 숙지하도록 하여 보안 인식 수준을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문