미국 표적 C레벨 피싱, Microsoft 365 세션 탈취하고 원격관리 도구(RMM) 설치해 원격 접근 확보

ANY.RUN 연구진은 351건의 샌드박스 분석을 통해 미국을 표적으로 한 C레벨(CSuite) 피싱 캠페인을 추적했으며, 제출된 샘플의 51%가 미국에서 나왔습니다. 기술, 제조, 정부, 컨설팅 조직이 가장 높은 노출도를 보였습니다.

Microsoft 365 세션 탈취와 원격 접근 도구 배포를 결합함으로써, CSuite는 하나의 피싱 사고를 더 광범위한 계정 침해, 사기, 그리고 업무 시스템에 대한 지속적인 접근으로 확대시킬 수 있습니다.

CSuite 피싱은 계정 접근과 엔드포인트 접근을 동시에 초래

ANY.RUN 연구진이 공개한 CSuite 공격 체인

CSuite는 Adobe, DocuSign, Zoom, Google Meet, Dropbox, Microsoft 365를 활용한 익숙한 업무용 미끼로 시작합니다.

ANY.RUN의 Interactive Sandbox에서 분석된, 한 로펌 명의로 위조된 DocuSign 문서 서명 요청

여기서부터 공격은 두 방향으로 진행될 수 있습니다. 한 경로는 설치 파일, 압축파일, 또는 가벼운 BAT/VBS 드로퍼를 전달해 ScreenConnect나 Action1 같은 정상적인 관리 도구를 설치하게 함으로써 공격자에게 엔드포인트에 대한 원격 접근 권한을 부여합니다.

다른 경로는 신원(identity)을 표적으로 삼습니다. 피해자는 Microsoft 365 접근 권한과 활성 세션을 탈취하도록 설계된 자격증명 탈취 또는 디바이스 코드 피싱 흐름으로 유도될 수 있습니다.

ANY.RUN의 한 샌드박스 세션에서는, Adobe를 사칭한 미끼가 권한을 상승시키고 ScreenConnect를 설치하는 BAT 파일을 전달했는데, 이는 피싱 페이지가 얼마나 빠르게 원격 엔드포인트 접근으로 이어질 수 있는지를 보여줍니다.

ANY.RUN 샌드박스에서 분석된 Adobe 사칭 미끼

그 결과는 일반적인 피싱 사고보다 더 광범위합니다. CSuite는 공격자에게 업무용 계정과 직원의 기기 모두에 대한 통제권을 줄 수 있어, 피해 범위가 메일함 침해에서 환경 내부의 지속적인 접근으로 확대될 수 있습니다.

접근이 확산되기 전에 봉쇄할 수 있는 맥락을 팀에 제공함으로써 복잡한 사고 대응 비용을 줄이십시오.

인시던트 대응 강화하기

CSuite 활동은 미국과 핵심 업종에 집중

ANY.RUN 샌드박스 텔레메트리는 CSuite 활동이 미국에 뚜렷하게 집중되어 있음을 보여주며, 관련 제출물의 51%가 미국에서 나왔습니다. 인도가 18%를 차지했고, 필리핀, 호주, 영국, 캐나다 등 다른 국가에서도 추가 활동이 나타났습니다.

국가별 CSuite 샌드박스 제출 현황

이 캠페인은 여러 고가치 업종에도 도달했습니다. 기술, 제조, 정부/행정, 컨설팅 분야가 피벗 코퍼스에서 가장 많이 노출된 업종에 속했습니다.

CSuite가 빠르게 확대되는 이유

CSuite는 공격자에게 Microsoft 365 계정과 직원 엔드포인트 모두에 대한 접근 권한을 줄 수 있어, 한 번의 피싱 성공을 더 광범위한 업무 침해 사고로 전환시킬 여러 경로를 만듭니다.

발생 가능한 결과는 다음과 같습니다:

• 메일함 탈취: 공격자가 진행 중인 대화를 읽고, 결제 관련 대화를 감시하며, 신뢰받는 직원을 사칭할 수 있습니다.
• 금융 사기: 실제 업무 서신에 대한 접근은 청구서 조작, 결제 경로 변경, 공급업체 사기를 가능하게 할 수 있습니다.
• 지속적인 원격 접근: 악용된 RMM 도구는 초기 피싱 사건 이후에도 공격자가 피해자 시스템에 계속 연결되어 있게 할 수 있습니다.
• 내부 확산: 침해된 계정은 신뢰받는 신원을 이용해 동료, 파트너, 고객을 표적으로 삼는 데 사용될 수 있습니다.
• 더 커진 사고 범위: 보안팀은 탈취된 세션과 침해된 엔드포인트를 동시에 봉쇄해야 할 수 있어, 대응 노력과 업무 차질이 늘어납니다.

보안 리더가 CSuite에 맞서 우선순위를 둬야 할 것

CSuite는 분리된(siloed) 대응이 통할 여지를 거의 남기지 않습니다. 보안 리더는 조사 시간 단축, 무단 원격 접근 도구 통제, 그리고 신원(identity)과 엔드포인트 활동 전반에 대한 가시성 개선에 집중해야 합니다.

분석가에게 전체 공격 체인에 대한 가시성 제공

CSuite는 설득력 있는 업무용 미끼에서 브라우저 활동, 스크립트 실행, 페이로드 전달, 원격 접근 도구 설치로 이어질 수 있습니다. 분석가는 단일 파일이나 도메인만으로 사고를 판단하기보다 이 전체 순서를 재구성해야 합니다.

