공격자들이 정상적인 IT 관리 도구인 Faronics Deploy를 악용해 피해자 컴퓨터를 몰래 장악하는 피싱 캠페인이 확인되었습니다. 공격자는 청구서나 세금 문서로 위장한 이메일을 보내 피해자가 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하도록 유도합니다. 피해자가 파일을 실행하면 컴퓨터가 공격자가 통제하는 Faronics 배포 환경에 등록되고, 이후 PowerShell 스크립트를 통해 추가 원격 접속 도구인 ConnectWise ScreenConnect까지 자동 설치됩니다. 2025년 7월 21일부터 8월 20일 사이에 457개 이상의 엔드포인트(단말 기기)가 피해를 입었으며, Faronics 측의 조치 이후 공격이 크게 줄었습니다. 관리자는 Faronics 로그 파일과 비정상적인 ScreenConnect 설치 여부를 즉시 점검해야 합니다.
공격자가 Faronics Deploy 플랫폼을 악용해 피싱 이메일로 피해자를 유인, 정상 서명된 설치 파일로 위장한 악성 파일을 실행시켜 피해자 PC를 공격자 제어 하에 등록했다. 이후 PowerShell 스크립트를 통해 ConnectWise ScreenConnect를 추가 설치해 이중 원격 접속 채널을 확보했다.
457개 이상의 엔드포인트가 침해되었으며, 공격자는 Faronics와 ScreenConnect 두 채널을 통해 피해 시스템을 원격으로 완전히 제어할 수 있는 상태가 되었다. ScreenConnect는 Faronics 에이전트가 제거되더라도 독립적인 백업 접속 수단으로 기능했다.
정상적인 IT 관리 플랫폼(Faronics Deploy)이 악용되어 보안 솔루션의 탐지를 우회했고, 피해자가 Adobe 업데이트로 위장한 합법적·서명된 설치 파일을 신뢰하고 실행한 것이 원인이다.
Huntress가 8월 5일 Faronics에 신고했고, Faronics는 추가 남용 방지 조치를 적용하며 피해 조직에 통보했다. 8월 21일부터 악성 활동이 크게 감소했다.
C:\ProgramData\Faronics\Logs\ScriptRunner.log 파일에서 원격 실행된 스크립트와 다운로드 URL을 확인하고, Faronics 설정 요청의 'ck' 파라미터로 침해된 엔드포인트를 식별할 수 있다. 평소 ScreenConnect를 사용하지 않는 환경에서의 설치 여부도 반드시 점검해야 한다.
본문
피싱 공격자들이 정상적인 Faronics Deploy 엔드포인트 관리 플랫폼을 악용해 피해자 컴퓨터에 대한 원격 관리 권한을 획득하고 ScreenConnect 원격 지원 소프트웨어를 설치하고 있습니다.
7월 21일부터 8월 20일 사이에 관찰된 활동에서, Faronics를 사칭한 미끼 메일이 청구서·세금 문서 또는 기타 업무 파일로 위장한 이메일을 통해 457개 이상의 엔드포인트에 도달했습니다.
Faronics Deploy는 IT 관리자가 컴퓨터를 원격으로 등록·관리하고, 소프트웨어를 배포하며, 스크립트를 실행할 수 있도록 지원하는 클라우드 기반 엔드포인트 관리 플랫폼입니다.
MDR(관리형 탐지 및 대응) 업체 Huntress의 연구원들은 삽입된 악성 링크가 잠재적 피해자를 프로파일링하고 악성 다운로드 흐름으로 유도하는 웹사이트로 연결된다고 밝혔습니다.
해당 웹사이트에 분석 환경에서 접근하면, 오류 메시지를 표시하는 등의 미끼 루틴이 활성화됩니다.
Huntress에 따르면, 잠재적 피해자는 Adobe 문서·리더 앱·플러그인 업데이트로 위장한 정상적이고 서명된 Faronics Deploy 설치 파일을 다운로드하고 실행하도록 유도됩니다.
가짜 Adobe 다운로드 페이지
출처: Huntress
피해자가 흔히 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하면, 해당 컴퓨터는 공격자가 통제하는 Faronics 배포 환경에 등록됩니다.
이후 위협 행위자는 Faronics의 원격 배포 기능을 이용해 추가적인 사용자 조작 없이 등록된 컴퓨터에서 PowerShell 스크립트를 실행합니다.
이 스크립트들은 GitHub 등 외부 위치를 포함한 공격자의 인프라에서 추가 도구를 다운로드하고, 결과적으로 또 다른 정상 원격 접속 도구인 ConnectWise ScreenConnect를 설치합니다.
Huntress는 "스크립트마다 전달 방식이 다르며, 관찰된 사례에서는 curl 또는 mshta를 사용해 추가 콘텐츠를 가져오거나, msiexec를 호출해 공격자 제어 인프라에서 호스팅되는 페이로드를 설치하는 방식이 사용되었다"고 밝혔습니다.
"이 스크립트들은 이후 ScreenConnect를 설치하는 데 사용되어, 침해된 엔드포인트에 추가적인 원격 접속 메커니즘을 구축합니다."
ScreenConnect는 Faronics와 독립된 추가 원격 접속 채널을 공격자에게 제공하며, 쌍방향 접근에 더 적합한 실시간 원격 제어를 가능하게 합니다. 또한 악성 Faronics 배포가 식별·차단되거나 방어자가 에이전트를 제거하더라도 백업 수단으로 기능합니다.
Huntress는 8월 5일 Faronics에 조사 결과를 통보했으며, 벤더는 관찰된 악성 활동을 확인하고 추가적인 남용 방지 조치를 도입해 대응했습니다.
또한 Faronics는 잠재적 침해 사실을 알리기 위해 피해 조직에도 직접 연락했습니다.
Huntress에 따르면 8월 21일부터 악성 활동이 크게 감소했으며, 이는 Faronics의 조치가 효과를 거뒀음을 의미합니다.
Huntress는 관리자들이 C:\ProgramData\Faronics\Logs\ 경로에서 ScriptRunner.log 파일을 확인할 것을 권고합니다. 이 파일에는 원격으로 실행된 스크립트 이름과 다운로드 URL이 기록되어 있을 수 있습니다.
또한 Faronics 설정 요청의 ck 파라미터도 침해 지표로 활용할 수 있다고 밝혔습니다. 이 파라미터는 관련 고객 배포를 식별하므로 침해된 엔드포인트나 악성 계정을 찾는 데 도움이 됩니다.
관리자들은 평소 배포되지 않은 환경에서의 ScreenConnect 설치 여부도 반드시 확인해야 합니다.
