러시아 정부 지원 해킹 그룹 '런드리 베어(Laundry Bear)', 다른 추적명 '보이드 블리자드(Void Blizzard)'가 마이크로소프트 익스체인지의 아웃룩 웹 액세스(OWA) 인터페이스에서 이전에 알려지지 않은 취약점을 악용하는 것이 적발되었다. 이 캠페인은 OWAReaper라는 맞춤형 백도어를 유포하여 공격자에게 피해자의 이메일 계정에 은밀하고 장기적인 접근 권한을 부여한다. 이번 Exchange OWA 제로데이 해킹은 기업 이메일 시스템이 여전히 국가 지원 스파이 활동의 가장 매력적인 표적 중 하나이며, 패치만으로는 격차를 충분히 빠르게 좁히기 어렵다는 사실을 상기시킨다.
런드리 베어 / OWAReaper 캠페인이란 무엇인가
런드리 베어(보이드 블리자드라고도 함)는 정부, 국방, 기업 이메일 인프라를 표적으로 삼아온 러시아 정부 지원 위협 행위자다. 이번 최신 캠페인에서 이 그룹은 전용 데스크톱 클라이언트 없이도 브라우저에서 이메일을 확인할 수 있는 웹 기반 포털인 Exchange OWA의 제로데이 결함을 악용하고 있다. 이 취약점을 이용해 공격자는 단순한 일회성 데이터 탈취가 아니라 장기간 은밀하게 사서함에 접근하도록 설계된 백도어인 OWAReaper를 배포한다.
이 캠페인이 주목할 만한 점은 지속성이다. 데이터를 한 번 유출하고 떠나는 대신, 표적 사서함에 오랫동안 거점을 유지해 통신을 지속적으로 감시하는 것이 목표로 보인다. 이러한 장기 접근은 금전적 이익을 노리는 사이버 범죄보다는 스파이 활동의 전형으로, 러시아 국가 행위자들이 바로 이런 은밀한 발판을 마련하기 위해 기업 웹메일 플랫폼을 탐색하는 패턴과 일치한다. 이는 러시아 스파이들이 Zimbra 제로데이를 악용해 NATO 이메일을 공격한 사례 와도 유사한 양상으로, 여러 공급업체의 웹메일 플랫폼이 동일한 부류의 공격자에게 노출되고 있음을 보여준다.
이 Exchange 취약점의 위험 대상
OWA가 인터넷에 노출된 온프레미스 또는 하이브리드 Exchange 서버를 운영하는 조직이 가장 우려되는 대상이다. OWA는 편의를 위해 설계되었다. 직원, 임원, IT 관리자는 VPN 클라이언트나 관리 대상 기기 없이도 원격으로 이메일에 액세스할 수 있다. 바로 그 편의성이 OWA를 고가치 표적으로 만든다. 직원이 관리되지 않는 노트북, 개인 전화기 또는 공용 네트워크에서 웹메일에 로그인할 수 있는 조직이라면, 기반이 되는 Exchange 서버에 이 결함에 대한 보안 강화나 패치가 적용되지 않은 경우 잠재적으로 노출될 수 있다.
정부 기관, 방산 업체, 민감한 외교나 정책 관련 통신을 다루는 조직은 역사적으로 런드리 베어와 같은 그룹이 선호하는 표적이다. 그러나 이런 캠페인에 사용된 도구는 세부 정보가 공개되면 덜 정교한 행위자들에 의해 재사용되거나 복제되는 경우가 많다. 따라서 중소기업이나 비정부 기구도 국가에 전략적 가치가 없다는 이유로 자신들이 무관한 표적이라고 가정해서는 안 된다.
패치되지 않은 기업 이메일 시스템이 여전히 최고의 스파이 표적인 이유
이메일은 여전히 기관 커뮤니케이션의 중추이므로, 사서함은 타의 추종을 불허하는 정보 소스다. 단 하나의 손상된 사서함만으로도 내부 전략, 개인 식별 정보, 금융 세부 정보, 파트너나 고객과의 통신 내용이 드러날 수 있다. 특히 Exchange는 공격자가 가장 원하는 두 가지가 교차하는 지점에 위치해 있기 때문에 수년간 반복적으로 표적이 되어 왔다. 바로 웹메일 포털을 통한 광범위한 인터넷 노출과 조직 내부 네트워크와의 깊은 통합이다.
