EDR을 무력화하는 랜섬웨어 프레임워크에 계층적 방어가 필요하다
랜섬웨어 그룹들은 자신들의 공격 규칙을 조용히 다시 작성했다. 보안 도구가 대응하기 전에 파일을 암호화하기 위해 경쟁하는 대신, 많은 이들이 이제 더 계산된 첫 단계를 밟고 있다: 그러한 도구들을 완전히 무력화하는 것이다. EDR(엔드포인트 탐지 및 대응)을 무력화하는 랜섬웨어 방어 전략의 부상은 수년간 기업 보안을 형성해온 근본적인 가정에 도전한다. 바로 EDR 소프트웨어가 신뢰할 수 있는 마지막 보호선 역할을 한다는 가정이다.
공격자가 공격이 시작되기도 전에 그 계층을 무력화할 수 있다면, 전체 보안 모델은 재검토가 필요하다.
EDR 무력화 프레임워크의 작동 방식과 확산 이유
EDR 소프트웨어는 엔드포인트 수준에서 프로세스 동작, 파일 활동 및 네트워크 호출을 모니터링함으로써 작동한다. 실시간으로 의심스러운 패턴을 식별하여 보안 팀에 경고하거나 위협을 자동으로 격리할 수 있다. 바로 그 가시성이 공격자들이 제거하고 싶어 하는 대상이다.
EDR 킬러라고도 불리는 EDR 무력화 프레임워크는 일반적으로 합법적이지만 취약한 드라이버와 관련된 취약점 계열을 악용한다. Windows는 특정 서명된 커널 수준 드라이버에 높은 신뢰를 부여하기 때문에, 공격자는 취약한 드라이버를 대상 머신에 로드하고 이를 사용하여 사용자 공간에서 실행 중인 보안 프로세스를 종료하거나 무력화하는 수단으로 삼는다. BYOVD(Bring Your Own Vulnerable Driver)로 광범위하게 알려진 이 기법은 문서화된 공격 체인에서 EDRKillShifter 도구를 배포한 RansomHub을 비롯한 여러 랜섬웨어 작전에 채택되었다.
공격자에게 이 방식의 매력은 간단하다. EDR이 무력화되면 내부 이동, 데이터 유출, 파일 암호화를 포함한 나머지 공격 단계를 탐지나 차단의 위험을 크게 줄인 채 진행할 수 있다. 보안 팀은 너무 늦을 때까지 아무것도 볼 수 없다.
이러한 프레임워크는 진입 장벽이 낮아지고 있기 때문에 더욱 확산되고 있다. 툴킷이 상품화되고 서비스형 랜섬웨어 생태계 전반에 걸쳐 공유되면서 기술적 정교함이 제한된 그룹들도 이제 자신들의 페이로드와 함께 이를 배포할 수 있다.
엔드포인트 보안이 사라졌을 때 일어나는 일
EDR 제거가 성공했을 때 즉각적인 결과는 엔드포인트에서의 가시성 상실이다. 보안운영센터(SOC) 팀은 원격 측정 데이터를 잃는다. 자동화된 대응 규칙이 작동을 멈춘다. 사고 대응 플레이북에 내장된 가정들은 더 이상 유효하지 않다.
이것은 단순한 기술적 문제가 아니다. 조직적 문제다. 많은 보안 프로그램이 EDR이 신뢰할 수 있는 탐지 하한선을 제공한다는 생각을 중심으로 설계되었다. 그 하한선이 사라지면, 보완 통제 수단이 없는 팀들은 예측할 수 없었던 공격에 대응해야 하는 상황에 처하게 된다.
여기서의 더 넓은 패턴은 공격자들이 애초에 초기 접근 방식을 어떻게 바꾸고 있는지와 연관된다. Verizon 2026 데이터 유출 조사 보고서가 밝혔듯, 소프트웨어 취약점이 탈취된 자격 증명을 제치고 유출의 주요 진입점으로 올라섰다. 공격자들은 접근 권한을 얻기 위해 소프트웨어 결함을 악용한 후 EDR 무력화 도구를 배포하여 가시성을 제거한 다음 주 페이로드를 실행한다. 두 가지 추세는 서로를 강화한다.
의료 기관은 특히 취약하다. 상시 가용 시스템에 의존하는 분야에서 가시성 공백의 결과는 심각하며, ChipSoft 유출 사건과 같은 사례는 방어 체계가 우회되었을 때 불충분한 암호화가 피해를 어떻게 가중시키는지 보여주었다.
