난독화된 자바스크립트 또는 아무것도 아님 (4월 9일 목요일)

핵심 요약

피싱 이메일을 통해 RAR 압축 파일 형태로 난독화된 악성 자바스크립트 코드가 유포되었으며, 초기 안티바이러스 탐지율이 낮은 것으로 확인되었습니다. 공격자는 사용자의 시스템에 초기 접근(Initial Access)하기 위해 피싱(Phishing) 기법을 활용하고, 악성 코드의 탐지를 회피하고자 자바스크립트 코드 난독화(Obfuscated Files or Information, T1027) 및 압축 파일 내 포함(Encrypted/Encoded File, T1027.013) 전술을 사용했습니다. 특히, 자바스크립트(T1059.007)는 플랫폼 독립적으로 실행될 수 있어 광범위한 시스템에 위협이 됩니다. IT 감사인은 이러한 지능적인 초기 접근 및 탐지 회피 기법에 대한 내부 통제 및 기술적 방어 체계의 효과성을 점검하고, 임직원 보안 인식 제고의 중요성을 인식해야 합니다.

💡 개선 권고안

• ✔기술적 조치이메일 보안 게이트웨이 및 APT 방어 솔루션의 첨부파일 분석 기능을 강화하여 RAR 압축 파일 내 자바스크립트와 같은 실행 가능한 악성 코드에 대한 탐지 및 차단 정책을 고도화할 것을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR/백신)의 행위 기반 분석 및 머신러닝 기능을 활용하여 난독화된 스크립트의 비정상적인 실행을 탐지하고 차단하는 기능을 최신 상태로 유지하고, 주기적인 업데이트를 적용해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 피싱 이메일, 악성 첨부파일(특히 압축 파일 내 스크립트)의 위험성에 대한 보안 인식 교육을 정기적으로 실시하고, 모의 피싱 훈련을 통해 실제 위협 대응 능력을 강화할 것을 권고함.
• ✔관리적 조치보안 관제 시스템(SIEM)에서 이메일 보안 솔루션, EDR 등의 로그를 연동하여 난독화된 스크립트 실행 시도 및 관련 이벤트를 실시간으로 모니터링하고, 이상 징후 발생 시 즉각적인 대응 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문