ANY.RUN의 Interactive Sandbox는 브라우저와 엔드포인트 활동 모두에 대한 가시성을 제공합니다. 이번 조사에서는 브라우저 내 검사를 통해 CSuite 미끼 페이지 안에서 /m/js/utils.js에 대한 참조가 드러났습니다. 연구진은 이후 이 반복되는 경로를 이용해 추가 샌드박스 분석 전반에서 관련 활동을 식별했습니다.

PDF Viewer 내부의 JavaScript utils.js 파일 임포트

동일한 분석을 통해 리다이렉트, JavaScript 동작, 네트워크 요청, PowerShell 실행, 페이로드 전달, RMM 설치 등을 드러낼 수 있어, 분석가가 봉쇄 및 에스컬레이션 결정을 내리는 데 더 많은 맥락을 제공합니다.

관련 위협 활동 전반에 대한 가시성 확장

하나의 CSuite 도메인이나 파일은 더 큰 캠페인의 일부에 불과할 수 있습니다. 분석가는 각 지표를 개별적으로 다루기보다 반복되는 경로, 인프라 간 관계, 관련된 과거 활동을 살펴봐야 합니다.

ANY.RUN의 Threat Intelligence Lookup을 이용하면 팀은 도메인, IP, URL, 파일, 또는 반복되는 아티팩트로부터 관련 샌드박스 분석으로 피벗할 수 있습니다.

이번 조사에서 유용한 피벗 하나는 다음과 같습니다: url:"/m/js/utils.js$"

ANY.RUN의 Threat Intelligence는 CSuite 의심 활동에 대한 전체 맥락을 제공합니다

이 쿼리는 URL이 /m/js/utils.js로 끝나는 샌드박스 활동을 드러내는데, 이는 관련 CSuite 미끼 페이지 전반에서 관찰된 반복 경로입니다.

수작업 추가 없이 탐지 범위 확장

CSuite 인프라는 빠르게 바뀔 수 있어, 수작업으로 관리되는 차단 목록은 금세 구식이 될 수 있습니다. 탐지 팀은 모든 경보를 분석가가 일일이 보강하도록 하기보다, 이미 사용 중인 보안 통제 수단에 최신 악성 인프라 정보를 공급해야 합니다.

SOC 팀이 최신의 실행 가능한 IOC를 위해 TI Feeds를 도입한 사례

ANY.RUN의 Threat Intelligence Feeds는 최신 악성 IP, 도메인, URL 및 기타 IOC를 SIEM, EDR, 방화벽 및 기타 보안 통제 수단에 공급할 수 있습니다. 기반이 되는 위협 데이터는 16,000개 이상의 조직과 700,000명 이상의 보안 전문가가 기여한 활동에서 나오며, 이는 인프라가 변화함에 따라 팀이 최신 커버리지를 유지하는 데 도움을 줍니다.

Tier 1에 에스컬레이션을 위한 더 명확한 근거 제공

피싱 조사는 흔히 인계(handoff) 단계에서 지연됩니다. Tier 1 분석가는 공격 체인을 요약하고, 지표를 추출하고, 관찰된 동작을 설명하며, 사건이 왜 에스컬레이션이 필요한지 문서화해야 할 수 있습니다.

빠른 인계를 위한 AI 요약 및 권고 사항이 포함된 ANY.RUN의 Tier 1 보고서

구조화된 조사 보고서는 이러한 준비 작업을 줄여줄 수 있습니다. ANY.RUN의 Tier 1 보고서는 샌드박스 조사 결과를 행동 맥락, 지표, AI 생성 요약, 권고 사항이 담긴 보고서로 패키징해, 사건이 상위 단계로 넘어갈 때 시니어 분석가에게 더 명확한 출발점을 제공합니다.

신흥 위협에 맞서 최대 3배 더 효율적인 SOC 구축

CSuite 같은 캠페인은 신원(identity)과 엔드포인트 계층을 빠르게 넘나들며 움직이기 때문에, 분석가는 경보 검증, 공격 체인 재구성, 에스컬레이션 필요 여부 판단에 더 많은 시간을 써야 할 수 있습니다.

ANY.RUN은 팀에 더 빠른 행동 맥락, 더 폭넓은 위협 인텔리전스, 구조화된 조사 결과물을 제공함으로써 이러한 업무 부담을 줄이는 데 도움을 줍니다. 해당 솔루션을 사용하는 조직들은 다음과 같은 결과를 보고했습니다:

• 94% 더 빠른 위협 분류(triage), 팀이 더 빨리 봉쇄 결정을 내리는 데 도움
• 20% 감소한 Tier 1 조사 시간, 인력 충원 없이 더 많은 사건을 처리할 수 있는 분석가 역량 확보
• 30% 감소한 Tier 1 → Tier 2 에스컬레이션, 시니어 분석가에 대한 부담을 줄이고 복잡한 사건이 병목이 되는 것을 방지
• 21분 단축된 평균 사고 대응 시간(MTTR), 공격자 체류 시간을 줄이고 사고의 잠재적 업무 영향을 제한

인력 확충 없이 대응 역량 확장하기.

최소 15초 만에 위협을 탐지하십시오. 사건당 MTTR을 21분 단축하십시오.

위협 대응 가속화하기