마이크로소프트 산하 위협 인텔리전스 팀은 커넥트와이즈(ConnectWise)와의 협력을 통해 원격 기술 지원 플랫폼인 (ConnectWise ScreenConnect)의 서버와 계정을 겨냥한 활성 사이버 공격 캠페인을 밝혔습니다. 이 캠페인은 합법적인 원격 지원 도구인 해당 애플리케이션을 악용하여 무단 액세스 클라이언트를 설치하고, 고객의 엔드포인트 기기에 (SCKit)으로 알려진 고도화된 악성 웜을 배포하는 방식을 취합니다.
공격 체인은 ScreenConnect의 클라우드 또는 온프레미스 서버를 통해 시작되며, 관리형 서비스 제공업체(MSP)의 승인된 인프라와 분리된 제어 및 통신 채널을 구축하기 위해 액세스 클라이언트가 악용됩니다. 악성 웜은 PowerShell 복호화 파일 및 자동화 스크립트 카드와 같은 추가 소프트웨어 구성 요소를 배포하며, 피해를 입은 사용자를 돕기 위해 연결하는 지원 기술자의 워크스테이션을 겨냥하도록 설계된 (RelayTrap) 도구를 심습니다.
SCKit 공격이 실제로 의미하는 것은 무엇인가?
이 캠페인의 위험성은 전통적인 공격 방향을 뒤집는 능력에 있습니다. 해커들은 고객의 엔드포인트 기기를 침해하는 것에 그치지 않고, 기술자의 활성 지원 및 인증 세션을 악용하여 그들의 워크스테이션에 접근합니다. 기술자의 기기가 장악되면, 공격자는 관리 제어 콘솔을 사용하여 추가 관리형 기기에 악성 페이로드를 배포하고, 브라우저 세션 데이터와 민감한 쿠키를 탈취할 수 있습니다.
기술 분석에 따르면 해커들은 머신 ID(MachineGuid)와 AES 및 PBKDF2와 같은 알고리즘을 통해 암호화된 키를 사용하여 데이터 패킷을 복호화하는 복잡한 기술을 사용하며, 초기 연결이 끊어진 후에도 접근을 지속하고 유지하기 위해 예약 작업과 운영 체제 레지스트리 키를 생성합니다.
예방 조치 및 위험 완화 지침
보안 기관들은 무단 클라이언트를 제거하는 것만으로는 지속성 파일이 제거되거나 손상된 웹 세션이 취소되지 않으므로, 플랫폼의 서버 측면과 클라이언트 측면을 분리하여 다루어야 함을 강조했습니다. 주요 대응 및 기술적 조사 단계는 다음과 같습니다.
- 보안 취약점 사건과 관련된 영향을 받는 플러그인을 비활성화하고 공식 공급업체 지침을 따릅니다.
- 클라우드 콘솔을 업데이트해도 로컬 클라이언트가 자동으로 업데이트되지는 않으므로, 기술자 워크스테이션의 ScreenConnect 클라이언트를 안전한 버전으로 업데이트합니다.
- Microsoft Defender for Endpoint의 라이브 응답 도구와 같은 독립된 채널을 통해 기기를 조사하고, 의심스러운 플랫폼 세션에 의존하지 않습니다.
- 손상된 웹 세션을 무효화하고, 자격 증명을 순환하며, 사용된 명령 로그와 관리 도구를 검증합니다.
마이크로소프트는 조직이 페이로드 파일, 통신 네트워크, 악성 활동과 연결된 IP 주소와 관련된 침해 지표(IoI)를 탐지할 수 있도록 Defender XDR 플랫폼을 통한 고급 헌팅 쿼리를 제공합니다.