보안 연구원들이 SynkLoader라는 새로운 악성코드 계열을 식별했다. 이 악성코드는 구식 하이재킹 기술과 현대적인 기능 툴킷을 결합했으며, 분석가들은 이것이 향후 랜섬웨어 캠페인의 기반을 마련할 수 있다고 믿고 있다. 이번 발견은 사회공학, 자격 증명 탈취, 그리고 기업 방어 체계를 통과하도록 설계된 은밀한 실행 방식을 혼합한 멀티툴 악성코드 키트의 증가하는 목록에 또 하나의 항목을 추가한 것이다.

SynkLoader란 무엇이며 어떻게 작동하는가

SynkLoader는 단일 감염 방법에 의존하지 않는다는 점에서 두드러진다. 대신 여러 기능을 하나의 유연한 도구에 패키징하여, 운영자에게 대상 환경에 침투하는 방법에 대한 옵션을 제공한다. 이 캠페인에 대한 보고서는 공격자가 Microsoft Teams와 같은 업무용 채팅 플랫폼을 통해 전달되는 가짜 IT 헬프데스크 대화를 사용하여 직원을 속여 액세스 권한을 부여하거나 악성 명령을 실행하도록 유도한다고 설명한다. 일단 내부에 침투하면, 이 악성코드는 PowerShell을 사용하여 메모리에서 직접 코드를 실행할 수 있으며, 이는 바이러스 백신 도구가 탐지할 수 있는 디스크상의 명백한 흔적을 남기지 않도록 도와주는 기술이다.

이러한 유형의 사칭 공격은 기술적 취약점이 아닌 신뢰를 악용하기 때문에 효과적이다. 자신의 IT 부서에서 온 것처럼 보이는 메시지를 받은 직원은 알 수 없는 외부 발신자의 메시지보다 훨씬 덜 의심할 가능성이 높다. 이것이 바로 헬프데스크 및 지원 테마의 피싱이 최근 많은 캠페인에서 공격자에게 매우 신뢰할 수 있는 진입점이 된 이유이다.

오래된 기술의 현대적 업데이트

SynkLoader가 특히 주목할 만한 이유는 화면 하이재킹(screen hijacking)을 사용한다는 점이다. 이 기술은 공격자들이 더 정교한 원격 액세스 도구로 전환하면서 일반적인 사용에서 벗어났던 것이다. 화면 하이재킹을 통해 공격자는 피해자가 자신의 기기에서 보고 수행하는 것을 효과적으로 관찰하거나 제어할 수 있으며, 이는 입력되거나 표시되는 로그인 자격 증명을 수집하는 효율적인 방법이 된다. 이 접근 방식을 최신 기능과 함께 부활시키는 것은 SynkLoader 뒤에 있는 개발자들이 사용 가능한 자격 증명을 탈취할 가능성을 극대화하기 위해 신기술과 구기술을 아우르는 다양한 기술을 활용하고 있음을 시사한다.

레거시 기술과 현대적인 전달 방법의 결합은 주목할 가치가 있는 패턴이다. 공격자는 효과적이기 위해 완전히 새로운 것을 발명할 필요가 없다. 종종 현재 탐지 도구를 회피하는 방식으로 검증된 기술을 재포장하기만 하면 된다. GitHub 사용자가 한 번에 204개의 제로데이 취약점을 공개한 최근 사례처럼 공개적으로 유통되는 익스플로잇 코드의 꾸준한 공급은 악성코드 개발자가 SynkLoader와 같은 기존 툴킷에 새로운 기능을 추가하는 것을 더욱 쉽게 만들어 준다.

랜섬웨어 연관성

연구원들이 가장 우려하는 것은 SynkLoader가 현재 무엇을 하는지뿐만 아니라 미래를 위해 무엇을 준비하고 있을지에 대한 것이다. 이 도구의 설계, 특히 자격 증명 탈취와 은밀한 지속성에 대한 초점은 랜섬웨어 배포 전에 일반적으로 관찰되는 초기 단계 전술을 반영한다. 공격자는 일반적으로 네트워크 내에서 측면 이동을 수행하고 궁극적으로 조직의 시스템 전반에 암호화 페이로드를 배포하기 전에 유효한 자격 증명과 내부 발판이 필요하다. 정상적인 네트워크 활동에 섞이면서 비밀리에 비밀번호를 수집할 수 있는 SynkLoader와 같은 멀티툴은 그러한 초기 단계 프로필에 매우 적합하다.

이것이 모든 SynkLoader 감염이 랜섬웨어 공격으로 끝난다는 것을 의미하지는 않지만, 기술의 중첩은 분석가들이 이를 잠재적 전조로 표시하기에 충분하다. SynkLoader 활동을 탐지한 조직은 이를 일상적인 악성코드 정리가 아닌 전체 조사가 필요한 심각한 사고로 취급해야 한다.

이것이 당신에게 의미하는 바

일반 사용자와 IT 팀 모두에게 SynkLoader는 사회공학이 공격자가 초기 액세스 권한을 얻는 가장 효과적인 방법 중 하나로 남아 있음을 상기시켜 준다. 직원이 내부 IT 지원에서 온 것처럼 보이는 요청 때문에 자격 증명을 넘겨주거나 악성 스크립트를 실행하도록 설득된다면 아무리 기술적으로 정교하더라도 소용이 없다. 채팅 메시지를 액면 그대로 신뢰하는 대신 별도의 채널을 통해 헬프데스크 요청을 확인하는 것은 여전히 가장 간단하고 효과적인 방어 수단 중 하나이다.

기술적인 측면에서 엔드포인트 보호를 최신 상태로 유지하고 비정상적인 PowerShell 활동을 모니터링하면 인메모리 실행이 확대되기 전에 탐지하는 데 도움이 될 수 있다. 원격 근무나 공유 네트워크에서 자격 증명 노출이 우려되는 사람들에게는 보안 연결을 사용하는 것도 중요하다. WireGuard vs OpenVPN에 설명된 차이점과 같은 현대적 옵션을 비교하면 개인과 조직이 필요에 따라 속도와 보안을 적절히 균형 있게 조정하는 VPN 프로토콜을 선택하는 데 도움이 될 수 있다.

SynkLoader 같은 도구보다 앞서 나가기

SynkLoader는 악성코드 개발이 완전히 새로운 것을 재창조하기보다 오래된 기술과 새로운 전달 방법을 혼합하여 계속 진화하고 있음을 보여준다. 랜섬웨어 전조 행동과의 명백한 연관성은 특히 채팅 기반 IT 지원에 크게 의존하는 조직에게 면밀히 추적해야 할 위협으로 만든다.

실질적인 핵심 요점은 명확하다: 직원들이 알려진 별도의 채널을 통해 예상치 못한 IT 요청을 확인하도록 교육하고, 의심스러운 PowerShell 또는 인메모리 실행 활동을 모니터링하며, 새로운 멀티툴 악성코드를 조기에 탐지할 수 있도록 보안 도구를 최신 상태로 유지하는 것이다. 지금 이러한 패턴에 대한 경계심을 유지하는 것은 자격 증명 탈취 시도를 적발하는 것과 나중에 전체 랜섬웨어 사고에 직면하는 것 사이의 차이를 만들 수 있다.