공격자들, 이중 RMM 피싱 공격에서 MSP360을 악용하여 ScreenConnect 배포

핵심 요약

공격자들이 마이크로소프트의 경고에 따라 MSP360 원격 모니터링 및 관리(RMM) 소프트웨어 설치 프로그램을 배포하는 피싱 캠페인을 통해 원격 접근을 시도하고 있습니다. 이 캠페인은 회의 초대, PDF 테마, 소프트웨어 업데이트 프롬프트 등 다양한 사회 공학적 기법(T1566 Phishing)을 사용하여 사용자가 악성 파일(T1204.002 Malicious File)을 실행하도록 유도하며, 합법적인 RMM 도구를 악용하여 시스템에 지속적인 원격 접근을 확보하는 것이 특징입니다. IT 감사인은 이러한 공격이 내부 시스템에 대한 무단 접근 및 데이터 유출로 이어질 수 있음을 인지하고, 조직의 피싱 방어 체계 및 원격 관리 도구 사용 정책의 적절성을 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치이메일 보안 솔루션(예: EDR, SIEM)의 피싱 탐지 규칙을 고도화하고, 특히 회의 초대, PDF, 소프트웨어 업데이트 프롬프트 등 사회 공학적 요소를 포함하는 메일에 대한 탐지 및 차단 기능을 강화할 것을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR)을 통해 승인되지 않은 원격 모니터링 및 관리(RMM) 소프트웨어의 설치 및 실행을 탐지하고 차단하는 정책을 수립 및 적용해야 함을 권고함.
• ✔기술적 조치네트워크 경계에서 외부 RMM 서버로의 비정상적인 통신을 모니터링하고, 허용된 RMM 트래픽에 대해서는 엄격한 접근 제어 및 인증 절차를 적용해야 함을 권고함.
• ✔관리적 조치원격 모니터링 및 관리(RMM) 소프트웨어의 도입, 설치, 사용 및 폐기에 대한 명확한 정책과 절차를 수립하고, 이에 대한 정기적인 감사 및 승인 프로세스를 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 최신 피싱 공격 기법(합법적인 소프트웨어 악용, 사회 공학적 유도 등)에 대한 정기적인 보안 교육을 실시하고, 의심스러운 메일 및 파일에 대한 신고 절차를 명확히 안내하여 보안 인식을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기