네트워크 계층 방어가 공백을 메우는 이유
엔드포인트 보안과 네트워크 계층 보안은 중복되지 않는다. 이들은 서로 다른 것을 관찰한다. EDR이 무력화되더라도 네트워크 트래픽은 여전히 흐르고 그 트래픽은 신호를 전달한다.
네트워크 탐지 및 대응(NDR) 도구는 네트워크 경계 내부의 동서 트래픽, 내부 이동 패턴, 비정상적인 DNS 쿼리 및 예기치 않은 외부 연결을 모니터링한다. 결정적으로, 이들은 엔드포인트 에이전트와 독립적으로 작동한다. EDR 프로세스를 종료한 공격자는 네트워크 모니터링 인프라를 동시에 무력화할 직접적인 메커니즘이 없다.
VPN과 암호화된 터널은 이 그림에서 지원 역할을 한다. 조직 차원에서 모든 트래픽이 모니터링되는 VPN 게이트웨이를 통과하도록 요구하면 엔드포인트가 손상되더라도 네트워크 경로가 가시적으로 유지되고 정책 시행 대상이 된다. 제로 트러스트 네트워크 접근(ZTNA) 아키텍처는 초기 로그인뿐 아니라 네트워크 계층에서 지속적인 검증을 요구함으로써 이를 더욱 확장한다.
원격 근무자 및 분산된 팀의 경우, VPN 시행은 잠재적으로 손상된 엔드포인트의 트래픽이 경계 통제를 완전히 우회하지 못하도록 보장한다. 네트워크 계층은 EDR을 무력화하는 멀웨어가 단순히 종료할 수 없는 2차 검사 지점이 된다.
실질적 조치: VPN 및 암호화와 EDR의 계층화
회복력 있는 보안 아키텍처는 EDR을 여러 계층 중 하나로 취급하며, 유일한 탐지 메커니즘으로 여기지 않는다. 다음은 조직이 EDR 무력화 공격에 대한 노출을 줄이기 위해 취할 수 있는 구체적인 단계들이다.
드라이버 정책을 감사하라. WDAC(Windows Defender Application Control)는 알려진 취약 드라이버가 로드되기 전에 차단하도록 구성할 수 있다. Microsoft는 적극적으로 적용하고 최신 상태로 유지해야 하는 차단 목록을 유지 관리한다. 이는 BYOVD 기법을 근원에서 직접 목표로 삼는다.
EDR 변조 방지를 활성화하라. 대부분의 주요 EDR 플랫폼은 사용자 공간에서 에이전트를 종료하기 훨씬 더 어렵게 만드는 변조 방지 기능을 포함한다. 이 기능들은 기본적으로 활성화되지 않은 경우가 많으며, 모든 보안 감사의 일부로 확인되어야 한다.
네트워크 계층 가시성에 투자하라. 현재 스택이 엔드포인트 원격 측정에 크게 의존하고 있다면, NDR 또는 네트워크 흐름 분석을 추가하여 독립적인 탐지 채널을 제공하라. 이는 엔드포인트가 손상된 경우에도 내부 이동 및 유출 시도가 계속 가시적으로 남도록 보장한다.
모든 원격 접근에 VPN 또는 ZTNA를 시행하라. 트래픽이 모니터링되는 게이트웨이를 통과하도록 요구하면 2차 검사 지점이 추가된다. 이를 암호화된 통신 정책과 결합하여 가로챈 트래픽도 공격자에게 사용 가능한 데이터를 제공하지 못하도록 하라.
EDR 실패를 가정한 도상 훈련을 수행하라. EDR이 항상 작동한다고 가정하는 사고 대응 계획은 가장 필요할 때 바로 그 시나리오에서 실패할 것이다. 엔드포인트 원격 측정을 사용할 수 없는 시나리오에 대응하는 연습을 하라.
랜섬웨어 운영자들은 자신들의 전략을 분명히 했다: 페이로드를 배포하기 전에 그들을 막도록 설계된 도구를 제거하는 것이다. 가장 잘 대처할 조직은 전체 방어 부담을 단일 계층에 의존하지 않는 조직들이다. 지금이 보안 스택을 감사하고, 네트워크 수준에서 보완 통제가 마련되어 있는지 확인하며, 가장 필요할 때 엔드포인트 도구가 없을 수도 있는 상황에 대비한 사고 대응 계획을 수립해야 할 때다.
