마이크로소프트는 해커들이 Outlook의 제로데이 취약점을 적극적으로 악용하고 있음을 확인했습니다. 보고서에 따르면, 이 결함은 사용자가 악성 파일을 열 때 Windows 인증 정보를 노출시킬 수 있습니다. 이러한 Outlook 제로데이 인증 해시 탈취는 진지하게 받아들일 가치가 있습니다. 탈취된 데이터가 훨씬 더 큰 문제로 이어지는 발판이 될 수 있기 때문입니다.
지금까지 공개된 세부 사항은 제한적이므로, 이 기사는 확인된 내용에만 집중하고 자격 증명 탈취가 어떻게 작동하는지에 대한 일반적인 배경을 추가합니다. 구체적인 내용이 누락된 부분은 그렇다고 명시합니다.
Outlook 제로데이가 Windows 해시를 탈취하는 방법
확인된 내용: 공격자들이 이전에 패치되지 않은 Outlook의 취약점을 악용하고 있으며, 사용자가 악성 파일을 여는 것이 트리거입니다. 그렇게 되면 Windows 인증 정보가 공격자에게 노출될 수 있습니다.
"제로데이"는 수정 프로그램이 제공되기 전에 이미 공격에 사용되고 있던 결함을 의미합니다. "악용되고 있다"는 것은 이것이 이론적인 연구 결과가 아니라는 뜻입니다. 실제 공격자들이 지금 사용하고 있습니다.
인증 해시는 Windows가 네트워크에서 사용자의 신원을 증명하기 위해 사용하는 비밀번호 또는 자격 증명의 뒤섞인 표현입니다. 일반적으로 해시를 캡처한 공격자는 원래 비밀번호를 복구하기 위해 오프라인에서 크래킹을 시도하거나, 일부 설정에서는 비밀번호를 전혀 모른 채 인증에 재사용할 수 있습니다. 원문 기사는 이 특정 결함에 대해 공격자들이 어떤 경로를 취하고 있는지 밝히지 않으며, 우리는 추측하지 않을 것입니다.
누가 위험에 처해 있으며 공격자가 탈취한 해시로 무엇을 할 수 있는가
확인된 세부 사항에 따르면, Windows에서 Outlook을 사용하며 악성 파일을 열도록 속을 수 있는 모든 사람이 잠재적으로 노출되어 있습니다. 단 한 명의 직원 자격 증명으로도 공유 시스템, 파일 서버, 내부 애플리케이션에 접근할 수 있으므로 조직은 특히 주의해야 합니다.
일반적으로 탈취된 자격 증명 자료는 다음과 같은 결과를 초래할 수 있습니다:
- 해시가 크래킹되고 비밀번호가 약하거나 재사용된 경우 계정 탈취
- 하나의 손상된 계정으로 다른 계정에 접근하는 데 사용되는 기업 네트워크 내 측면 이동
- 동일한 신원에 연결된 사서함, 파일 공유, 클라우드 서비스에서의 데이터 탈취
이러한 결과들은 자격 증명 탈취의 일반적인 위험이며, 이 특정 캠페인의 확인된 결과는 아닙니다. 그럼에도 불구하고 "단지" 인증 데이터를 유출하는 결함이 왜 중요한지 설명해 줍니다. 탈취된 접근 권한은 종종 데이터 탈취와 협박 이전의 첫 단계입니다. 탈취된 데이터가 어떻게 피해자에 대한 압박으로 변하는지에 대한 최근 사례는 정부 해킹 후 베를린 몸값 요구 보도를 참조하십시오.
지금 해야 할 일: 패치, 완화, 노출 확인
이 공격은 사용자가 악성 파일을 여는 것에 의존하므로, 방어책은 소프트웨어 업데이트와 신중한 습관의 조합입니다.
- 마이크로소프트의 수정 프로그램 또는 완화 조치를 적용하십시오. 이 Outlook 취약점에 대한 마이크로소프트의 공식 보안 지침을 확인하고, 사용 중인 버전에 사용 가능해지는 즉시 패치를 설치하십시오. 완화 조치만 게시된 경우, 기다리지 말고 오늘 적용하십시오.
