반도체 전문 온라인 매거진 - 올포칩

카스퍼스키(www.kaspersky.co.kr 지사장 이효은)는 카스퍼스키 GReAT(글로벌 연구 분석팀)이 정부, 금융, 산업 등 주요 기관의 윈도우 서버 시스템을 겨냥한 사이버 공격인 ‘패시브뉴런(PassiveNeuron)’을 발견했다고 밝혔다. 이 공격은 2024년 12월부터 활동이 포착되어 2025년 8월까지 지속된 것으로 확인됐다. 

약 6개월간의 비활동 기간 이후, PassiveNeuron은 활동을 재개하며 새로운 공격 도구를 활용해 표적 네트워크에 침투 및 지속적으로 접근 권한을 확보하고 있다. 공격자들이 사용한 주요 도구는 총 3가지로, 이 중 2개는 새롭게 발견된 악성코드다.

• Neursite: 모듈형 백도어로, 시스템 정보 수집, 실행 중인 프로세스 제어, 네트워크 트래픽 라우팅 등을 수행해 내부망 측면 이동을 가능하게 한다.
• NeuralExecutor: .NET 기반 임플란트로, 추가 페이로드를 다운로드 및 실행할 수 있으며, 다양한 통신 방식을 지원한다.
• Cobalt Strike: 보안 점검용으로 개발된 침투 테스트 프레임워크이지만, 위협 행위자들이 공격 도구로 악용하는 사례가 많다. 

카스퍼스키 게오르기 쿠체린 GReAT 소속 연구원은 “PassiveNeuron의 특징은 조직 네트워크의 중추인 서버 시스템을 직접 겨냥한다는 점이다. 특히 인터넷에 노출된 서버는 APT 그룹에게 매력적인 표적이 되며, 하나의 서버가 침해되면 핵심 시스템 전체로 접근이 확대될 수 있다. 따라서 공격 표면을 최소화하고 서버 애플리케이션에 대한 지속적인 모니터링을 통해 위협 징후를 조기에 탐지·차단하는 것이 중요하다”라고 강조했다. 

카스퍼스키 이효은 한국지사장은 “PassiveNeuron의 서버 대상 공격은 한국에 심각한 경고 신호를 보내고 있다. 이미 정부·금융 분야 등 주요 인프라를 중심으로 사이버 사고가 빈번하게 발생하고 있는데, 서버가 침해될 경우 그 피해는 치명적일 것이다. PassiveNeuron이 사용하는 새로운 도구와 교묘한 기만 전술은 더욱 정교해지고 있으며, 국내의 사이버 보안 인력 부족 문제까지 겹쳐 있다. 이에 카스퍼스키는 위협 인텔리전스(TI), EDR, 보안 교육을 통합한 다계층 방어 체계 구축을 지원함으로써, 한국 조직들이 자사 보안 역량을 강화할 수 있도록 적극 협력하고 있다”라고 밝혔다. 

카스퍼스키 연구팀에 따르면, PassiveNeuron 샘플 코드 내부의 함수명이 키릴 문자로 대체되어 있었으며, 이는 분석을 혼란시키기 위한 의도적 ‘False Flag’일 가능성이 있다. 카스퍼스키는 공격자의 전술, 기술, 절차를 기반으로 중국어 사용 위협 그룹으로 추정하고 있으며, 2024년 초에도 동일한 그룹의 정교한 활동을 감지한 바 있다. 

보다 자세한 내용은 카스퍼스키 보안 블로그 Securelist.com 에서 확인할 수 있다. 

PassiveNeuron 표적형 공격 대응 방안

알려진 또는 알려지지 않은 위협 행위자의 표적 공격에 희생되지 않기 위해 카스퍼스키 연구진은 다음과 같은 조치를 시행할 것을 권장한다:

• 최신 위협 인텔리전스 확보: SOC 팀에 최신 위협 인텔리전스에 대한 접근 권한을 제공해야 한다. Kaspersky Threat Intelligence Portal은 회사의 TI를 위한 단일 접근 지점으로, 카스퍼스키가 20년 이상 수집한 사이버 공격 데이터와 통찰력을 제공한다.
• 보안 역량 강화: GReAT 전문가들이 개발한 Kaspersky online training을 통해 사이버 보안 팀의 역량을 강화하여 최신 표적 위협에 대응해야 한다.
• 엔드포인트 탐지 및 대응(EDR) 도입: 엔드포인트 수준의 탐지, 조사 및 신속한 사고 대응을 위해 Kaspersky Endpoint Detection and Response와 같은 EDR 솔루션을 도입해야 한다.
• 네트워크 수준의 고급 위협 탐지: 필수적인 엔드포인트 보호를 채택하는 것 외에도, Kaspersky Anti Targeted Attack Platform과 같이 네트워크 수준에서 고급 위협을 조기에 탐지하는 기업용 보안 솔루션을 구현해야 한다.
• 보안 인식 제고 교육: 많은 표적 공격이 피싱이나 기타 사회공학적 기법으로 시작되므로, Kaspersky Automated Security Awareness Platform 등을 통해 팀원들에게 보안 인식 교육과 실용적인 기술을 제공해야 한다.