MS 팀즈 피싱으로 ‘시놉로더’ 유포…가짜 윈도 잠금화면으로 비밀번호 탈취

핵심 요약

마이크로소프트 팀즈를 통해 기업 IT 지원팀을 사칭하여 신종 악성코드 '시놉로더(SynkLoader)'가 유포되고, 가짜 윈도우 잠금화면으로 사용자 비밀번호를 탈취하는 피싱 공격이 확인되었습니다. 공격자는 마이크로소프트 애저에 호스팅된 악성 MSI 설치 파일을 '파워셸 클리너'로 위장하여 피해자가 다운로드하도록 유도했으며, 이는 사용자 실행(User Execution, T1204) 전술을 악용하여 초기 침투를 시도합니다. 설치된 악성코드는 파워셸 및 파이썬 기반으로 동작하여 추가적인 악성 행위를 수행합니다. 이러한 공격은 협업 도구의 보안 취약점과 사용자 교육의 중요성을 강조하며, IT 감사인은 조직 내 피싱 방지 통제 및 엔드포인트 보안 솔루션의 효과성을 면밀히 점검해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 정책을 고도화하여 파워셸 및 파이썬 기반의 비정상적인 스크립트 실행을 탐지하고 차단하는 규칙을 적용해야 함을 권고함.
• ✔기술적 조치마이크로소프트 팀즈 및 애저 환경에서 외부 파일 공유 및 다운로드에 대한 보안 정책을 검토하고, 악성코드 스캔 및 차단 기능을 강화하며, 비정상적인 파일 다운로드 시 즉시 경보를 발생시키는 모니터링 체계를 구축할 것을 권고함.
• ✔기술적 조치모든 사용자 계정에 다단계 인증(MFA)을 필수적으로 적용하고, 가짜 로그인 화면을 통한 비밀번호 탈취 시도에 대비하여 사용자 로그인 시도 패턴 분석 및 이상 징후 탐지 시스템을 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 마이크로소프트 팀즈 등 협업 도구를 악용한 피싱 공격 유형 및 악성 파일 다운로드 유도 수법에 대한 최신 보안 교육을 정기적으로 시행하고, 의심스러운 메시지 및 파일에 대한 신고 절차를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문