크리티컬 인프라 환경에서 자격증명·구성 정보를 광범위하게 탈취하는 캠페인이 드러나며, 한국의 전력·통신·제조 인프라 보안정책 전면 재점검을 요구함
- Dark Reading은 BusySnake로 명명된 인포스틸러 악성코드가 정부 기관과 전력·에너지·제조 등 중요 인프라 네트워크 내부에 배포되어, Windows 시스템·서버·도메인 컨트롤러에서 크리덴셜과 설정 정보를 광범위하게 수집하는 캠페인이 발견되었다고 보도하며, 이 악성코드가 맞춤형 모듈 구조를 갖추고 있어 공격자가 각 목표 환경에 맞춰 데이터 탈취 범위를 조정할 수 있다고 분석하였다.
- 기사에 따르면 BusySnake는 피싱 메일·악성 문서·취약한 VPN 게이트웨이 등을 통해 초기 침투를 수행한 후, LSASS 메모리 덤프·브라우저 저장 비밀번호·Active Directory 정보 등을 자동 수집하고, C2 서버로 암호화된 채널을 통해 전송하며, 공격자는 이를 활용해 이후 랜섬웨어 배포, OT 시스템 접근, 계정 탈취 등을 연계할 수 있는 것으로 나타났다.
- 연구팀은 BusySnake가 최근 수개월 동안 수십 개의 정부·인프라 조직에서 발견되었고, 수천 개 이상의 계정·시스템 정보가 유출된 정황을 정량적 수치로 제시하면서, 공격 배후가 러시아·이란 등 특정 국가와 연계되었을 가능성을 언급하고 있으며, 이는 전통적 스파이 행위와 현대 사이버 작전이 IT·OT 환경 모두를 아우르는 지능형 정보 수집으로 진화하고 있음을 보여준다.
- 한국 정책 관점에서 BusySnake 사례는 전력망, 상하수도, 교통, 통신, 제조 공장 등 중요 인프라에서 IT·OT 네트워크 분리와 계정권한 최소화, VPN·원격접속 장비 패치·다단계 인증 도입을 국가 기준으로 의무화할 필요가 있음을 시사하며, 동시에 CrowdStrike·Palo Alto Networks·Microsoft Defender 등 EDR/XDR 솔루션을 기반으로 공공·인프라 부문 통합 위협 감시 체계를 구축하는 정책적 필요성을 드러낸다.
- 또한 BusySnake가 먼저 정보탈취·정찰을 수행한 뒤 이후 단계에서 랜섬웨어·파괴적 공격으로 이어질 수 있다는 점은, 한국의 국가사이버안보전략에서 인포스틸러·크리덴셜 탈취 위협을 ‘사전 징후’로 규정하고, 이를 탐지했을 때 즉각적인 국가차원의 분석·경보를 발동하는 체계를 마련해야 한다는 정책적 의미를 가지며, 공급망 상의 보안 약점을 통해 인프라 네트워크로 옮겨붙는 경로에 대한 규제·감독을 강화해야 한다는 시사점을 제공한다.
BusySnake는 중요 인프라 내부 계정·구성 정보를 대량 탈취하는 전초전이므로, 한국은 인포스틸러 탐지를 국가사이버안보의 핵심 지표로 설정하고, IT·OT 네트워크 분리·다단계 인증·통합 EDR/XDR 관제를 법·제도 차원에서 의무화해야 한다.
주요 용어: 인포스틸러(계정·설정 같은 정보를 탈취하는 악성코드), OT(운영기술로 산업 제어·설비 제어 시스템을 의미), EDR/XDR(엔드포인트·확장 탐지·대응 플랫폼으로 보안 이벤트를 자동 분석하는 기술)
출처: Dark Reading