CloudZ 악성코드, Phone Link 악용하여 SMS OTP 탈취

핵심 요약

시스코 탈로스(Cisco Talos)는 마이크로소프트 폰 링크(Microsoft Phone Link)를 악용하여 SMS OTP를 가로채는 CloudZ RAT 및 Pheno 플러그인을 발견했습니다. 이 악성코드는 합법적인 애플리케이션을 공격 벡터로 사용하여 사용자의 인증 정보를 탈취하려는 Initial Access(TA0001) 및 Credential Access(TA0006) 전술을 활용합니다. IT 감사인 및 CISO는 엔드포인트 보안 강화, 다단계 인증(MFA)의 견고성 재평가, 그리고 합법적인 애플리케이션의 비정상적인 사용 패턴에 대한 모니터링 체계 구축의 중요성을 인지해야 합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 탐지 및 대응 규칙을 고도화하여 Microsoft Phone Link와 같은 합법적인 애플리케이션을 악용하는 CloudZ RAT 및 Pheno 플러그인과 같은 악성코드의 활동을 탐지하고 차단할 수 있도록 지속적으로 업데이트 및 튜닝을 적용해야 함을 권고함.
• ✔기술적 조치SMS OTP를 사용하는 시스템에 대해 추가적인 보안 계층(예: FIDO 기반 생체 인증, 하드웨어 보안 키) 도입을 검토하고, SMS OTP의 보안 강도를 높이기 위한 기술적 방안(예: SMS 전송 채널 암호화, 이상 징후 탐지 시스템 연동)을 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 Microsoft Phone Link와 같은 모바일 연동 애플리케이션의 보안 위협 및 악성코드 감염 시나리오에 대한 최신 보안 교육을 정기적으로 시행하고, 의심스러운 활동 발견 시 즉시 신고할 수 있는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치다단계 인증(MFA) 시스템의 전반적인 보안 취약점 점검을 주기적으로 수행하고, 특히 SMS OTP와 관련된 공격 벡터에 대한 모의 해킹 및 침투 테스트를 강화하여 잠재적 위협을 사전에 식별하고 개선해야 함을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문