- Microsoft는 중국 해킹 그룹이 다수 기업을 표적으로 삼았다고 주장합니다.
- 해커들이 ARTEX를 사용했다고 밝혔습니다.
- 해커들이 여전히 활용 가능한 백도어를 남겼을 것으로 보고 있습니다.
Microsoft는 중국과 연관된 해커 그룹이 전 세계 수백 개 조직을 대상으로 한 공격의 일환으로 ConnectWise에 침투하기 위해 AI 기반 침투 테스트 도구를 배포했다고 밝혔습니다. ConnectWise의 CEO인 매니 리벨로(Manny Rivelo) 또한 자사 클라우드 백업 시스템 공격에 대해 모든 정황이 중국 지원 해커를 지목한다고 성명을 발표했습니다.
공격을 처음 감지한 후, ConnectWise는 즉시 클라우드 백업, SaaS 보안 및 클라우드 관리 서비스에 대한 접근을 차단했습니다. 이후 리벨로는 위협이 통제되었으며 단계적이고 철저하게 관리되는 방식으로 서비스를 순차적으로 재가동 중이라고 확인했습니다.
다만 그는 이러한 조치가 ConnectWise를 보호하지만 이미 침해된 개별 고객 네트워크의 백도어를 제거하지는 못하므로 별도의 보안 점검이 필요하다고 경고했습니다.
Microsoft는 공격의 주범을 특정했으며, 이 집단이 공격을 책임졌을 것으로 보고 있습니다.
마이크로소프트 소매 및 기관 투자자들이 대부분 포지션 감축을 완료했을 것으로 보고 있습니다. 보고서에서는 공격자는 2021년부터 활동해 온 사이버 간첩 그룹 스톰-0940(Storm-0940)으로, 방위, 항공우주, 정부, 에너지, 반도체 등 핵심 산업은 물론 다양한 기업과 비영리 조직을 적극적으로 표적으로 삼고 있습니다.
해당 기업의 연구원들에 따르면, 해커 그룹은 여러 계정 에 접근하기 위해 ConnectWise의 클라우드 백업 서비스에 침투하기 전 광범위한 비밀번호 분사(password-spraying) 공격을 감행했습니다.
연구진에 따르면 스톰-0940은 10월 14일 직전 사흘간 집중 공세를 펼치며 8개 기업의 Microsoft 365 및 Exchange Online 계정 327개를 조준했습니다. 이 기간 동안 위협 행위자는 대규모 브루트포스 공격을 가해 15만 1천 건 이상의 실패한 로그인 시도를 기록했으며, 최고 속도는 분당 2,900건에 달했습니다.
이튿날 스톰-0940은 ConnectWise로 공격 대상을 전환하고, 에이전트형 AI 도구와 동일한 네트워크 인프라를 활용해 여러 ConnectWise Cloud Backup 사용자의 Microsoft 365 시스템을 침해했습니다.
마이크로소프트에 따르면 스톰-0940은 오픈소스 침투 테스트 프레임워크인 ARTEX를 사용해 전체 작전을 수행했습니다. 마이크로소프트는 ARTEX 프레임워크가 운영자로 하여금 어떤 AI 모델이든 플러그인하여 보안 테스트 그리고 네트워크 정찰 및 데이터 유출과 같은 작업을 자율적으로 처리하도록 구성할 수 있습니다.
현재 마이크로소프트 위협 인텔리전스 팀은 전 세계의 해커들이 ARTEX를 활용해 작전을 강화하기 위해 몰려들고 있다고 보고 있습니다.
마이크로소프트는 Storm-0940이 백도어를 설치해 접근 가능한 상태로 남겼을 가능성이 있다고 밝혔습니다.
정보에 따르면 해당 그룹의 공격 대부분은 실패했지만, 마이크로소프트는 표준 보안 복구 조치로도 막기 어려운 높은 수준의 접근 권한을 여러 기업에서 빠르게 장악했다고 경고했습니다.
마이크로소프트 연구진은 일부 영향 받은 시스템에서 해커 그룹의 AI 에이전트가 단순 로그인을 넘어 Microsoft Graph를 통해 디렉토리를 탐색하고, 애플리케이션 자격 증명을 조작해 접근을 고정하며, 신원과 고급 역할을 변경하는 등 적극적으로 활동했음을 발견했습니다.
