마이크로소프트, 중국 해커와 연관된 SharePoint 취약점 유출 조사

마이크로소프트는 사이버 보안 파트너를 위한 조기 경고 시스템인 마이크로소프트 액티브 프로텍션 프로그램(MAPP)에서 유출된 정보가 중국 해커들이 패치되지 않은 SharePoint 서버 소프트웨어의 취약점을 악용하는 것을 가능하게 했는지 여부를 조사 중입니다.

기술 회사의 최신 패치는 중대한 결함을 완전히 해결하지 못해, 기술 거대 기업의 시스템을 정교한 글로벌 사이버 간첩 활동에 노출시켰습니다.

화요일 블로그 게시글에서 마이크로소프트는 이 악용이 린 타이푼(Linen Typhoon)과 바이올렛 타이푼(Violet Typhoon)이라는 두 개의 중국 정부 관련 그룹과 중국에 기반을 둔 것으로 여겨지는 제3의 그룹에 의해 수행되고 있다고 밝혔습니다.

마이크로소프트, 사이버 보안 파트너 프로그램에서 의심스러운 유출 조사

회사는 이제 MAPP 프로그램에서 공유된 세부 사항이 공개 패치 릴리스 전에 유출되어 이러한 공격의 확산을 가속화했을 수 있는지 여부를 조사 중입니다.

마이크로소프트는 “우리는 모든 파트너 프로그램의 효과성과 보안을 지속적으로 평가하고 필요에 따라 필요한 개선을 수행합니다”라고 확인했습니다.

The SharePoint 취약점 이 취약점은 베트남 보안 연구원 딘 호 안 코아가 트렌드마이크로의 제로 데이 이니셔티브가 조직한 베를린의 Pwn2Own 사이버 보안 컨퍼런스에서 시연하면서 5월 처음 드러났습니다. 코아는 10만 달러의 상금을 받았고, 마이크로소프트는 7월에 초기 패치를 발급했습니다.

그러나 트렌드마이크스의 위협 인식 책임자 더스틴 차일즈는 MAPP 파트너들이 6월 24일, 7월 3일, 7월 7일의 세 차례에 걸쳐 이 취약점에 대해 통보받았다고 말했습니다. 우연히도 마이크로소프트는 첫 번째 악용 시도가 7월 7일에 시작되었다고 밝혔습니다.

차일즈는 가장 가능성 높은 시나리오는 “MAPP 프로그램 내 누군가가 그 정보를 사용해 악용 코드를 작성했을 것”이라고 제안했습니다. 그는 특정 벤더를 지목하지는 않았지만, 악용 시도가 주로 중국에서 발생했기 때문에 유출이 해당 지역의 회사에서 비롯되었을 것이라고 “합리적으로 추측”할 수 있다고 언급했습니다.

중국 정부 지원 해커들이 패치되지 않은 SharePoint 취약점 악용

이것은 마이크로소프트가 이러한 유형의 MAPP 관련 유출을 dealt with 한 것이 처음이 아닙니다. 10년 전, 이 회사는 비밀 유지 계약 위반으로 중국 본토에 기반을 둔 항저우 DPTech Technologies Co., Ltd.를 해고했습니다. 마이크로소프트는 당시 위험이 존재하며 취약한 데이터가 남용될 수 있음을 이해했다고 시인했습니다.

2008년 데뷔한 MAPP 프로그램은 보안 벤더들이 취약점의 기술적 세부 사항과 때때로 샘플 개념 증명 코드를 사전에 제공받아 고객을 더 잘 보호할 수 있도록 하는 것을 목표로 했습니다. 이제 유출된 침해 사건은 이 프로그램의 사명, 즉 공격자가 아닌 방어자들에게 힘을 실어주는 것에 정면으로 위배됩니다.

마이크로소프트는 유출의 출처를 식별했는지 여부를 공개하지 않았지만, 비밀 유지 계약 위반은 심각하게 간주될 것이라고 강조했습니다.

과거 침해 사례 재조명, 마이크로소프트 MAPP 프로그램 무결성 재고

2021년, 마이크로소프트는 적어도 두 명의 다른 중국 MAPP 파트너들이 Exchange 서버의 취약점에 대한 정보를 유출했다고 의심했습니다. 이는 하프니움(Hafnium)이라는 중국 간첩 그룹에 기인한 것으로 마이크로소프트가 attributing한 글로벌 해킹 캠페인으로 이어졌습니다. 이는 회사의 최악의 침해 사례 중 하나였으며, 유럽 은행 당국과 노르웨이 의회를 포함해 수만 개의 Exchange 서버가 해킹당했습니다.

2021 사건 이후, 해당 회사는 MAPP 프로그램을 개정하는 것을 고려했습니다. 하지만 최종적으로 어떤 변경 사항이 이루어졌는지, 또는 누출이 발견되었는지는 공개하지 않았습니다.

아틀란틱 카운슬의 보고서에 따르면, 2021년 중국 법률에 따라 기업과 보안 연구원은 새로 발견된 취약점을 48시간 내에 공업정보화부(MIIT)에 보고해야 합니다. 베이징 사이버쿤룬 테크놀로지 등 MAPP에 여전히 관여하는 일부 중국 기업들은 국가안전부(MSS)가 운영하는 중국 국가 취약점 데이터베이스(CNNVD)에도 참여하고 있어, 이중 보고 의무와 관련된 우려가 더욱 커지고 있습니다.

ETH 취리히 보안 연구 센터의 연구원인 에우제니오 베닌카사는 중국 기업들이 마이크로소프트의 기밀 유지 규칙과 국가 보고 의무를 어떻게 조율하는지에 대한 투명성 부재를 지적합니다. 그는 "우리는 이러한 기업 중 일부가 보안 기관과 협력하고 있으며, 중국의 취약점 관리가 매우 중앙집권화되어 있다는 것을 알고 있습니다. 이는 분명히 더 많은 감시가 필요한 영역입니다."라고 말했습니다.