해커들, NeedyMantis 악성코드로 침해된 네트워크에 장기간 접속 유지

한 줄 요약

마이크로소프트가 'NeedyMantis'라는 악성코드를 분석한 결과를 공개했습니다. 이 악성코드는 공격자가 이미 침입한 네트워크에 장기간 몰래 머무르기 위해 사용하는 것으로, 통신사, 대학교, 의료 비영리단체, 정부 관련 기관 등을 노렸습니다. 정상 프로그램(Poedit, curl, Vim, TightVNC 등)을 이용해 악성 DLL 파일을 몰래 실행시키는 'DLL 사이드로딩' 기법을 사용하며, 감염되면 공격자가 원격으로 추가 기능을 심고 데이터를 주고받을 수 있습니다. 앞서 디스크 이미지 프로그램 DAEMON Tools의 공식 설치파일이 변조된 공급망 공격 사건을 조사하다가 발견됐으며, 중국과 연관된 것으로 추정되지만 확실한 배후는 아직 밝혀지지 않았습니다. 마이크로소프트는 탐지에 필요한 파일 해시, 접속 도메인, 파일 경로 등을 공개했습니다.

사건

마이크로소프트가 NeedyMantis라는 악성코드를 발견해 분석 보고서를 공개했다. 이 악성코드는 정상 프로그램에 악성 DLL을 끼워넣는 DLL 사이드로딩 방식으로 실행되며, 통신사·대학·의료 비영리단체·정부 관련 기관 등 소수의 표적에 사용됐다.

영향

공격자는 감염된 시스템에 장기간 은밀히 접속을 유지하며 C2(명령제어) 서버와 통신해 추가 악성 모듈을 심거나 데이터를 빼낼 수 있다. 최소 2025년 10월부터 활동이 확인됐다.

원인

이미 네트워크에 침투한 공격자가 Impacket 같은 도구로 정상 프로그램·악성 DLL·암호화된 압축파일 묶음을 네트워크 공유 폴더에서 복사해 대상 컴퓨터에서 실행시켰다. 마이크로소프트는 이 악성코드가 DAEMON Tools 공급망 공격을 조사하던 중 발견됐지만, 실제로 공급망을 통해 퍼진 사례는 아직 확인하지 못했다고 밝혔다.

대응

마이크로소프트는 파일 해시, C2 도메인(corp.tripswithengine[.]com), 파일 경로, 헌팅 쿼리를 공개했으며 Defender Antivirus는 이를 TrojanDropper:Win64/NeedyMantis 등으로 탐지한다. 클라우드 기반 보호, EDR 차단 모드, 네트워크 보호, 공격 표면 축소 규칙 등의 설정을 권고했다.

실무 포인트

WinSparkle.dll 등 정상 파일 경로에서 발견됐다고 바로 감염으로 단정하지 말고 반드시 공개된 해시값과 대조해야 한다. 또한 공개된 헌팅 쿼리는 최근 7일치만 조회하므로, 2025년 10월이나 2026년 5월경 감염 흔적을 찾으려면 기간을 늘려 조회해야 한다.

본문

해커들이 이미 침해한 네트워크에 장기간 접속을 유지하기 위해 NeedyMantis라는 악성코드 계열을 사용해 왔다고 마이크로소프트가 기술 분석 보고서에서 밝혔다.

이 악성코드는 통신 기업, 대학교, 의료 관련 비영리단체, 정부간 기구, 정부 계약업체 등을 대상으로 한 소수의 표적 침입에서 발견됐다. 그 사용 시기는 최소 2025년 10월까지 거슬러 올라간다.

마이크로소프트는 카스퍼스키(Kaspersky)가 조사한 DAEMON Tools 공급망 공격의 징후를 추적하던 중 NeedyMantis를 발견했다. 해당 공격에서는 디스크 이미지 프로그램 DAEMON Tools Lite의 공식 서명된 설치파일에 2026년 4월 8일부터 악성 코드가 포함되어 있었다. 개발사는 5월 5일 이를 정상 버전으로 교체했다.

