마이크로소프트 위협 인텔리전스(Microsoft Threat Intelligence) 팀은 Microsoft Teams와 같은 협업 플랫폼 및 소셜 미디어 애플리케이션을 통해 사용자를 속여 기업 네트워크 인프라에 침투하는 인간 운영 공격자들의 대규모 사이버 침해 사례에 대한 상세 분석을 발표했습니다.
관찰된 사건들은 기술 지원팀이나 헬프 데스크를 사칭한 사기성 메시지와 전화를 통해 시작되었습니다. 공격자들은 고도화된 사회 공학 기법을 사용하여 사용자가 Quick Assist와 같은 도구를 통해 대화형 원격 액세스 권한을 부여하도록 유도했습니다. 연결이 수립되면 공격자들은 Python, Bun, Java와 같은 휴대용 런타임 환경을 배포하고, 장치 및 네트워크 탐색을 수행하며, 인증서 기반 인증 경로를 찾기 위해 Active Directory 인증서 서비스(AD CS)를 평가했습니다.
인증서 계층을 통한 공격 경로의 분기
초기 액세스 단계는 동일했으나, 인증서 계층에서 공격은 두 가지 주요 경로로 나뉘었습니다.
- 사례 1 (ESC1): 공격자는 ESC1 보안 구성 취약점이 있는 인증서 템플릿을 악용하여 권한이 높은 계정에 대한 인증 인증서를 획득하고 DCSync 작업을 수행했습니다.
- 사례 2 (ESC8): 공격자는 PetitPotam 기술을 사용하여 도메인 컨트롤러가 공격자가 제어하는 시스템에 인증하도록 강제한 뒤, 도메인 컨트롤러의 NTLM 인증을 AD CS 웹 등록 서비스로 재전송했습니다. 이를 통해 도메인 컨트롤러 계정의 인증서를 추출하고 Kerberos 인증(PKINIT)에 사용했습니다.
이 뉴스가 중요한 이유
이러한 공격 패턴의 위험성은 사용자가 승인한 원격 지원 세션을 높은 권한을 가진 엔티티와 도메인 핵심 인프라에 대한 영구적인 인증 기반 액세스로 전환할 수 있다는 점에 있습니다. 마이크로소프트는 이번 공격이 Microsoft Teams 자체의 소프트웨어 취약점을 악용한 것이 아니라, 전적으로 사용자 기만과 Active Directory 인증서 서비스의 과도하게 허용적인 설정 취약점에 의존했다고 지적했습니다.
제안된 예방 및 조사 조치
마이크로소프트는 보안 팀이 이러한 위험을 완화할 수 있도록 다음과 같은 권장 사항을 제시합니다.
- 원격 제어 세션을 시작하기 전에 알려진 내부 통신 채널을 통해 비정상적인 지원 요청을 반드시 확인하십시오.
- 사용자가 쓰기 가능한 폴더에서 휴대용 런타임 환경이 실행되지 않도록 비즈니스용 앱 제어(App Control for Business) 정책을 적용하십시오.
- Active Directory 인증서 서비스 서버 설정을 검토 및 보안하고, 마이크로소프트 공식 문서(KB5005413)에 따라 NTLM 릴레이 공격에 대한 완화 지침을 적용하십시오.
- 인증서 서비스에 대한 고급 감사를 활성화하고 비인가 로그인 및 인증서 발급 이벤트를 모니터링하십시오.