안랩-국가사이버안보센터, APT 그룹 ‘TA-ShadowCricket’ 관련 합동 추적 보고서 발표

안랩(대표 강석균, www.ahnlab.com) ASEC(AhnLab SEcurity intelligence Center)과 국가사이버안보센터(NCSC, National Cyber Security Center, www.ncsc.go.kr, 이하 NCSC)가 중국과 연관된 것으로 추정되는 APT 그룹 ‘TA-ShadowCricket(티에이 섀도우크리켓, 별칭: Shadow Force)’의 최근 사이버 공격 활동을 공동으로 추적·분석한 APT 그룹 추적 보고서를 발표했다. 이번 보고서는 사이버 보안의 중요성이 날로 증가하는 가운데, APT 그룹의 활동을 감시하고 분석하는 것이 얼마나 필수적인지를 다시 한번 상기시켜준다.

‘TA-ShadowCricket’은 2012년경부터 활동을 시작한 것으로 추정되며, 중국 연관성이 의심되나 국가 지원 여부는 불확실한 APT 공격 그룹이다. 이들은 관련 정보가 거의 없어 보안 업계에서도 상대적으로 주목을 받지 않았던 조직이다. 그러나 이러한 낮은 주목도에도 불구하고, 그들의 공격 방식은 매우 정교하고 지속적임을 보여준다.

이번 보고서에는 안랩과 NCSC가 2023년부터 최근까지 ‘TA-ShadowCricket’의 활동을 공동으로 추적한 결과가 담겨 있다. 이들의 분석 결과는 사이버 보안 커뮤니티에 중요한 경고 신호를 전달하며, 향후 유사한 공격에 대한 경각심을 일깨우는 데 기여할 것으로 기대된다.

이번 분석에서 ‘TA-ShadowCricket’은 외부에 노출된 윈도우 서버의 원격 접속(RDP) 기능이나 데이터베이스 접속(MS-SQL)을 노려 시스템에 침투해, 전 세계 2000대 이상의 감염된 시스템을 조용히 통제해 오고 있었던 것으로 나타났다. 이는 이들이 단순한 해킹을 넘어, 대규모 감염망을 구축하고 있다는 점에서 우려를 자아낸다.

이 밖에도 보고서에는 해커들이 사용한 악성 프로그램의 종류, 감염 방식, 피해 범위 등 구체적인 정보가 포함돼 있다. 이러한 정보는 보안 전문가들이 향후 유사한 공격을 방지하는 데 중요한 자료로 활용될 수 있을 것이다.

이번 분석을 주도한 안랩 ASEC A-FIRST팀 이명수 팀장은 “이번 공격 그룹은 수천 개의 피해 시스템과 C&C 서버를 13년 이상 운영하면서도 조용히 활동해 온 보기 드문 사례”라며 “이처럼 장기간 통제되고 있는 감염 시스템은 공격자의 의도에 따라 언제든 실제 공격에 활용될 수 있는 만큼, 악성코드 제거와 C&C 서버 무력화 등 선제적인 대응이 무엇보다 중요하다”고 말했다. 이는 사이버 공격의 진화 양상에 대한 경고로 해석될 수 있다.

합동 보고서 전문은 ASEC의 위협 인텔리전스 분석 정보 채널 ‘ASEC 블로그(https://asec.ahnlab.com/ko)’에서 확인할 수 있다.

보고서 주요 내용

안랩과 NCSC의 이번 보고서에 따르면, ‘TA-ShadowCricket’은 금전 요구나 정보 유출 등 일반적인 해킹에서 흔히 나타나는 행위 없이, 침투 후 오랜 기간 들키지 않은 채 시스템을 조용히 장악한 상태를 유지하는 방식으로 활동해 온 것이 특징이다. 이는 기존의 사이버 공격 패턴과는 다른, 새로운 형태의 위협을 제시하고 있다.

이 공격 그룹은 외부에 노출된 윈도우 서버의 원격 접속(RDP) 기능이나 데이터베이스 접속(MS-SQL)을 대상으로, 포트 정보를 탐색한 뒤 비밀번호를 무작위로 시도하는 방식(Brute-force, 브루트포스 공격)으로 침투한다. 감염 이후에는 시스템을 원격으로 조종할 수 있는 백도어(backdoor) 악성코드를 설치하고, 이를 정상 실행파일(EXE 파일) 내부에 몰래 삽입해 사용자가 의심 없이 실행하도록 만든다. 이러한 방식은 사용자들의 경각심을 낮추고, 공격의 성공률을 높이는 데 기여하고 있다.

백도어 악성코드는 공격자의 C&C 서버와 연결돼 있으며, 공격자가 직접 다시 접속하지 않아도 감염된 시스템에서 명령 자동 수행, 정보 탈취, 추가 악성코드 설치 등 다양한 악성 행위가 가능하다. 이는 공격자가 언제든지 시스템을 조종할 수 있는 여지를 남기며, 사이버 보안의 취약성을 더욱 부각시키고 있다.

안랩과 NCSC가 ‘TA-ShadowCricket’이 실제로 운영하던 C&C 서버를 확보해 추적한 결과 ‘TA-ShadowCricket’의 C&C 서버에는 2000개 이상의 피해 시스템이 연결돼 있었으며, 이 중에는 실제로 운영 중인 중요한 시스템도 포함돼 있었다. 공격자는 이 시스템들을 자신이 만든 봇넷(botnet, 감염된 컴퓨터 네트워크)의 일부로 삼아, 필요시 언제든지 분산 서비스 거부(DDoS) 공격이나 추가 침해에 활용할 수 있는 상태로 유지하고 있는 것으로 나타났다. 이는 그들의 공격 전략이 단순히 정보 탈취에 그치지 않고, 대규모 파괴를 목표로 하고 있음을 시사한다.

대응 방안

피해 예방을 위해 사용자는 윈도우 운영체제와 MS-SQL 서버, 원격 접속(RDP) 기능 등을 항상 최신 상태로 업데이트하고, 외부에서 접근 가능한 설정이 열려 있는지 점검하는 것이 중요하다. 특히 관리자 비밀번호는 영문·숫자·특수문자를 조합해 복잡하게 설정하고, 가능한 경우 다단계 인증(MFA)을 적용해야 한다. 이러한 예방 조치는 사이버 공격의 위험을 줄이는 데 매우 효과적일 것이다.

안랩은 현재 V3, EDR, MDS 등 자사 보안 솔루션에서 해당 그룹이 사용하는 악성코드를 탐지 및 차단하고 있으며, 공격에 사용된 C&C 서버와 도메인에 대한 대응 체계를 강화하고 있다. 또한, 이번 분석에서 확인된 침해 방식과 악성코드 정보를 기반으로, 관련 위협에 대한 탐지 및 선제적 방어 기술을 지속적으로 업데이트하고 있다. 이는 사이버 보안의 최전선에서 공격자에 대응하기 위한 필수적인 조치로 평가된다.