마이크로소프트는 해당 공격과 관련된 활동을 Storm-3069로 추적하고 있다. 마이크로소프트에 따르면 Storm-3069는 NeedyMantis를 사용하는 그룹 중 하나이지만, 이 악성코드 자체가 공급망 공격을 통해 퍼진 사례는 아직 확인하지 못했다. 방어자는 아래 나열된, 마이크로소프트가 공개한 파일 해시, 도메인, 파일 경로, 헌팅 쿼리를 이용해 자사 네트워크를 점검할 수 있다.

NeedyMantis의 작동 방식

마이크로소프트가 조사한 사례들에서 NeedyMantis는 세 부분으로 구성된 묶음 형태로 유입됐다: 정상 프로그램 사본 하나, 그 프로그램이 불러오는 파일 이름을 딴 악성 DLL 하나, 그리고 해당 DLL과 이름이 같은 암호화된 압축파일 하나. 프로그램이 실행되면 악성 DLL을 불러오는데, 이를 DLL 사이드로딩(DLL sideloading)이라 부른다.

이런 방식으로 악용된 정상 프로그램에는 번역 도구 Poedit, curl, 텍스트 편집기 Vim, 원격 접속 도구 TightVNC 등이 있다. 이 악성코드는 또한 Microsoft Office, Broadcom, Intel, NVIDIA의 DLL 파일로도 위장했다.

마이크로소프트가 상세 분석한 샘플에서는 악성 파일이 Poedit이 사용하는 업데이트 구성요소인 WinSparkle.dll을 대체했다.

한 침입 사례에서는 이미 네트워크 내부에 있던 공격자가 Impacket 도구를 이용해 네트워크 공유 폴더에서 해당 묶음을 복사한 뒤 대상 컴퓨터에서 실행했다. 공격자가 최초에 네트워크에 접근하는 방식은 침입 사례마다 다를 수 있다.

일단 로드되면 이 DLL은 암호화된 압축파일에서 다음 단계를 풀어내어 실행한다. 이 단계는 악성코드의 핵심 구성요소를 디코딩한다. 핵심 구성요소는 HTTPS를 통해 명령제어(C2) 서버에 접속한 뒤 웹소켓(WebSocket) 연결로 전환한다.

이 연결을 통해 공격자는 추가 모듈을 불러오거나 제거하고 데이터를 전송할 수 있다. 마이크로소프트는 이 모듈들이 정확히 무슨 기능을 하는지는 확인하지 못했다.

2025년 10월에 발견된 구버전에는 윈도우 서비스를 이용하는 지속성(persistence) 모듈이 포함되어 있었다. 마이크로소프트는 이번에 분석한 신버전이 어떻게 시스템에 계속 남아있는지는 설명하지 않았다.

배후는 누구인가

Storm-3069는 임시 명칭이다. 마이크로소프트는 배후나 출신지에 대해 확신을 갖기 전까지 신규 또는 진화 중인 그룹에 "Storm" 이름을 붙인다.

마이크로소프트는 DAEMON Tools 캠페인의 Storm-3069 활동 외에서도 NeedyMantis를 목격했으며, 하나 이상의 그룹이 이 악성코드를 사용하고 있을 가능성이 있다고 밝혔다. 모든 활동이 단일 행위자에게서 나온 것인지는 판단하지 못했으며, Storm-3069와 NeedyMantis를 연결하는 근거가 무엇인지도 설명하지 않았다.

마이크로소프트는 Storm-3069의 활동이 중국에서 비롯된 것으로 추정하지만, 이 그룹을 중국 국가 배후 행위자와 연결짓지는 않았다. 마이크로소프트가 지금까지 목격한 모든 NeedyMantis 관련 활동은 중국과 연관짓는 그룹들의 패턴과 일치한다. 예를 들어 표적이 중국의 이해관계와 부합하며, 소수의 선별된 조직에만 악성코드가 사용됐다는 점이다.