이번 OWAReaper 캠페인과 같은 제로데이 취약점은 발견 시점에 사용할 수 있는 패치가 없기 때문에 특히 위험하다. 방어 담당자는 공급업체 수정 사항이 발표되고 적용될 때까지 탐지, 네트워크 분할, 접근 제한에 의존할 수밖에 없다. 때로는 몇 주 동안 지속되는 이 간극이 바로 국가 지원 그룹이 가장 큰 피해를 입히는 시기로, 원래 취약점이 결국 패치된 후에도 오래 살아남을 수 있는 백도어를 심어 놓는다.
VPN 및 기타 보호 조치가 기업 이메일 접근 보안에 어떻게 기여하는가
VPN만으로는 공격자가 웹메일 애플리케이션 자체의 결함을 악용하는 것을 막을 수 없지만, 더 넓은 방어 전략에서 의미 있는 계층으로 남아 있다. OWA 접근을 전체 인터넷에 개방하는 대신 기업 VPN을 통해 연결된 기기로만 제한하면 공격 표면을 크게 줄일 수 있다. 여기에 다중 인증, 네트워크 분할, 사서함 접근 로그에 대한 엄격한 모니터링을 결합하면, 조직은 제로데이가 악용되더라도 OWAReaper와 같은 백도어가 탐지되지 않고 작동하는 것을 훨씬 더 어렵게 만든다.
이것이 의미하는 바
Exchange와 OWA에 의존하는 조직에서 일한다면, 현재 패치 상태와 OWA가 인터넷에 직접 노출되어 있는지 아니면 VPN 뒤에 가려져 있는지 IT 또는 보안 팀에 확인하라는 신호다. IT 관리자라면 공식 패치를 기다리기보다 지금 접근 제어를 강화하는 것이 위험을 의미 있게 줄일 수 있다. 개별 직원에게는 이번 기회에 예상치 못한 로그인 프롬프트, 평소와 다른 사서함 동작, 미묘하게 이상해 보이는 이메일 등에 더 주의를 기울이는 것이 좋다. 백도어 캠페인은 눈에 띄는 위험 신호보다 은밀한 지속성에 의존하는 경우가 많기 때문이다.
실행 가능한 조치
- IT 부서에 조직의 Exchange 서버가 OWA 관련 최신 보안 업데이트를 받았는지 문의하세요.
- 가능한 경우, OWA 접근을 공용 인터넷에 개방하지 말고 VPN 연결 기기로 제한하세요.
- 모든 이메일 계정, 특히 관리 권한이 있는 계정에 다중 인증을 활성화하고 시행하세요.
- OWAReaper와 같은 백도어가 이미 활성화되어 있을 수 있음을 나타내는 비정상적인 사서함 규칙, 전달 설정, 로그인 위치를 모니터링하세요.
- 국가 지원 행위자들이 여러 이메일 플랫폼으로 대상을 자주 전환하므로, 러시아 스파이들이 Zimbra 제로데이를 악용해 NATO 이메일을 공격한 사례에서 본 패턴을 포함하여 관련 캠페인 정보를 지속적으로 파악하세요.
이번 Exchange OWA 제로데이 해킹은 더 넓은 진실을 강조한다. 기업 이메일은 미션 크리티컬하면서 동시에 인터넷에 접해 있는 한 국가 지원 스파이 활동의 최우선 표적으로 남을 것이다. 앞서 나가기 위해서는 단 한 번의 수정으로는 부족하다. 계층화된 접근 제어, 경계심 있는 모니터링, 그리고 웹메일 포털을 다른 중요한 인프라와 동일한 수준의 정밀함으로 대하는 습관이 필요하다.
