파키스탄 연계 APT(지능형 지속 위협) 그룹 SideCopy가 기존의 인도 정부·국방 기관을 넘어 학술 기관까지 공격 대상을 확대했습니다. 악성 ZIP 파일이 첨부된 스피어피싱(특정 대상을 노린 정교한 사기 이메일) 이메일로 침투하며, 이메일을 열면 결국 ReverseRAT이라는 원격 제어 악성코드가 설치됩니다. 이 악성코드는 시스템 정보 수집, 비밀번호 탈취, 파일 업로드, 원격 명령 실행 등 다양한 스파이 기능을 갖추고 있습니다. 탐지를 피하기 위해 메모리 내에서만 작동하는 다단계 난독화 기법을 사용하며, 수집한 정보는 암호화된 채 외부 서버로 유출됩니다. 인도 내 연구기관 및 대학 보안 담당자는 mshta.exe 실행 이벤트와 출처 불명의 LNK 파일에 각별한 주의가 필요합니다.
파키스탄 연계 APT 그룹 SideCopy(TAG-140)가 인도 학술 기관을 겨냥한 스피어피싱 캠페인을 전개하며 ReverseRAT을 배포했다. 공격은 PDF로 위장한 악성 LNK 파일이 포함된 ZIP 아카이브를 통해 시작된다.
ReverseRAT 감염 시 시스템 메타데이터·설치 소프트웨어 목록·스크린샷·비밀번호·클립보드 내용이 탈취되고, 공격자가 원격으로 명령을 실행하거나 파일을 업로드·관리하며 지속적인 접근 권한을 유지할 수 있다.
mshta.exe를 악용한 HTA 파일 실행, 다단계 메모리 내 난독화 해제, .NET 역직렬화를 통한 디스크 비저장 실행 등 복잡한 회피 기법이 조합되어 기존 보안 솔루션을 우회한다.
Trellix가 기술 보고서를 통해 공격 체인을 공개했으며, 관련 IOC(침해 지표)로 docsportal[.]in, dns.educationportals[.]biz, IP 45.61.157[.]22, 포트 5863이 확인됐다. 해당 도메인 및 IP 차단과 mshta.exe 이상 실행 모니터링이 권고된다.
mshta.exe를 통한 외부 HTA 파일 실행을 차단하는 정책을 적용하고, LNK 파일이 포함된 ZIP 첨부 파일에 대한 이메일 필터링을 강화해야 한다. 특히 학술·연구 기관은 공격 대상이 확대됐음을 인지하고 보안 인식 교육을 강화할 필요가 있다.
본문
Ravie Lakshmanan 2026년 9월 22일 | 악성코드 / 사이버 스파이활동
SideCopy로 알려진 위협 행위자가 스피어피싱 미끼를 이용해 인도 학술 기관을 표적으로 삼는 정황이 포착됐다. 이는 기존 정부 기관 중심의 전략적 초점을 확대한 것이다.
"SideCopy 캠페인은 일반적으로 mshta.exe를 악용해 악성 스크립트를 실행하고 표준 보안 프로토콜을 우회하는 스피어피싱 캠페인으로 시작된다"고 Trellix 연구원 Boggavarapu R S S Srinivas Gupta와 Ravishankar N C가 기술 보고서에서 밝혔다.
"이 전달 메커니즘은 공격 인프라의 핵심 축 역할을 하는 RAT(원격 액세스 트로이목마)의 배포를 가능하게 한다."
적어도 2019년부터 활동해온 SideCopy(TAG-140이라고도 불림)는 파키스탄 출신의 APT(지능형 지속 위협) 그룹으로, Transparent Tribe 클러스터와 겹치는 부분이 있다. 역사적으로 이 위협 행위자는 주로 인도 국방군과 정부 관계자를 표적으로 삼아왔다.
2026년 6월 발행된 보고서에서 Seqrite Labs는 SideCopy가 Xeno RAT이라는 오픈소스 원격 액세스 트로이목마를 이용해 아프가니스탄 재무부를 노린 스피어피싱 캠페인을 수행했다고 밝혔다.
Trellix가 문서화한 최신 공격 체인은 스피어피싱을 통해 무기화된 ZIP 아카이브를 전달하는 방식으로 시작된다. ZIP 안에는 악성 파일을 정상적으로 보이게 하기 위해 PDF 아이콘으로 위장하고 .DOCX 확장자를 붙인 Windows 바로 가기(LNK) 파일("commskll.docx.lnk")이 포함되어 있다.
LNK 파일은 원격 서버("docsportal[.]in")에서 난독화된 HTA(HTML 응용 프로그램) 파일을 가져와 "mshta.exe"로 실행하고, 이어서 DLL 페이로드를 메모리에 직접 로드한다. 이 악성코드는 다음 단계가 초기화되면 HTA 파일을 삭제하는 안티포렌식(디지털 흔적 제거) 자가 삭제 루틴을 사용한다.
DLL은 세 가지 내장 구성 요소의 드로퍼(악성 파일 설치 도구) 역할을 한다 -
- appT.bat: Windows 레지스트리 실행 키를 통해 실행되어 사용자 상호작용 없이 "mshta.exe"로 "startT.hta"를 실행하는 배치 스크립트
- startT.hta: 난독화된 최종 페이로드를 포함하는 2차 익스플로잇 단계
- commskl.docx: 피해자를 안심시키기 위한 미끼 문서
"startT.hta 내 난독화된 코드는 다단계 난독화 해제 루틴을 실행해 두 부분으로 구성된 XAML 페이로드를 메모리에 직접 재구성한다"고 Trellix는 설명하며, 이 루틴이 내장된 DLL("ioluegnt.dll")을 메모리에 직접 로드하는 역할을 한다고 덧붙였다.
"디스크 기반 탐지를 회피하기 위해 악성코드는 핵심 페이로드를 휘발성 메모리 공간에 디코딩하며, Base64 인코딩 문자열에서 .NET 역직렬화를 통해 활성 인메모리(메모리 내 실행) 프로세스로 전환한다."
해당 DLL은 ReverseRAT이라는 원격 액세스 트로이목마로, SideCopy가 2021년 초부터 데이터 탈취, 원격 실행, 지속성 확보에 활용해왔다. 이 악성코드는 시스템 메타데이터, 설치된 소프트웨어 목록, 스크린샷, 비밀번호, 클립보드 내용 수집, 파일 작업 수행, 명령 실행, 레지스트리를 통한 지속성 설정, 파일 업로드, 셸 세션 생성 기능을 갖추고 있다.
C2(명령 및 제어) 트래픽은 하드코딩된 암호화 키("NMXIKS09?:709,!~lnsYUS")를 사용해 암호화된다. 수집된 데이터는 포트 5863을 통해 "dns.educationportals[.]biz"로 유출되며, 이 도메인은 IP 주소 "45.61.157[.]22"로 확인된다.
"SideCopy의 현재 활동은 정보 수집에 대한 절제되고 고도로 전략적인 접근 방식을 보여준다"고 Trellix는 결론 지었다. "이들의 역사적 초점은 인도 정부 기관에 맞춰져 있었지만, 최근 학술 기관으로의 전환은 전략적 우선순위가 확대되고 있음을 보여준다."
"mshta.exe의 대규모 악용과 복잡한 다중 계층 난독화를 통해 감염 단계를 지속적으로 정교화함으로써, 이들은 지역 보안에 있어 강력하고 적응력 높은 위협 행위자로 남아 있다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
