새로운 악성 소프트웨어가 귀사를 사칭하여 Microsoft Teams 사용자를 공격합니다.

약 한 달 전, 사이버 범죄자들이 SynkLoader라는 새로운 유형의 "백도어" 악성 소프트웨어를 이용해 여러 조직을 공격했습니다.

Expel의 보안 연구원들에 따르면, 이 공격은 소셜 엔지니어링으로 시작됩니다. 피해자는 마이크로소프트 팀즈에서 회사 IT 지원 부서 직원이라고 주장하는 사람으로부터 메시지를 받습니다. 메시지에는 컴퓨터에 문제가 발생했으며 "PowerShell Cleaner"를 설치해야 한다는 내용이 담겨 있습니다. 하지만 이 가짜 프로그램은 마이크로소프트 Azure에 호스팅된 악성 프레임워크에 불과하며, 그럴듯하게 보이도록 위장한 것입니다.

해당 악성코드는 여러 가지 모듈로 구성되어 있어 공격자에게 시스템 정보 수집부터 리버스 프록시 생성까지 다양한 기능을 제공합니다. 특히 우려되는 모듈은 PhishLocker와 Interactive Shell입니다. PhishLocker는 실제 와 흡사한 가짜 Windows 잠금 화면을 생성하여 사용자의 운영 체제 로그인 암호를 탈취할 수 있습니다 .

이런 종류의 공격은 이번이 처음이 아닙니다.

BleepingComputer는 공격자가 이 비밀번호를 사용하면 "IP별 허용 목록 제한을 우회하여 해킹된 기기에서 기업 환경에 접근할 수 있다"고 지적합니다. 예리한 눈이라면 속임수를 알아챌 수 있을 것입니다. Alt+Tab 키를 누르면 로그인 화면이 "테두리가 없는 전체 화면 그래픽 사용자 인터페이스(GUI) 애플리케이션"에 불과하다는 것을 알 수 있습니다.

다른 모듈인 대화형 셸을 사용하면 공격자는 PowerShell 명령을 원격으로 실행하고 출력을 받아볼 수 있으므로 감염된 시스템에 대한 완전한 제어권을 확보할 수 있습니다.

침해 지표(IoC)의 전체 목록은 이 링크 에서 확인할 수 있습니다. 이러한 유형의 공격으로부터 보호하기 위해 대상 기업은 직원들에게 발신자 불명의 Microsoft Teams 메시지를 신뢰하지 말고, IT 부서에 전화로 확인하기 전에는 어떤 애플리케이션도 설치하지 않도록 교육해야 합니다 .

전화 통화 외에도 Microsoft Teams는 초기 접촉 및 침해에 가장 일반적으로 사용되는 채널 중 하나입니다. 또한 직원들은 기업 사이버 보안의 가장 취약한 연결 고리로, 자신도 모르게 공격자에게 접근 권한을 부여하거나 로그인 자격 증명을 공유하는 경우가 있습니다.