‘MS 팀즈’ 악용해 랜섬웨어 숨긴 공격 수법 포착

핵심 요약

랜섬웨어 조직 '드래곤포스'가 마이크로소프트 팀즈(MS Teams)를 악용하여 새로운 백도어 '백도어.턴'을 유포하는 사이버 공격 캠페인이 포착되었습니다. 공격자들은 MS 팀즈의 통신 기능을 활용하여 보안 탐지를 회피하고 악성코드를 숨겨 전달하는 Content Injection(T1659) 수법을 사용했습니다. 이는 기업의 핵심 협업 플랫폼이 악성코드 유포 경로로 활용될 수 있음을 시사하며, 내부 통신 채널에 대한 보안 모니터링 및 사용자 교육의 중요성을 강조합니다.

💡 개선 권고안

• ✔기술적 조치MS 팀즈 등 협업 플랫폼의 보안 설정을 강화하고, 외부 파일 공유 및 외부 통신에 대한 접근 통제 정책을 수립 및 적용해야 함을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR) 및 네트워크 보안 솔루션(IPS/IDS)의 탐지 룰을 최신 위협 정보(예: '백도어.턴' 관련 시그니처)로 업데이트하고, 협업 플랫폼을 통한 악성코드 유포 시도를 탐지 및 차단할 수 있도록 정기적인 튜닝 및 성능 검증 절차를 수립 및 적용해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 MS 팀즈 등 협업 플랫폼을 악용한 피싱, 악성코드 유포 등 최신 사이버 공격 수법에 대한 보안 교육을 정기적으로 실시하고, 의심스러운 파일이나 링크를 열람하지 않도록 경각심을 강화할 것을 권고함.
• ✔관리적 조치협업 플랫폼에서 발생하는 비정상적인 활동을 모니터링하기 위한 보안 관제 시스템(SIEM) 연동 및 분석 체계를 구축하고, 위협 발생 시 신속하게 대응할 수 있는 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문