보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.
Varonis Threat Labs가 Microsoft Entra의 외부 MFA 제공자 등록 기능을 악용한 자격증명 탈취 기법 'TrustSink'를 공개했다. 공격자는 글로벌 관리자 또는 인증 정책 관리자 권한으로 악성 External Authentication Method(EAM)를 등록하고, 정상 로그인 흐름 안에 가짜 비밀번호 입력 창을 삽입해 사용자 비밀번호를 평문으로 수집한다.
피해자는 로그인이 정상 완료되므로 공격 사실을 인지하지 못하며, 비밀번호 재설정 이후에도 악성 제공자가 Authentication Methods Policy에 잔존해 새 비밀번호까지 재탈취된다. 공격자 서버에는 비밀번호·타임스탬프·출처 IP가 기록된다.
Microsoft Entra가 등록된 외부 MFA 제공자가 반환하는 서명된 JWT 토큰을 신뢰하는 구조를 악용한다. 높은 권한 계정(Global Administrator 또는 Authentication Policy Administrator)이 침해되면 악성 제공자 등록이 가능하다.
Varonis는 악성 외부 MFA 제공자 및 연관 애플리케이션·키·리디렉션 URI를 먼저 제거한 뒤 영향받은 사용자의 자격증명을 교체할 것을 권고한다. Authentication Methods Policy 변경 사항을 모니터링하고, 글로벌 관리자·인증 정책 관리자의 상시 권한을 제한하며, FIDO2 또는 Windows Hello for Business와 같은 피싱 방어 인증 수단 도입을 권장한다.
TrustSink는 초기 침입 기법이 아닌 '사후 지속(post-compromise)' 기법이므로, 관리자 계정 보호와 최소 권한 원칙이 핵심 예방책이다. Authentication Methods Policy에 등록된 외부 MFA 제공자 목록을 정기적으로 감사해야 하며, 비밀번호 재설정 전 악성 제공자 제거를 의무 절차로 포함시켜야 한다.
본문
보안 연구원들이 해커가 높은 권한의 계정을 탈취한 뒤 악성 외부 MFA(다중 인증) 제공자를 등록하고, 정상적인 로그인 시도 중에 사용자 비밀번호를 훔칠 수 있는 공격 기법을 개발했습니다.
Varonis Threat Labs가 'TrustSink'라고 명명한 이 기법은 외부 인증 모델에 의존하는 모든 제공자에 적용될 수 있지만, 연구팀은 Microsoft Entra를 이용해 공격을 시연했습니다.
Microsoft Entra는 외부 MFA 제공자를 지원하며, 조직이 서드파티 인증 서비스를 통해 다중 인증 요건을 충족할 수 있도록 합니다.
마이크로소프트에 따르면, 사용자가 비밀번호 같은 첫 번째 인증 요소로 로그인하면 Entra가 두 번째 인증 요소를 완료하기 위해 외부 MFA 제공자로 리디렉션할 수 있습니다.
제공자가 두 번째 인증 요소가 완료되었음을 나타내는 유효한 서명 토큰을 반환하면, Entra는 MFA 요건이 충족된 것으로 간주합니다.
Varonis는 이미 높은 권한의 Entra 계정을 탈취한 공격자가 악성 External Authentication Method(EAM)를 외부 MFA 제공자 중 하나로 등록하고, 이를 통해 정상적인 인증 흐름에 마이크로소프트 비밀번호 입력 창을 그럴듯하게 삽입할 수 있음을 발견했습니다.
가짜 입력 창은 사용자의 비밀번호를 평문으로 캡처한 뒤, 악성 제공자가 Entra에 유효한 서명 토큰을 반환하여 오류 없이 로그인이 완료됩니다.
"테스트 테넌트에서 모든 로그인은 정상적으로 완료되었으며, 그동안 저희 서버에는 비밀번호와 타임스탬프, 출처 IP 주소가 수신되었습니다"라고 Varonis는 설명합니다.
"탈취된 비밀번호를 재설정해도 악성 제공자는 제거되지 않았습니다. 악성 제공자는 인증 흐름에 그대로 남아 사용자가 다음에 로그인할 때 교체된 비밀번호까지 탈취했습니다."
