바이브 코드 악성코드, 액티브 디렉터리 공격에서 포착

핵심 요약

헌트리스는 액티브 디렉터리 네트워크를 매핑하기 위해 바이브 코드 파워셸을 사용하는 위협 행위자를 발견했습니다. 이는 공격자가 Initial Access(TA0001) 이후 내부 네트워크에 대한 정보 수집(Discovery)을 수행하는 전형적인 수법으로, 특히 Active Directory는 기업의 핵심 인증 및 권한 관리 시스템이므로 공격자에게 중요한 표적이 됩니다. 공격자는 PowerShell 스크립트를 통해 시스템 및 네트워크 정보를 수집하여 다음 공격 단계를 계획합니다. IT 감사인은 Active Directory 환경에 대한 지속적인 모니터링 및 보안 설정 감사를 통해 내부 정보 유출 및 권한 상승 공격 가능성을 사전에 차단해야 합니다.

💡 개선 권고안

• ✔기술적 조치Active Directory 도메인 컨트롤러 및 관련 서버에 대한 PowerShell 실행 정책을 '제한됨(Restricted)' 또는 '서명됨(AllSigned)'으로 설정하고, 스크립트 실행 로그를 중앙 집중식으로 수집 및 모니터링할 것을 권고함.
• ✔기술적 조치EDR, SIEM 솔루션의 탐지 규칙을 고도화하여 Active Directory 환경에서 비정상적인 PowerShell 스크립트 실행, 네트워크 매핑 시도, 권한 상승 행위 등을 실시간으로 탐지하고 대응할 수 있도록 적용해야 함을 권고함.
• ✔관리적 조치Active Directory 환경에 대한 정기적인 보안 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대해서는 즉시 패치를 적용하거나 보안 설정을 강화하는 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치Active Directory 관리자 계정에 대한 접근 통제를 강화하고, 다단계 인증(MFA)을 적용하며, 최소 권한 원칙(Least Privilege)에 따라 권한을 부여하는 정책을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문