중국 Webworm, Discord·Microsoft Graph로 유럽 정부 침투

정상 서비스 트래픽을 은닉 통로로 악용하며, 국가배후 공격의 탐지 난도가 한 단계 높아지다

• 중국 연계 위협 그룹으로 알려진 Webworm이 Discord와 Microsoft Graph를 이용해 유럽 정부를 공격한 사실이 보도되었다. 이는 악성코드가 별도 통신 서버를 쓰지 않고 널리 쓰이는 합법 서비스에 숨어드는 방식으로, Webworm, Discord, Microsoft Graph가 공격 은닉의 핵심 경로로 활용된 사례이다.
• 이 수법은 네트워크 보안 장비가 정상 업무 트래픽과 공격 트래픽을 구분하기 어렵게 만든다. 특히 정부기관은 Microsoft 365, 협업 메신저, 클라우드 API를 동시에 사용하므로, 한국 정부도 동일한 생활형 업무 도구가 외교·국방·행정망에서 얼마나 쉽게 악용될 수 있는지 점검해야 한다.
• 기사의 정량 정보는 유럽 정부 기관이 직접 표적이 되었다는 점과, Discord 및 Microsoft Graph가 백도어 배포 통로로 쓰였다는 사실이다. 이는 국가배후 공격이 고급 제로데이보다 합법 플랫폼 오남용으로 더 은밀해지고 있음을 뜻하며, 공공망의 행위 기반 탐지와 계정 이상징후 분석이 필수 정책 수단이 된다.
• 이 사례는 동맹국 정부망도 동일한 전술에 노출된다는 경고다. 한국은 정부 메일, 협업, 파일 공유 서비스를 대상으로 국가배후 위협 전용 탐지 규칙을 마련하고, 해외 SaaS 사용 시 로그 접근권을 계약 조건에 포함해야 한다.

국가배후 공격은 기술적으로 화려하기보다 정상 서비스 오남용에 숨어드는 방향으로 진화하고 있다. 한국 정부는 협업 플랫폼과 클라우드 API에 대한 이상행위 탐지를 강화하고, 해외 서비스 계약에 포렌식 접근권을 명시해야 한다.

주요 용어: 국가배후 공격(정부 지원 또는 연계가 의심되는 침투), 백도어(몰래 재침입할 수 있는 통로), 행위 기반 탐지(행동 패턴 이상을 찾아내는 탐지 방식)

출처: Dark Reading