KongTuke 해킹 조직, Microsoft Teams로 내부 침입… 협업 도구 무기화 심화

기업 협업 플랫폼이 해킹 채널로 변신, 정상 업무 트래픽으로 위장한 C2 통신 우려

• 국가 배후 해킹 조직으로 추정되는 KongTuke(콩투크)가 Microsoft Teams의 봇 기능과 채널 생성을 악용하여 피해 기업 내부 직원들과의 은폐 통신 채널을 구축하고 있으며, 이는 기업의 기존 방화벽 및 네트워크 탐지 시스템(IDS)을 우회하는 정교한 접근 방식입니다. Microsoft Teams는 대부분의 기업에서 정상 업무 도구로 인식되어 차단 대상이 아니므로, 공격자들이 거의 검출 없이 내부 침투를 심화할 수 있습니다.
• KongTuke의 공격 흐름은 ①초기 침투(피싱 이메일 또는 취약한 VPN) → ②Teams 채널 내 봇 배치 → ③정상 Teams 메시지로 위장된 명령 전달 → ④멀웨어 다운로드 및 횡방향 이동(Lateral Movement)으로 진행되며, 이는 기업의 내부 협업 트래픽이 보안 게이트웨이에서 신뢰할 수 있는 트래픽으로 분류되기 때문에 가능합니다.
• Microsoft Teams의 API 제한 기능(Advanced Threat Protection, Teams 관리 정책)이 있음에도 불구하고, 대다수 기업이 사용자 경험 편의성 이유로 외부 봇 설치 제한을 완화하여 운영 중이며, 이는 보안과 업무 효율성 간 ‘설정 공백(Configuration Gap)’을 야기합니다. 현재까지 Teams 기반 C2 공격이 보고된 기업은 미국, 일본, 한국 등 총 47개 기관입니다.
• Slack, Zoom, Discord 등 다른 협업 플랫폼들도 유사한 위협에 노출되어 있으며, CrowdStrike, Mandiant 등 위협 정보 조직들이 ‘협업 도구 기반 C2 탐지 기준(Collaboration-Platform C2 Detection Framework)’을 개발 중입니다. 이는 기업 보안 팀들의 새로운 운영 부담을 가중시킵니다.
• 국내 기업들 중 Microsoft Teams를 도입한 금융, 보험, 통신 회사들이 현재 약 80%인 것으로 추정되며, KongTuke와 유사한 해킹 조직의 대사이버 활동 증가 추세를 감안할 때, 국내 기업 네트워크 내 Teams 기반 C2 활동 탐지 정보는 현재 국내 보안 기관에 거의 축적되어 있지 않습니다.

한국 정부는 금융감독위원회, 개인정보보호위원회 등 관련 기관과 협력하여 Microsoft Teams, Slack 등 협업 플랫폼의 봇 설치, 외부 앱 연동에 대한 ‘보안 정책 템플릿’을 개발·배포하고, 국내 보안 기업들이 협업 플랫폼 기반 C2 탐지 솔루션을 개발하도록 R&D 지원을 강화하며, 정기적 보안 감사에 협업 도구 설정 점검을 필수 항목으로 추가해야 합니다.

주요 용어: C2(Command and Control, 공격자가 침해된 시스템을 원격 제어하는 통신 채널), 횡방향 이동(Lateral Movement, 초기 침투 이후 네트워크 내에서 다른 시스템으로 확산하는 공격 방식), IDS(Intrusion Detection System, 네트워크 침입 탐지 시스템)

출처: BleepingComputer