- Windows와 Office를 함께 업데이트하십시오. Windows Update와 Microsoft 365 또는 Office 업데이트를 실행하여 관련 수정 사항을 놓치지 않도록 하십시오.
- 위험한 미리보기 동작을 끄십시오. 조직에서 허용하는 경우 첨부 파일의 자동 미리보기를 비활성화하고, 모르는 발신자의 파일을 열지 마십시오.
- 예상치 못한 첨부 파일을 적대적으로 취급하십시오. 이메일이 내부에서 온 것처럼 보이더라도, 비정상적인 것을 열기 전에 별도의 채널을 통해 발신자에게 확인하십시오.
- 다중 인증(MFA)을 활성화하십시오. MFA가 결함을 제거하지는 않지만, 탈취된 자격 증명만으로는 사용하기가 훨씬 어려워집니다.
- 노출이 의심되면 비밀번호를 변경하십시오. 의심스러운 파일을 열었다면 비밀번호를 변경하고 IT 또는 보안 팀에 즉시 알려 비정상적인 로그인 기록을 검토할 수 있도록 하십시오.
IT 관리자는 또한 비정상적인 인증 시도와 워크스테이션에서의 예상치 못한 아웃바운드 연결을 주시해야 합니다. 이는 자격 증명 캡처의 징후일 수 있기 때문입니다. 마이크로소프트의 자체 권고에는 지표와 수정 사항의 권위 있는 목록이 있을 것입니다.
VPN이 이 공격을 막지 못하는 이유
프라이버시 조언이 VPN에 집중되어 있는 만큼, 직접적으로 말할 가치가 있습니다. VPN은 이 문제에 대한 방어책이 아닙니다. VPN은 기기와 VPN 서버 간의 트래픽을 암호화하고 IP 주소를 숨깁니다. 악성 파일을 여는 것을 막지 못하며, Outlook 내부의 취약점을 복구하지도 않습니다.
이 공격은 자신의 기기에서 애플리케이션 및 인증 수준에서 작동합니다. 여기서 중요한 수정 사항은 패치, 신중한 이메일 습관, MFA와 같은 강력한 계정 보호입니다. VPN은 공용 Wi-Fi에서 트래픽을 보호하는 등 다른 프라이버시 목적에는 여전히 유용할 수 있지만, 이런 종류의 결함에 대한 보호로 오해해서는 안 됩니다.
이것이 당신에게 의미하는 것
Windows에서 Outlook을 사용한다면, 이것이 미래의 위협이 아니라 현재 진행 중인 위협이라고 가정하십시오. 실질적인 위험은 한 순간으로 귀결됩니다. 열지 말아야 할 파일을 여는 것입니다. 예상치 못한 첨부 파일에 대해 신중하고, 소프트웨어를 최신 상태로 유지하며, 계정이 MFA로 보호되도록 하여 유출된 자격 증명만으로는 공격자가 침입할 수 없도록 하십시오.
기업에게 이것은 자격 증명 탈취를 더 큰 사고로 이어지는 관문으로 취급해야 한다는 알림입니다. 신속한 패치와 효과적인 모니터링은 공격자가 작업할 수 있는 시간을 줄여줍니다.
핵심 요점
- 마이크로소프트는 악성 파일을 열 때 Windows 인증 정보를 노출시킬 수 있는 Outlook 제로데이의 활발한 악용을 확인했습니다.
- 마이크로소프트의 패치 또는 게시된 완화 조치를 오늘 적용하고, Windows와 Office를 업데이트하십시오.
- 가능한 경우 위험한 미리보기 기능을 비활성화하고 예상치 못한 첨부 파일을 열기 전에 확인하십시오.
- 이메일과 업무 계정에 MFA를 활성화하고, 의심스러운 것을 열었다고 생각되면 비밀번호를 변경하십시오.
- VPN은 Outlook 제로데이 인증 해시 탈취로부터 보호하지 못합니다. 패치와 피싱 위생이 보호합니다.
지금 업데이트 상태를 확인하고, 매일 Outlook에 의존하는 동료나 가족에게 이 내용을 공유하십시오.
