백업 및 시스템 복구 소프트웨어 전문 기업인 아오메이(AOMEI)의 인프라가 공급망 공격을 받았습니다. 해커들은 AOMEI Backupper 소프트웨어의 업데이트 및 알림 서버 구성 파일을 조작하여 사용자 모르게 악성코드를 유포하는 데 성공했습니다.
이번 공격 캠페인은 매니지엔진(ManageEngine), 구글 위협 인텔리전스 그룹(Google Threat Intelligence Group), 그리고 맨디언트(Mandiant)의 보안 연구 부서에 의해 발견되었습니다. 보고서에 따르면, UNC7017로 알려진 위협 행위자가 회사 서버의 구성 파일을 일시적으로 조작하고 몇 분 만에 다시 정상 상태로 되돌리는 방식으로 공격 흔적을 숨기며 정밀한 공격을 수행했습니다.
공격 세부 정보 및 유포 메커니즘
공격자들은 2026년 5월과 7월의 짧은 시간대를 이용하여 체크섬(Checksum) 값을 수정함으로써 파일 무결성 검사를 우회하는 변조된 구성 파일을 유포했습니다. 이러한 조작으로 인해 소프트웨어는 원격 관리 도구인 Radmin, CROSSROAD라고 알려진 새로운 로더, 그리고 SHINYROAD라고 명명된 백도어를 자동으로 다운로드했습니다.
이번 캠페인은 미국, 호주, 인도, 싱가포르, 스페인, 스위스 등 여러 국가의 다양한 기관을 표적으로 삼았으며, 정보통신기술 및 고등교육 분야가 포함되었습니다. 공격 과정에서 해커들은 시스템이 공격자가 제어하는 WebDAV 리소스에 강제로 접속하게 하여 윈도우 인증 해시(NTLM hashes)를 탈취하려고 시도하기도 했습니다.
실질적인 변화와 대응
보안 기관들은 AOMEI가 서버를 수정하고 시스템을 업데이트하여 향후 발생할 수 있는 새로운 감염을 방지하고 있다고 확인했습니다. 그러나 이러한 조치가 과거 짧은 노출 기간 동안 이미 사용자 기기에 설치된 악성코드나 백도어를 제거하는 것은 아닙니다.
피해 기관을 위한 중요 권고 사항:
- 보안 연구팀이 게시한 침해 지표(IoC)를 검토하십시오.
- 해당 소프트웨어를 사용하는 기기에서 의심스러운 예약 작업을 검사하십시오.
- AOMEI Backupper 설치 경로 내에 예상치 못한 실행 파일이 있는지 확인하십시오.
- 보안 보고서에 명시된 의심스러운 인프라를 향한 아웃바운드 네트워크 연결을 모니터링하십시오.