Microsoft 365 AitM 악용 피싱 공격으로 계정 탈취... 급여 관련 이메일 수집 작성일 08-08 39 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="6PxwTOIkDL"> <p contents-hash="00250d5a78a1d7dd20d45eb27f429657067adbfcbb8316c1c2ddf1d5b133df7c" dmcf-pid="PQMryICEDn" dmcf-ptype="general"><strong>북미 및 유럽의 의료, 교육, 정부 서비스 부문 공격...단순 정보만 수집해 공격 탐지 우회</strong></p> <p contents-hash="b73b293064dd930ceb1bf99f100ef4be55517b9ca3a7d3d6b1b00bec9c3a478c" dmcf-pid="QxRmWChDwi" dmcf-ptype="general">[보안뉴스 원병철 기자] 최근 마이크로소프트 365 계정을 장악해 재무 워크플로에 관련된 주요 담당자를 식별하고, 관련 이메일을 수집하기 위한 중간자 공격(AitM) 기법을 사용하는 ‘광범위한 이메일 기반 피싱 캠페인’이 활발하게 진행되는 것으로 알려져 주의가 요구된다. </p> <p contents-hash="370a5825006f8a932012f0cb41904351cad77c11503dd6bf657668ca346b4133" dmcf-pid="xMesYhlwrJ" dmcf-ptype="general">글로벌 보안기업 아크틱 울프는 보고서를 통해 “이 피싱 캠페인은 주거용 프록시를 사용해 악성 로그인을 일반 소비자 트래픽으로 위장한다”면서, “자동화된 활동으로 약 8시간 간격으로 손상된 세션을 유지한다”고 설명했다. </p> <figure class="figure_frm origin_fig" contents-hash="5edc493f7d7edd93b3ae7c0b98f31647aabb23fc07787f1ec2be5081b3d9bece" dmcf-pid="y8PESmsArd" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/08/552815-KkymUii/20260808110006966rjym.jpg" data-org-width="1000" dmcf-mid="8LaTFGHlOo" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/08/552815-KkymUii/20260808110006966rjym.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: gettyimagesbank] </figcaption> </figure> <div contents-hash="c48efcdbb65ae41857ec24da3e552ff5ec0e6c093db950b5b24b6839ecc0ca45" dmcf-pid="W6QDvsOcIe" dmcf-ptype="general"> <br>중간자 공격(AitM)은 통신을 주고 받는 사용자와 서버 사이에 공격자가 끼어들어 교신 내용을 도청하거나 조작하는 공격을 말한다. 예전에는 MitM(Man-in-the-Middle)으로 불렸으나, 현재는 AitM(Adversary-in-the-Middle)로 통용된다. </div> <p contents-hash="46d45c8eaf1c63392e041dcc21774e189e65300fb04bc3df2a4f2dff975b828a" dmcf-pid="YPxwTOIkDR" dmcf-ptype="general">이번 공격은 미국, 캐나다 및 유럽에 있는 의료, 교육, 제조, 정부 조직 및 전문 서비스 조직을 노린 것으로 보이며, 특히 마이크로소프트가 ‘Storm-2755’라는 이름으로 추적하는 Payroll Pirate 공격과 전술적으로 일부 겹치는 부분이 있는 것으로 알려졌다. </p> <p contents-hash="c3ddb8f5936d6c51986729be0f9a5c8f50f973bbd9266656f7f5cbff286fed97" dmcf-pid="GQMryICEwM" dmcf-ptype="general">Payroll Pirates는 직원 계정을 탈취해 급여를 공격자가 관리하는 계정으로 빼돌리는 공격을 펼치는 조직을 말한다. 이러한 공격은 2025년 초부터 발견됐으며, 마이크로소프트는 관련 위협을 Storm-2657로 추적하고 있다고 보안매체 해커뉴스(The Hacker News)는 밝혔다.</p> <p contents-hash="4fc91932344b41ee3314831f66115fd9b3b1edcc02c22e669b504eaee4d7eb26" dmcf-pid="HxRmWChDDx" dmcf-ptype="general">아크틱 울프는 지난달 발생한 최근 피싱 공격의 하나로 수백 개의 조직이 이메일 공격의 표적이 되었으며, 그 결과 광범위한 피해 환경에 걸쳐 침입이 성공했다고 공개했다. </p> <p contents-hash="bc7068a9b327363b674ef4a82d752a9b51d90d06bb027c6d52c75208f6712344" dmcf-pid="XMesYhlwmQ" dmcf-ptype="general">아크틱 울프는 “이 공격은 구글 미트 링크 리디렉션 URL에서 시작해 구글의 아웃바운드 링크 인프라를 거쳐 캠페인 매니저의 /ddm/clk 동적 클릭 추적기에 도달한다”면서, “우리가 관찰한 활동에서 추적기 URL에 포함된 대상은 아마존 AWS S3 버킷에 호스팅된 HTML 객체였으며, S3에 호스팅된 페이지는 피해자를 캠페인의 AitM 피싱 인프라로 리디렉션했다”고 설명했다. </p> <p contents-hash="26bd706e78d3c90dbc436c10235d43b5bb37d0010a9793357a2566e11dd226d9" dmcf-pid="ZRdOGlSrsP" dmcf-ptype="general">또한 피싱 페이지는 또한 자바스크립트를 사용해 방문 호스트의 정보를 수집하며, 여기에는 웹 브라우저, 운영체제, 화면 및 창 크기, 브라우저 언어, 시간대 차이, 쿠키 기능, WebDriver 상태, WebGL 공급업체 및 브라우저 API 가용성에 대한 정보가 포함된다. 이 모든 정보는 패키징되어 HTTP POST 요청을 통해 PHP 엔드포인트로 전송되며, 스크립트는 브라우저를 프록시된 Microsoft OAuth 인증 엔드포인트로 리디렉션한다.</p> <p contents-hash="635d17bbbe88b643208d7d4fa97465e1284ca4f052ba4044eb227271ad411334" dmcf-pid="5eJIHSvmO6" dmcf-ptype="general">초기 접근 권한을 획득하면, 공격자는 탈취된 세션을 악용해 기업의 재무 관련 업무 담당자의 이메일 주소를 수집한다.</p> <p contents-hash="2c8b2d998c0169d3301dc760ac24c6a9d8dec50e1ac7821e8ba01308602311b8" dmcf-pid="1diCXvTsr8" dmcf-ptype="general">Storm-2755의 경우와 마찬가지로, 공격자들은 Microsoft Graph API를 이용해 급여, 인사, 재무 및 관리 기능과 관련된 테넌트 사용자를 열거한 다음 급여, 송장, 결제, 은행 업무, 복리후생 및 내부 문서와 관련된 메시지에 접근한 것으로 확인됐다.</p> <p contents-hash="b5173b32413ca5b2ab27fcba1a0c1fbf2b5cbff30fc61200298532c5adc2f15f" dmcf-pid="tnoS1WYCr4" dmcf-ptype="general">다만 공격자는 침해 후 세션 유지, 정찰 및 사서함 수집으로 활동을 제한했으며, 일반적인 비즈니스 이메일 공격(BEC)을 하지 않음으로써 계정 변경이나 발신 이메일 악용을 기반으로 한 조기 탐지를 피한 것으로 보인다. </p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 브라질 19세 '신성' 다시 괴력을 뽐내다…주앙 폰세카, 치치파스에 이어 루드까지 제압 08-08 다음 "한국판 팔란티어 꿈꾼다"…네이버가 국방 AI 사업에 진심인 이유 08-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
