9월 7일부터 13일까지를 다루는 새로 발표된 주간 위협 권고문이 연구자들이 "지속적인 기준선 변화"라고 묘사하는 수준의 조직적 사이버 공격 활동을 지적했다. 이 보고서는 해당 주간에 동시에 활동한 33개의 APT(지능형 지속 위협) 클러스터를 추적했는데, 이는 새로운 최고치이며 활동이 역사적 기준을 웃도는 수준으로 3주 연속 유지된 것이다.

이러한 권고문은 일반적으로 보안 운영 팀과 CISO를 위해 작성되지만, 그 이면의 수치는 인터넷을 통해 은행 업무를 보고, 쇼핑하고, 일하고, 소통하는 모든 사람에게 중요하다. 활동 중인 위협 인프라의 규모가 이렇게 급격히 증가하고 그 수준이 유지되면, 일반 사용자가 피싱 페이지, 악성 다운로드, 또는 감염된 네트워크를 접할 확률도 그만큼 높아진다.

수치가 실제로 보여주는 것

권고문의 핵심 수치인 33개의 동시 APT 클러스터는 국가 연계 또는 조직화된 사이버 범죄 행위자들이 동시에 캠페인을 운영하는 서로 다른 활동 중인 그룹을 의미한다. 연구자들은 이전 지침에서 하나의 기준선을 설정했다고 언급했다. 보고 주간에 그 수치가 15를 넘으면 일시적 급증이 아닌 지속적인 변화의 증거로 간주한다는 것이었다. 문제의 주간은 33으로, 그 기준선의 두 배가 넘었기에 분석가들은 이를 우연이 아닌 확인된 기준선 변화라고 부르고 있다.

클러스터 수와 함께, 보고서는 57,981개의 고유한 침해 지표(IOC)를 기록했다. 이는 방어자들이 공격을 탐지하고 차단하는 데 사용하는 디지털 지문, 악성 IP 주소, 파일 해시, 도메인을 말한다. 하나의 "지속적인 C2 운영자", 즉 장기간 유지되는 명령 및 제어 인프라를 운영하는 위협 행위자가 그 IOC 중 53,000개 이상을 단독으로 차지했다. 이러한 집중은 증가분이 여러 소규모 행위자에 고르게 분산된 것이 아니라, 특히 활발하고 자원이 풍부한 하나의 작전이 전체 규모의 상당 부분을 주도하고 있음을 시사한다.

권고문은 또한 기준선 대비 랜섬웨어 활동이 5.5배 급증했다고 기록했다. 랜섬웨어 캠페인은 일상적인 사용자에게 영향을 미치는 것과 동일한 전술, 즉 피싱 이메일, 노출된 원격 접속 지점, 패치되지 않은 소프트웨어 취약점으로 시작하는 경우가 많아 주목할 만하다. 랜섬웨어 작전의 급격한 증가는 종종 그러한 작전에 자원을 공급하는 대규모 피싱 및 자격 증명 탈취 캠페인의 증가와 연관된다.

"지속적인 기준선 변화"가 급증과 다른 이유

보안 연구자들은 1~2주 내에 정상으로 돌아가는 단기 급증과, 새롭고 지속되는 활동 수준을 나타내는 기준선 변화를 구분한다. 이 권고문의 표현은 의도적이다. 3주 연속 상승한 수치와 이전에 설정된 기준선을 훨씬 초과한 클러스터 수가 결합되어, 이것이 일회성으로 바쁜 한 주였던 것이 아니라 위협 환경 자체가 변했다는 증거로 해석되고 있다.

독자에게 실질적인 함의는 명확하다. 공격이 드물고 고립된 사건이라고 가정하는 보안 조언은 점점 현실과 동떨어지고 있다. 이번 주 IOC의 대부분을 차지한 C2 운영자와 같은 지속적인 인프라는 오래 남아 여러 캠페인에 걸쳐 재사용되는 경향이 있으며, 이는 동일한 악성 도메인과 서버가 처음 식별된 후 수주 또는 수개월 동안 피싱 시도나 악성코드 유포에 다시 나타날 수 있음을 의미한다.

이러한 종류의 지속적인 인프라는 새로 공개된 소프트웨어 취약점과 결합될 때 위험을 더욱 증폭시킨다. 예를 들어, 최근 공개된 MiniPlasma 권한 상승 취약점은 공격자가 표준 패치가 적용된 후에도 Windows 컴퓨터에서 완전한 SYSTEM 수준 접근 권한을 얻을 수 있는 방법을 보여준다. 지속적인 C2 운영자가 견고한 인프라와 이와 같은 최신 익스플로잇에 모두 접근할 수 있을 때, 그 조합은 더 긴 기간 동안 피해자 장치에 도달하고 제어할 수 있는 더 많은 방법을 제공한다.

이것이 당신에게 의미하는 것

이러한 변화의 영향을 받기 위해 보안 전문가일 필요는 없다. APT 및 랜섬웨어 활동의 증가는 일반적으로 더 많은 피싱 이메일, 더 많은 악성 광고와 가짜 로그인 페이지, 그리고 특정 국가 배후 그룹의 표적이 아니더라도 패치되지 않은 장치가 기회주의적으로 표적이 될 가능성이 더 높아진다는 것을 의미한다.

좋은 소식은 위협 규모가 커졌다고 해서 개인 사이버 보안의 기본이 바뀌지는 않는다는 것이다. 달라지는 것은 일관성의 중요성이다. 소프트웨어를 최신 상태로 유지하고, 예상치 못한 링크와 첨부 파일을 의심하며, 다중 인증과 함께 강력하고 고유한 비밀번호를 사용하는 것이 지속적인 위협 행위자가 가장 의존하는 전술에 맞서는 가장 효과적인 방어책으로 남아 있다.

실천 가능한 시사점

  • 지속적인 APT 활동은 종종 알려졌지만 패치되지 않은 취약점을 악용하므로, 운영 체제와 애플리케이션을 자동 업데이트로 설정하라.
  • 이번처럼 활동 증가가 확인된 기간에는 예상치 못한 이메일, 링크, 로그인 프롬프트를 각별히 주의하라.
  • 가장 중요한 계정, 특히 이메일, 은행, 클라우드 스토리지에 다중 인증을 활성화하라.
  • 이 권고문에서 지적된 랜섬웨어 활동의 급격한 증가를 고려하여, 중요한 파일을 정기적으로 백업하고 최소 한 부는 오프라인으로 보관하라.
  • 신뢰할 수 있는 출처의 보안 권고문을 따라 위협 수준이 실제로 상승했는지 일상적인 배경 소음인지 파악하라.

이와 같은 주간 위협 권고문은 궁극적으로 단일 사건이 아니라 시간에 따른 패턴 인식에 관한 것이다. 3주 연속 확인되고 거의 58,000개의 고유한 침해 지표로 뒷받침된 지속적인 기준선 변화는 주목할 가치가 있는 신호다. 그 기준선이 계속 진화함에 따라 기본적인 보안 위생을 최신 상태로 유지하는 것이 보호를 받는 가장 신뢰할 수 있는 방법으로 남아 있다.