Storm-2561, SEO 포이즈닝 통해 트로이 목마 VPN 클라이언트 유포하여 자격 증명 탈취

핵심 요약

마이크로소프트는 검색 엔진 최적화(SEO) 포이즈닝 기술을 사용하여 가짜 가상 사설망(VPN) 클라이언트를 배포하여 사용자 자격 증명을 탈취하는 캠페인인 'Storm-2561'의 세부 정보를 공개했습니다. 공격자들은 합법적인 기업 소프트웨어를 검색하는 사용자를 악성 ZIP 파일이 포함된 웹사이트로 유도하여, 신뢰할 수 있는 VPN 클라이언트로 위장한 디지털 서명된 트로이 목마를 설치하도록 합니다. 이는 사용자의 부주의와 검색 엔진의 취약점을 악용하여 악성코드를 유포하는 전형적인 사회공학적 공격 수법입니다. IT 감사인은 이러한 유형의 공격이 내부 시스템 접근 권한 탈취로 이어질 수 있음을 인지하고, 임직원 보안 인식 제고 및 엔드포인트 보안 강화에 대한 통제 유효성을 중점적으로 점검해야 함을 권고합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 행위 기반 탐지 및 디지털 서명 위변조 탐지 기능을 강화하고, 최신 위협 인텔리전스와 연동하여 악성코드 탐지 및 차단 규칙을 지속적으로 업데이트해야 함을 권고함.
• ✔기술적 조치애플리케이션 화이트리스팅(Application Whitelisting) 정책을 수립하고, 승인된 소프트웨어만 설치 및 실행되도록 통제하여 비공식 경로를 통한 악성 VPN 클라이언트 설치를 원천적으로 차단할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 검색 엔진을 통한 악성 웹사이트 유도 공격(SEO 포이즈닝) 및 사회공학적 공격에 대한 보안 인식 교육을 정기적으로 실시하고, 공식 소프트웨어 다운로드 경로 및 무결성 검증 절차 준수를 강조해야 함을 권고함.
• ✔관리적 조치원격 접속 시스템(VPN)의 설치 및 업데이트 절차에 대한 보안 정책을 강화하고, 설치 파일의 무결성 검증 및 디지털 서명 유효성 확인 절차를 의무화하여 비인가 소프트웨어 설치를 방지할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문