카스퍼스키는 5월 DAEMON Tools 공격을 공개하면서 악성코드에서 중국어 텍스트를 발견했지만, 특정 그룹으로 귀속시키지는 않았다.

구글 위협 인텔리전스 그룹(Google Threat Intelligence Group)은 DAEMON Tools 캠페인 배후 행위자를 UNC6863으로 추적하고 있다. 6월 만디언트(Mandiant)는 UNC6863을 "중국과 연계된 것으로 추정되는 행위자"라 설명하며, DAEMON Tools 침해를 이용해 악성코드를 배포했다고 밝혔다. UNC6863과 Storm-3069가 같은 그룹인지는 불분명하다.

NeedyMantis 확인 방법

마이크로소프트는 다음과 같은 침해지표(IOC)를 공개했다:

SHA-256: e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e (1단계 로더 WinSparkle.dll, 2026년 5월 21일 최초 발견)
SHA-256: 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef (WinSparkle이라는 이름의 암호화된 압축파일, 2026년 5월 23일 최초 발견)
SHA-256: c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 (libcurl이라는 이름의 암호화된 압축파일, 구버전, 2025년 10월 3일 최초 발견)
도메인: corp.tripswithengine[.]com (C2 서버, 443번 포트)
사용자 에이전트: firefox/21.0 (악성코드의 통신 DLL에 하드코딩됨)

다음은 악성 DLL이 사용한 파일 경로 일부다:

%ProgramFiles%\Poedit\WinSparkle.dll
%ProgramData%\USOShared\libcurl.dll
%ProgramData%\VIM\vim64.dll
%ProgramData%\TightVNC\VIM\vim64.dll
%ProgramData%\office\dbghelp.dll
%ProgramData%\broadcom\dbghelp.dll
%ProgramData%\Intel\jli.dll
%ProgramFiles%\modifiable\nvml.dll
%ProgramData%\ics\nvml.dll

마이크로소프트 Defender Antivirus는 이 악성코드를 TrojanDropper:Win64/NeedyMantis 및 Behavior:Win64/NeedyMantis로 탐지한다. 마이크로소프트는 또한 Defender XDR에서 위 경로들을, 그리고 Defender XDR과 Microsoft Sentinel 양쪽에서 C2 도메인과 사용자 에이전트를 찾는 헌팅 쿼리도 공개했다.

각 쿼리는 최근 7일치만 조회한다. 마이크로소프트는 NeedyMantis가 여전히 사용되고 있는지 밝히지 않았으며, 공개한 파일들의 최초 발견 시점은 2025년 10월과 2026년 5월이다. 쿼리를 수정 없이 그대로 실행하면 해당 월들의 이벤트는 찾을 수 없다.

Poedit 경로에서 발견됐다는 사실만으로 감염이라 단정할 수는 없다. WinSparkle.dll은 Poedit의 정상적인 구성요소이기도 하므로, 해당 경로에서 발견된 파일은 반드시 공개된 해시값과 대조해야 한다.

마이크로소프트는 클라우드 기반 보호, 즉시 차단(block at first sight), 차단 모드의 EDR, 네트워크 보호, 자동 공격 차단, 그리고 두 가지 공격 표면 축소 규칙 등 여러 Defender 설정을 권장한다. 또한 Defender가 없어도 가능한 조치로, C2 도메인으로 향하는 아웃바운드 트래픽을 점검할 것을 권고했다.

마이크로소프트는 변조된 DAEMON Tools 설치파일을 통해 NeedyMantis가 유입된 사례는 아직 확인하지 못했다. 해당 설치파일과 관련해 개발사는, 해당 기간 동안 무료 버전인 DAEMON Tools Lite 12.5.1을 다운로드했거나 설치한 사람은 이를 제거하고 전체 시스템 검사를 실행한 뒤 공식 웹사이트에서 버전 12.6을 다운로드할 것을 권고했다.

출처

The Hacker News · thehackernews.com

원문 보기