콘니, 피싱 통해 EndRAT 배포 및 카카오톡으로 악성코드 전파

핵심 요약

북한 위협 행위자 '콘니(Konni)'가 스피어 피싱 이메일을 통해 EndRAT 악성코드를 배포하고, 감염된 피해자의 카카오톡 데스크톱 애플리케이션을 악용하여 특정 연락처에 악성 페이로드를 전파하는 공격이 관찰되었습니다. 이 공격은 초기 침투 후 국내에서 널리 사용되는 메신저 앱을 통해 내부 확산을 시도하는 고도화된 사회공학적 기법을 사용하며, 이는 엔드포인트 보안 및 사용자 인식의 취약점을 악용하여 조직 내 데이터 유출 및 시스템 마비로 이어질 수 있습니다. IT 감사인은 이러한 위협이 국내 금융·공공·IT 서비스 조직의 핵심 IT 인프라와 사용자 단말에 직접적인 영향을 미칠 수 있음을 인지하고, 엔드포인트 보안, 이메일 보안, 그리고 임직원 보안 인식 제고를 위한 통제 활동의 적절성을 면밀히 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치모든 엔드포인트에 EDR(Endpoint Detection and Response) 솔루션을 배포하고, 실시간 행위 기반 탐지 엔진과 최신 시그니처 업데이트를 유지하여 EndRAT과 같은 원격 제어 악성코드 및 카카오톡을 통한 비정상적인 파일 전송 시도를 탐지 및 차단할 것을 권고함.
• ✔기술적 조치이메일 보안 게이트웨이(Email Security Gateway) 및 ATP(Advanced Threat Protection) 솔루션의 스피어 피싱 탐지 및 차단 기능을 고도화하고, 악성 첨부파일 및 URL 필터링 정책을 강화하여 초기 침투 경로를 선제적으로 방어할 것을 권고함.
• ✔기술적 조치SIEM(Security Information and Event Management) 시스템에 엔드포인트 로그, 이메일 로그, 네트워크 트래픽 로그를 연동하여 EndRAT 활동, 카카오톡 비정상 사용, C2 서버 통신 등 이상 행위를 실시간으로 분석하고, 위협 발생 시 즉각적인 경보 및 대응 절차를 자동화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 스피어 피싱, 사회공학 공격, 악성코드 감염 경로(특히 메신저 앱을 통한 전파)에 대한 정기적이고 실질적인 보안 교육 및 모의 훈련을 시행하여 보안 인식을 제고하고 의심스러운 활동에 대한 보고 체계를 강화할 것을 권고함.
• ✔관리적 조치카카오톡 데스크톱 애플리케이션 등 업무용으로 사용되는 모든 커뮤니케이션 도구에 대한 보안 가이드라인을 수립하고, 비정상적인 파일 공유 및 링크 클릭에 대한 주의사항을 명확히 공지하며, 필요시 기술적 통제(예: DLP 연동)를 검토할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 신속한 탐지, 분석, 봉쇄, 복구 및 사후 조치를 위한 비상 대응 계획(IRP)을 수립하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문