Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks

핵심 요약

Silent Lynx 위협 행위자가 CIS 정부 기관을 대상으로 WinRAR 취약점을 악용하여 리버스 셸을 배포하는 공격을 수행했습니다. 공격자들은 매크로가 활성화된 문서, PS2EXE 다운로더, GitHub에 호스팅된 PowerShell 스크립트, 그리고 조작된 WinRAR 아카이브 등 다양한 초기 침투(Initial Access, TA0001) 및 실행(Execution, TA0002) 기법을 활용하여 시스템에 침투하고 지속성을 확보했습니다. 특히, WinRAR과 같은 널리 사용되는 압축 소프트웨어의 취약점을 악용하는 것은 공급망 공격(Supply Chain Compromise, T1195)의 한 형태로 볼 수 있습니다. IT 감사인은 이러한 다단계 공격 체인과 널리 사용되는 소프트웨어의 취약점 악용 동향을 인지하고, 조직의 보안 통제 및 탐지 시스템이 이러한 위협에 효과적으로 대응할 수 있는지 점검해야 합니다.

개선 권고안

• ✔기술적 조치조직 내 모든 정보시스템 및 사용자 PC에 설치된 WinRAR 등 압축 소프트웨어의 버전을 주기적으로 점검하고, 최신 보안 패치를 신속하게 적용해야 함을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR) 및 네트워크 보안 솔루션(IPS/IDS, 차세대 방화벽)의 탐지 규칙을 고도화하여 매크로 기반 문서, PowerShell 스크립트, PS2EXE 다운로더 등 합법적인 도구를 악용한 비정상 행위를 탐지하고 차단할 수 있도록 강화할 것을 권고함.
• ✔기술적 조치웹 필터링 또는 프록시 서버를 통해 GitHub와 같은 외부 클라우드 서비스로부터의 비인가된 실행 파일 다운로드 및 명령 제어(C2) 통신 시도를 통제하고 모니터링하는 정책을 수립 및 적용해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격(예: 악성 문서 파일 열람, 의심스러운 링크 클릭)에 대한 보안 교육을 정기적으로 실시하고, WinRAR 등 상용 소프트웨어의 취약점 악용 사례를 포함하여 최신 위협 동향을 공유하여 경각심을 높일 것을 권고함.
• ✔관리적 조치소프트웨어 취약점 관리 프로세스를 재점검하고, 널리 사용되는 상용 소프트웨어에 대한 보안 업데이트 및 패치 적용 절차의 효율성과 신속성을 개선할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기