또한 여러 고객 환경에서 추가 활동의 명확한 징후가 관찰되었으며, 이는 깊은 권한을 가진 제3자 앱이 악용되어 원래 의도되지 않은 영역에 도달할 수 있음을 보여줍니다.
초기 조사 단계에서 헌트리스(Huntress)에 따르면, 가해자들은 ConnectWise 클라우드 백업을 통해 탈취된 단일 자격 증명을 악용하여 Microsoft 365의 고객 테넌트 계정에 접근했습니다. 이 시점에서 보안 기업은 해커들이 162개 고객 테넌트를 성공적으로 침해했음을 확인했습니다.
헌트리스가 침해 사고 조사를 진행한 방식에 대한 설명에서, 헌트리스의 수석 보안 운영 분석가인 존 세몬(Jon Semon)은 “헌트리스 파트너사가 ConnectWise 애플리케이션 내의 의심스러운 활동을 알려왔습니다. 우리는 조사를 시작했고, 이는 여러 헌트리스 팀이 참여한 신속 대응 작업으로 이어졌습니다.”라고 말했습니다.
또한 관리형 서비스 제공자(MSP)가 사용하는 보안 플랫폼인 Todyl은 이번 공격이 자사의 시스템도 표적으로 삼았다고 보고했습니다. 해당 회사에 따르면, 위협 행위자는 유효한 자격 증명을 사용하여 Microsoft 365 테넌트에 로그인하는 데 성공했습니다.
비록 이것이 고립된 사건처럼 보일지라도, 실제로는 그렇지 않습니다. 마이크로소프트의 최고 경영 책임자(Executive Vice President)인 이고르 치간스키(Igor Tsyganskiy)는 최근 발생한 이번 사건 외에도 다수의 AI 기반 사이버 공격이 있었다고 주장하며 “우리는 그중 하나를 포함한 많은 사례들의 세부 사항을 공개했습니다,”라고 밝혔습니다. 당시.
ConnectWise 클라우드 백업을 사용하는 조직은 Microsoft 365 환경에서 의심스러운 로그인, 무단 애플리케이션 권한 및 관리자 계정의 예기치 않은 변경 사항을 조사해야 합니다.
보안 팀은 활성 세션을 검토하고, 노출된 자격 증명을 회전시키며, 의심스러운 토큰을 무효화하고, 무단 접근 권한을 제거해야 합니다.
영향을 받은 서비스를 복원해도 고객 네트워크 내 지속성 메커니즘이 자동으로 제거되지 않으므로, ConnectWise가 초기 침입을 차단한 후 공격자가 접근 권한을 유지했는지 여부를 파악하기 위해 조직이 자체 조사를 진행해야 할 수 있습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
ConnectWise 사이버 공격의 배후는 누구인가?
Microsoft는 이 공격이 2021년부터 활동해 온 중국 연계 사이버 간첩 그룹인 Storm-0940에 의해 수행되었다고 보고 있습니다.
해커들은 AI를 사용하여 ConnectWise에 어떻게 침입했는가?
공격자들은 ARTEX라는 오픈소스 침투 테스트 프레임워크를 사용한 것으로 알려졌으며, 이는 네트워크 정찰 및 자격 증명 테스트와 같은 작업을 자동화하기 위해 AI 모델을 지원합니다.
ConnectWise 침해 사고로 영향을 받은 조직 수는 얼마나 되는가?
Microsoft는 8개 기업의 327개 Microsoft 365 및 Exchange Online 계정을 대상으로 한 공격을 확인했습니다. Huntress는 별도로 162개 고객 테넌트가 침해당했다고 보고했습니다.
Nellius Irene
Nellius는 비즈니스 관리 및 IT 학사 학위를 소지하고 있으며, 암호화폐 산업에서 5 년간의 경력을 쌓았습니다. 또한 비트코인 다다 (Bitcoin Dada) 를 졸업했습니다. Nellius 는 BanklessTimes, Cryptobasic, Riseup Media 등 주요 미디어 매체에 기고한 바 있습니다.
