러시아 해킹조직 APT28, NATO 회원국 방산업체 침투…신종 악성코드로 내부망 접근

핵심 요약

러시아 연계 해킹조직 APT28(일명 스왈로테일)이 NATO 회원국 방산업체를 대상으로 신종 악성코드 로더와 기존 백도어를 활용하여 내부망에 침투하고 인증정보를 탈취하는 사이버 공격을 수행한 정황이 확인되었습니다. 공격자들은 초기 침투 후 내부망 접근(Initial Access) 및 지속성 확보를 위해 새로운 악성코드 로더를 사용하고, 인증정보 탈취(Credential Access)를 통해 내부 시스템 권한을 확대하는 전술을 사용한 것으로 분석됩니다. IT 감사인은 이러한 고도화된 위협 행위자의 전술을 이해하고, 조직의 내부망 접근 통제, 인증정보 관리, 그리고 악성코드 탐지 및 대응 체계가 최신 위협에 효과적으로 대응할 수 있는지 점검해야 할 시사점을 제공합니다.

개선 권고안

• ✔기술적 조치엔드포인트 탐지 및 대응(EDR) 솔루션의 탐지 규칙을 최신 위협 인텔리전스(특히 APT28과 같은 국가 지원 해킹조직의 전술, 기법 및 절차(TTPs))에 기반하여 지속적으로 업데이트하고, 신종 악성코드 로더 및 백도어에 대한 행위 기반 탐지 기능을 강화할 것을 권고함.
• ✔기술적 조치중요 시스템 및 서비스에 대한 다중 요소 인증(MFA) 적용을 의무화하고, 비밀번호는 최소 12자 이상의 복잡성을 요구하며 주기적인 변경 정책을 수립 및 시행할 것을 권고함.
• ✔기술적 조치네트워크 세분화(Segmentation)를 강화하여 내부망 침투 시 공격자의 측면 이동(Lateral Movement)을 제한하고, 중요 자산 구간에 대한 접근 통제 정책을 엄격하게 적용해야 함을 권고함.
• ✔관리적 조치위협 인텔리전스(Threat Intelligence) 수집 및 분석 체계를 고도화하고, APT28과 같은 고도화된 위협 행위자의 최신 공격 동향 및 전술을 보안 정책 및 기술적 통제에 즉시 반영하는 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격 및 악성코드 감염 예방을 위한 보안 교육을 정기적으로 실시하고, 특히 의심스러운 이메일 및 파일에 대한 경각심을 높이는 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기