DeepLoad 멀웨어, ClickFix 및 WMI 지속성을 사용하여 브라우저 자격 증명 탈취

핵심 요약

새로운 DeepLoad 멀웨어 캠페인이 ClickFix 소셜 엔지니어링 전술을 활용하여 사용자의 브라우저 자격 증명을 탈취하고 WMI를 통해 시스템 지속성을 확보하는 것으로 확인되었습니다. 이 멀웨어는 AI 지원 난독화 및 프로세스 인젝션 기법을 사용하여 정적 스캐닝을 회피하며, 초기 침투 후 즉시 자격 증명 탈취를 시도하여 방어 체계를 우회합니다. 이는 Initial Access(TA0001) 및 Credential Access(TA0006) 전술을 복합적으로 활용하는 공격 방식입니다. IT 감사인은 이러한 고도화된 소셜 엔지니어링 및 멀웨어 공격에 대비하여 임직원 보안 인식 제고, 엔드포인트 보안 강화, 그리고 자격 증명 관리 체계의 적절성을 중점적으로 점검해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR, 백신 등)의 AI 기반 난독화 및 프로세스 인젝션 탐지 기능을 최신 위협 인텔리전스와 연동하여 지속적으로 고도화하고, 정기적인 모의 공격 및 침투 테스트를 통해 방어 체계의 유효성을 검증할 것을 권고함.
• ✔기술적 조치WMI(Windows Management Instrumentation)를 통한 비정상적인 스크립트 실행 및 시스템 지속성 설정 시도를 탐지하기 위한 SIEM 및 EDR 시스템의 모니터링 규칙을 강화하고, 관련 이벤트 발생 시 즉각적인 경고 및 대응 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 최신 소셜 엔지니어링 공격 기법(예: ClickFix) 및 멀웨어 감염 경로에 대한 정기적이고 실질적인 보안 인식 교육을 강화하고, 피싱 시뮬레이션 등을 통해 교육 효과를 지속적으로 측정 및 개선할 것을 권고함.
• ✔관리적 조치브라우저에 자격 증명(암호, 세션 토큰) 저장을 제한하는 정책을 수립하고 기술적으로 강제하며, 모든 중요 시스템 및 서비스 접근 시 다중 요소 인증(MFA)을 의무적으로 적용하여 자격 증명 탈취로 인한 피해를 최소화할 것을 권고함.
• ✔관리적 조치자격 증명 관리 시스템(IAM)을 도입하거나 기존 시스템을 고도화하여 계정의 생성, 변경, 삭제 및 권한 부여 과정을 엄격히 통제하고, 주기적인 접근 권한 검토를 통해 불필요하거나 과도한 권한을 회수할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문