Offcanvas

보안

맨디언트, 솔라윈즈 공급망 공격그룹 ‘APT29’ 사용하는 새로운 전술 보고서 공개

2022.08.22 편집부  |  CIO KR
맨디언트가 솔라윈즈 공급망 공격의 배후인 러시아 공격자 APT29 그룹이 사용하는 새로운 전술과 기술에 대한 보고서를 공개했다. 보고서에 의하면 APT29는 여전히 왕성한 활동을 보이고 있으며, 새로운 전술을 사용해 마이크로소프트 365(Microsoft 365)를 적극적으로 겨냥하고 있는 것으로 확인됐다. 

특히, APT29는 북대서양조약기구(NATO) 회원국에 영향을 주거나 긴밀한 관계를 맺고 있는 조직을 포함한 이전 피해 조직들을 대상으로 다시 공격을 수행했다. 이는 APT29의 꾸준함, 공격성 및 스파이 활동에 필요한 기술을 더욱 발전시키기 위한 노력으로 볼 수 있다고 업체 측은 설명했다.

보고서에 따르면, 맨디언트가 관찰한 APT29의 새로운 전술 중 메일 항목에 접근할 때 마다 사용자 에이전트 문자열, 타임스탬프(Timestamp), IP 주소와 사용자를 기록하는 ‘마이크로소프트 퍼뷰 감사(Purview Audit)’를 비활성화한 것은 특히 주목할 만한 것으로 나타났다. 해당 라이선스는 특정 메일함의 공격자 접근 여부를 확인하고 노출 범위를 결정하는 데 중요한 로그 소스다. APT29는 접근 권한을 얻고 이 라이선스를 비활성화함으로써 해당 메일함에 접근한 흔적을 숨길 수 있다.

APT29의 또 다른 전술로 ‘애저 액티브 디렉토리(Azure Active Directory)’에서 다중 인증(이하 MFA)에 대한 자체 등록 프로세스를 활용하는 방식이 있다. 한 예로, APT29는 확인되지 않은 방법을 통해 얻은 이메일 사서함 목록에 대해 비밀번호 추측 공격을 진행해 생성돼 있었지만 한 번도 사용되지 않은 계정의 비밀번호를 탈취하는 데 성공했다. 계정이 휴면 상태였기 때문에 애저 AD(Azure AD)는 APT29가 MFA를 등록하도록 요청했다. MFA 등록 이후, 이들은 해당 계정을 사용해 인증 및 MFA에 애저 AD를 사용하는 조직의 VPN 인프라에 접근할 수 있었다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.