중국 해킹그룹 스프라이삭스, 윈도우 변종 확인…커널 드라이버로 은닉 강화

핵심 요약

중국 연계 사이버 첩보 조직인 스프라이삭스(SprySOCKS)가 기존 리눅스 환경을 넘어 윈도우 환경을 겨냥한 새로운 백도어 변종(WIN_DRV, WIN_PLUS)을 사용하고 있음이 확인되었습니다. 이 변종들은 커널 드라이버를 활용하여 시스템에 은닉하고, 하드코딩된 명령제어(C2) 설정을 통해 TCP, UDP, 웹소켓으로 공격자 서버와 통신하며 시스템 정보 수집, 프로세스 확인, 서비스 제어 등의 악성 행위를 수행합니다. 이는 T1014(Rootkit) 전술을 사용하여 탐지를 회피하고 지속적인 접근을 유지하려는 시도로, IT 감사인은 이러한 고도화된 백도어의 침투 및 은닉 기술에 대비하여 내부 시스템의 무결성 검증 및 비정상적인 네트워크 통신 탐지 역량을 강화해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치윈도우 기반 시스템에 대한 EDR(Endpoint Detection and Response) 솔루션을 도입하거나 기존 솔루션의 탐지 규칙을 고도화하여, 커널 드라이버 기반의 비정상적인 활동 및 프로세스 은닉 시도를 실시간으로 탐지하고 대응할 수 있도록 적용해야 함을 권고함.
• ✔기술적 조치네트워크 트래픽 분석 시스템(NDR) 또는 차세대 방화벽(NGFW)의 정책을 강화하여, 비표준 포트 또는 암호화된 채널(웹소켓)을 이용한 외부 명령제어(C2) 통신 시도를 탐지하고 차단할 수 있도록 설정 및 운영할 것을 권고함.
• ✔기술적 조치시스템 무결성 모니터링 솔루션(FIM)을 활용하여 윈도우 시스템의 중요 파일, 레지스트리, 커널 드라이버 영역에 대한 무단 변경 여부를 주기적으로 점검하고, 변경 발생 시 즉각적인 알림 및 자동화된 대응 절차를 수립 및 적용해야 함을 권고함.
• ✔관리적 조치최신 위협 인텔리전스(CTI)를 지속적으로 구독하고 분석하여, 스프라이삭스와 같은 고도화된 사이버 첩보 조직의 공격 전술, 기술 및 절차(TTPs)에 대한 이해를 높이고 내부 보안 시스템 및 정책에 반영할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격 및 악성코드 감염 경로에 대한 보안 교육을 강화하고, 의심스러운 이메일, 웹사이트 접속, 파일 다운로드에 대한 경각심을 고취하여 초기 침투 가능성을 최소화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문