블리핑컴퓨터는 원격 지원 도구 SimpleHelp의 심각한 취약점이 실제 공격 캠페인에서 Djinn 정보 탈취 악성코드와 Taskweaver 기반 모듈을 배포하는 데 사용되고 있다며, 중소기업·지자체 원격 운영 인프라가 새로운 공격 관문이 되고 있다고 경고함
- BleepingComputer는 “Critical SimpleHelp flaw exploited to deploy new stealer malware” 기사에서, 원격 지원 소프트웨어 SimpleHelp의 치명적인 취약점이 실제 공격자들에 의해 악용되어 Djinn 스틸러와 Taskweaver 모듈을 배포하는 데 사용되고 있다고 보도한다. 공격자는 인터넷에 노출된 SimpleHelp 서버를 스캔해 취약 버전을 식별한 뒤, 인증 우회와 원격 코드 실행을 통해 서버에 접근하고, 거기서부터 원격 지원 세션을 악용하여 고객 시스템에 악성 패키지를 푸시하고 Djinn 스틸러를 설치하는 공격 체인을 구축하였다.
- 기사에 따르면 SimpleHelp는 중소기업과 MSP(Managed Service Provider), 지방 자치단체 등의 IT 헬프데스크가 Windows·macOS·Linux 시스템을 원격으로 관리하는 데 널리 사용되는 도구로, 많은 조직에서 방화벽 허용과 포트 포워딩을 통해 인터넷에서 직접 접근 가능하도록 구성되어 있다. 취약점은 SimpleHelp 서버가 특정 요청을 처리하는 과정에서 입력 검증을 제대로 수행하지 않아, 공격자가 specially crafted 요청을 보내면 관리자 권한으로 임의 코드를 실행할 수 있는 구조에 기인한다. 이로 인해 공격자는 Microsoft Windows 기반 클라이언트 시스템에 Djinn 스틸러를 설치하고, AWS와 Azure, Google Cloud 자격증명뿐 아니라 Anthropic과 OpenAI API 키를 탈취할 수 있게 된다.
- BleepingComputer는 SimpleHelp 취약점 악용 캠페인이 단일 조직을 넘어서 MSP와 지방 자치단체 고객을 포함한 광범위한 피해를 유발할 수 있다고 분석한다. MSP가 관리하는 수십 개 중소기업과 지방 공공기관 시스템이 하나의 취약한 SimpleHelp 서버에 종속되어 있기 때문에, 공격자가 이를 장악하면 Microsoft 365, Oracle PeopleSoft, SAP ERP, 지역 행정 포털 등 다양한 서비스에 대한 원격 접근 권한을 획득할 수 있다. 특히 Djinn 스틸러와 Taskweaver 모듈을 결합하면, 공격자는 클라우드와 AI 자격증명을 자동 수집하는 동시에, 원격 지원 채널을 통해 추가 명령을 실행하는 다기능 공격 플랫폼을 구축할 수 있어 피해 규모가 급격히 확대된다.
- 이 사례는 한국의 중소기업·지자체·공공기관에서 사용되는 원격 지원 도구와 MSP 모델의 보안 규제가 미흡한 현실을 직시하게 한다. 한국에서도 SimpleHelp와 유사한 원격 지원 솔루션과 TeamViewer, AnyDesk, 국내 원격 제어 제품이 광범위하게 사용되고 있으며, 인터넷에 직접 노출된 서버가 많은 상황에서 취약점이 발생하면 중소기업과 공공기관을 동시에 타격하는 “간접 국가 인프라” 공격이 가능해진다. 따라서 정부는 MSP와 원격 지원 도구를 사용하는 공공기관·지자체에 대해 취약점 관리와 2단계 인증, 접근 통제, 로그 보관 의무를 부과하고, 원격 지원 채널을 통한 악성코드 배포를 탐지하기 위한 네트워크 모니터링 기준을 마련해야 한다.
- 또한 SimpleHelp 취약점 악용 사례는 한국의 사이버 보안 정책에서 “서비스형 IT 운영” 모델에 대한 규제를 강화해야 함을 시사한다. MSP와 원격 지원 도구를 통해 수많은 중소기업과 공공기관의 IT 운영이 외부 업체에 위탁되어 있는 상황에서, 공격자는 해당 업체의 취약한 인프라 하나만 장악해도 한국 내 여러 지역과 산업의 디지털 운영을 동시에 교란할 수 있다. 정부는 CrowdStrike·Palo Alto Networks·Microsoft Defender와 같은 EDR·XDR 솔루션을 MSP 관제 센터에 의무 도입시키고, SimpleHelp와 유사한 도구에 대한 취약점 보고와 패치 적용을 규제 기관에 통보하도록 하는 제도를 도입함으로써, Djinn와 Taskweaver 유형의 공격을 조기에 차단할 수 있을 것이다.
한국 정책 담당자는 MSP와 원격 지원 도구에 대한 최소 보안 기준을 법제화하고, 중소기업·지자체 IT 운영 위탁 계약에 취약점 관리·로그 모니터링·EDR 도입을 명시하는 방향으로 공급망 보안 규제를 강화해야 한다.
주요 용어: SimpleHelp(원격 지원 및 IT 헬프데스크용 소프트웨어로 다수 중소기업·MSP가 사용함), MSP(Managed Service Provider로 기업·기관의 IT 운영을 대신 관리하는 서비스 사업자), Djinn 스틸러(클라우드와 AI 자격증명을 포함한 민감 정보를 탈취하는 최신 정보 탈취 악성코드)
출처: BleepingComputer