MS 협업 툴 ‘팀즈’, 대화 조심...‘비싱’ 공격에 악용

[보안뉴스 한세희 기자] 마이크로소프트 협업 메신저 팀즈를 활용해 사용자 기기에 악성 코드를 심는 ‘비싱’(보이스 피싱) 공격이 포착됐다.

사이버보안 기업 온티뉴는 비싱과 원격 접근 도구 등을 활용한 정교한 다단계 공격을 발견했다고 밝혔다. 간단한 소셜 엔지니어링으로 시작해 사용자 기기를 제어하는 심각한 수준의 공격으로 발전시킨 사례라는 설명이다.

공격자는 팀즈의 외부인 채팅 기능으로 메시지를 보내 말웨어 다운로드를 위한 파워쉘 실행을 유도한다. 통화도 병행하면서 신뢰를 쌓아 성공 가능성을 높인다. 파워쉘 실행 과정에서 윈도우 원격 지원 도구인 ‘퀵 어시스트’(Quick Assist)가 공격자에 원격 접근 권한을 제공하는데 쓰이게 된다.

이후 말웨어 다운로드가 본격적으로 시작된다. 수상한 IP 주소에서 ‘TeamViewer.exe’라는 파일을 숨겨진 폴더에 내려 받고, 이는 다시 ‘TV.dll’이라는 악성 모듈을 다운로드한다. 이 모듈은 처음 말웨어 다운로드를 위해 통신한 IP와 사용자 기기를 연결한다.

공격자는 컴퓨터가 켜질 때마다 말웨어가 자동적으로 작동하도록 시작 폴더에 바로가기 파일을 만든다. BITS (Background Intelligent Transfer Service) 기능으로 최대 90일까지 드러나지 않게 파일을 전송한다.

또 TeamView.exe 파일은 ‘index.js’이라는 자바스크립트 기반 백도어도 생성한다. 이 백도어는 ‘node.js’를 통해 실행되어 소켓 연결을 통해 공격자에게 완전한 기기 제어 권한을 부여한다.

이 공격은 마이크로소프트가 ‘스톰-1811’로 분류한 해커 그룹과 유사한 특징을 공유하고 있어 연관성이 강하게 의심된다고 온티뉴는 밝혔다.

[한세희 기자(boan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다