TrustSink는 초기 침입 공격이 아니며, 공격자가 이미 높은 권한의 Entra 계정을 장악하고 있어야 한다는 점을 유의해야 합니다.
외부 MFA 제공자 악용
TrustSink는 마이크로소프트가 설정된 외부 MFA 제공자에 부여하는 신뢰를 악용합니다.
Varonis는 Entra에는 정상적인 외부 MFA 제공자처럼 보이지만 사용자에게는 마이크로소프트 비밀번호 페이지 복제본을 표시하는 악성 제공자를 제작했습니다.
TrustSink 공격 과정
개념 증명(PoC) 공격에서 로그인은 처음에 정상적으로 진행되며, 사용자는 마이크로소프트의 정상 로그인 사이트인 login.microsoftonline.com에서 이메일 주소와 비밀번호를 입력합니다.
MFA가 트리거되면 Entra는 두 번째 인증 단계를 위해 브라우저를 공격자의 외부 MFA 제공자로 리디렉션합니다.
악성 제공자는 정상적인 두 번째 인증 단계 화면을 표시하는 대신 마이크로소프트 비밀번호 입력 창 복제본을 보여줍니다.
마이크로소프트 로그인 창을 표시하는 외부 MFA 제공자
출처: Varonis
피해자가 인증 과정의 일부로 마이크로소프트가 요청하는 것으로 믿고 비밀번호를 다시 입력하면, 해당 자격증명이 공격자가 제어하는 서버로 전송됩니다.
악성 제공자는 MFA 인증이 완료되었다는 서명 토큰을 생성해 Entra에 반환하고, 사용자는 원래 접속하려던 애플리케이션으로 이동하게 됩니다.
피해자 입장에서 로그인은 정상적으로 완료된 것으로 보입니다.
Varonis는 사용자가 이미 또 다른 인증 단계를 예상하고 있는 시점에 가짜 비밀번호 입력 창이 나타나기 때문에 공격이 매우 설득력 있다고 밝힙니다.
연구팀에 따르면 해당 페이지는 마이크로소프트 정상 로그인 페이지와 동일한 폰트·레이아웃·버튼 디자인을 사용하며, 피해자가 마이크로소프트 도메인에서 실제 비밀번호를 입력한 직후에 나타납니다.
Varonis는 TrustSink가 보안 연구원 Dirk-Jan Mollema가 x33fcon 2025에서 *"Bringing Your Own Identity in Entra ID"*라는 제목으로 발표한 기존 연구를 기반으로 한다고 밝힙니다.
Mollema는 악성으로 등록된 외부 MFA 제공자가 실제 인증 확인 없이 인증이 성공했다고 주장하는 서명된 JWT를 반환함으로써 MFA 요건을 충족시킬 수 있음을 보여줬습니다.
TrustSink는 동일한 공격을 자격증명 탈취에 악용합니다.
Varonis에 따르면 악성 외부 메서드를 등록하려면 Authentication Methods Policy를 수정하고 애플리케이션, 서비스 주체(service principal), 동의 권한(consent grant)을 생성해야 합니다.
이러한 작업에는 Global Administrator 또는 Authentication Policy Administrator 계정이 필요하므로, TrustSink는 사후 침해(post-compromise) 기법에 해당합니다.
그러나 일단 설치되면 악성 제공자는 대상 사용자의 이후 로그인 경로에 계속 남아 있을 수 있습니다.
악성 MFA 제공자가 테넌트의 Authentication Methods Policy에 등록된 상태로 유지되기 때문에, 사용자가 비밀번호를 변경해도 다음 로그인 시도 시 새 비밀번호가 재탈취됩니다.
따라서 Varonis는 영향받은 자격증명을 교체하기 전에 반드시 악성 제공자를 먼저 제거하도록 관리자에게 경고합니다.
Varonis는 영향받은 사용자의 비밀번호를 재설정하기 전에 의심스러운 외부 MFA 제공자 및 관련 애플리케이션·키·리디렉션 URI를 제거할 것을 권고합니다.
또한 조직은 Authentication Methods Policy 변경 사항을 모니터링하고, Global Administrator 및 Authentication Policy Administrator의 상시 권한을 제한하며, FIDO2 또는 Windows Hello for Business와 같은 피싱 방어 인증 수단을 사용해야 합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
