Formbook 멀웨어 캠페인, 탐지 회피를 위해 여러 난독화 기술 사용

핵심 요약

WatchGuard 연구원들은 Formbook 멀웨어 캠페인이 DLL 사이드 로딩과 난독화된 JavaScript를 조합하여 보안 솔루션의 탐지를 회피하고 있음을 밝혔다. 공격자는 Obfuscated Files or Information(T1027) 전술의 일환으로 Command Obfuscation(T1027.010) 및 Polymorphic Code(T1027.014)와 같은 고급 난독화 기술을 사용하여 악성 활동을 숨기고 있다. IT 감사인은 이러한 지능형 지속 위협(APT)에 대응하기 위해 엔드포인트 보안 솔루션의 탐지 우회 기법에 대한 통제 효과성을 점검하고, 최신 위협 인텔리전스를 기반으로 보안 시스템을 지속적으로 고도화해야 함을 시사한다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 탐지 규칙을 최신 위협 인텔리전스(TI) 및 Formbook과 같은 정보 탈취 멀웨어의 난독화 기법(DLL 사이드 로딩, 난독화된 JavaScript)에 대응할 수 있도록 지속적으로 업데이트하고, 행위 기반 분석 기능을 강화하여 알려지지 않은 위협에 대한 탐지 역량을 고도화할 것을 권고함.
• ✔기술적 조치웹 프록시 및 이메일 보안 게이트웨이에서 난독화된 JavaScript를 포함하는 악성 첨부파일 및 피싱 링크를 탐지하고 차단하는 정책을 강화하고, 샌드박스 환경에서의 동적 분석을 통해 악성코드 유입을 사전에 방지하는 체계를 구축할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 최신 멀웨어 공격 기법(예: 피싱 이메일, 악성 웹사이트)에 대한 보안 인식 교육을 정기적으로 실시하고, 모의 훈련을 통해 실제 위협 상황에서의 대응 능력을 향상시킬 것을 권고함.
• ✔관리적 조치정보보호최고책임자(CISO)는 Formbook과 같은 지능형 멀웨어 공격에 대한 위협 평가를 수행하고, 이에 따른 정보보호 대책의 적절성 및 효과성을 주기적으로 검토하여 경영진 및 감사위원회에 보고하는 거버넌스 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문