원격 지원 도구인 ScreenConnect(스크린커넥트)에서 파일 전송 기능의 취약점이 발견됐으며, 공격자들이 이를 악용해 악성 코드를 퍼뜨리고 있습니다. 공격자는 사회공학(social engineering, 사람을 속여 원하는 행동을 하게 만드는 수법)으로 피해자 PC에 악성 ScreenConnect 클라이언트를 심은 뒤, 연결되는 모든 새 기기에 VBScript(비주얼 베이직 기반 스크립트) 악성 파일을 자동 전파하는 웜(worm, 스스로 복제·확산하는 악성 코드) 방식으로 피해를 키웠습니다. 암호화폐 채굴, 원격 터널링, 보안 설정 변경 등 다양한 악성 행위가 확인됐으며, 공식 패치가 나오기 전까지는 관리자가 파일 전송 권한을 즉시 비활성화해야 합니다. ConnectWise는 해당 주 내로 CVE 식별자와 공식 픽스를 발표하겠다고 밝혔습니다.
ScreenConnect의 파일 전송 기능에서 취약점이 발견됐고, 공격자가 악성 클라이언트를 피해자 PC에 설치한 뒤 연결되는 모든 기기에 VBScript 악성 파일(1.vbs~4.vbs)을 웜처럼 자동 전파했습니다. 클라우드 및 온프레미스(자체 설치형) 환경 모두 영향을 받습니다.
암호화폐 채굴, 추가 ScreenConnect 설치, 터널링, 보안 설정 변경, 시스템 정보 수집 등 다단계 악성 행위가 확인됐습니다. IT 부서 및 MSP(관리형 서비스 제공업체) 환경 전반에 웜 방식으로 피해가 확산될 수 있습니다.
ScreenConnect 파일 전송 기능의 결함을 악용한 것으로, 초기 침투는 사회공학 수법으로 이루어졌습니다. RMM(원격 모니터링·관리) 도구 남용이 주요 공격 경로로 지목됩니다.
ConnectWise는 공식 패치 전까지 파일 전송 권한 비활성화를 권고했습니다(Administration > Security > Roles에서 TransferFiles 항목 해제, 버전 업그레이드 없이 즉시 적용 가능). Huntress는 ScreenConnect 감사 로그에서 RunFiles/RanFiles 항목을 점검하고, 감염 징후가 있는 기기는 신뢰할 수 있는 미디어로 재설치(reimaging)할 것을 권고했습니다.
온프레미스 ScreenConnect 설치 환경을 우선적으로 점검하고, 파일 전송 권한을 즉시 비활성화하십시오. 공식 패치 발표 즉시 적용 계획을 수립해야 합니다.
본문
ConnectWise가 확인한 바에 따르면, ScreenConnect 원격 지원 및 접속 세션의 파일 전송 기능에서 발견된 결함이 클라우드 및 온프레미스(자체 설치형) 배포 환경 모두에 영향을 미칩니다.
회사는 9월 3일자 보안 권고문에서 "이번 주 내로 CVE 식별자와 공식 수정 패치를 발표할 예정"이라고 밝혔습니다.
ScreenConnect는 IT 부서와 MSP(관리형 서비스 제공업체)를 위한 인기 있는 원격 지원·접속 솔루션입니다. 이 플랫폼은 ConnectWise의 클라우드에서 호스팅되거나, 조직이 자체 서버(온프레미스 또는 자체 프라이빗 클라우드)에 직접 설치해 운영할 수 있습니다.
이번 권고문은 악성 ScreenConnect 클라이언트가 새로 연결되는 모든 기기에 악성 코드를 전파한다는 Huntress의 연구 결과를 토대로 합니다.
모든 사건은 피해자 기기에 악성 ScreenConnect 인스턴스를 심는 사회공학 수법에서 시작됐습니다. Huntress는 지난 1년간 추적한 결과 "RMM(원격 모니터링·관리 도구) 남용이 주요 공격 경로"라고 밝혔습니다.
악성 인스턴스가 설치된 후, 클라이언트는 비정상 행동으로 탐지된 Windows Script Host 프로세스를 반복 실행하여 1.vbs부터 4.vbs까지 이름 붙여진 VBScript 파일 4개를 배포했습니다. 공격자는 또한 WindowsServiceHost라는 이름의 Windows 레지스트리 Run Key를 생성해, 피해자의 AppData 디렉터리 내 동일한 스크립트 파일을 가리키도록 설정했습니다.
연구진은 다음과 같이 밝혔습니다. "공격에 사용된 페이로드(payload, 악성 행위를 수행하는 코드) 분석 결과, 호스트를 프로파일링하고 활동을 은닉하기 위해 단계적으로 설계된 공격임을 확인했습니다. 공격 체인에서 가장 주목할 부분은 수정된 ScreenConnect 클라이언트를 이용해 VBScript 체인(구체적으로 1.vbs~4.vbs 파일 4개 실행)을 연결된 ScreenConnect 엔드포인트에 전파함으로써, 새로 연결되는 시스템 전반에 웜과 같은 확산을 만들어냈다는 점입니다."
해당 스크립트는 시스템 정보 수집 및 추가 구성 요소 다운로드·실행에 사용됐습니다. Huntress는 지속성 확보, 추가 ScreenConnect 설치, 터널링, 보안 설정 변경, 암호화폐 채굴과 관련된 페이로드를 문서화했습니다.
공식 수정 패치가 나오기 전까지, ConnectWise는 파트너사에 기술자 대상 파일 전송 기능을 비활성화할 것을 권고합니다.
관리자는 **Administration(관리) > Security(보안) > Roles(역할)**로 이동해 각 할당 역할을 편집하고 세션 그룹별 권한을 검토하면 됩니다. TransferFiles 또는 레거시 버전의 경우 TransferFilesInSession이 활성화되어 있다면 해제해야 합니다. 이 변경 사항은 해당하는 모든 역할에 각각 적용해야 합니다.
ConnectWise는 "이 설정 변경은 버전 업그레이드 없이도 즉시 적용할 수 있습니다"라고 밝혔습니다.
Huntress는 ScreenConnect 감사 로그에서 게스트 프로세스와 연결된 RunFiles 또는 RanFiles 항목을 확인하고, 이미 침해 징후가 나타난 기기는 신뢰할 수 있는 미디어(known-good media)로 재설치(reimaging)할 것을 권고합니다.
Huntress는 또한 다음과 같이 덧붙였습니다. "ConnectWise와의 협의 및 현재 위험 파악 수준을 고려할 때, 관리자가 환경 내 온프레미스 ScreenConnect 설치 현황을 면밀히 점검할 것을 권장합니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
