슬립워커: 자체 명령어를 가진 패시브 백도어

(r136a1.dev)

SLEEPWALKER는 특정 네트워크 패킷이 올 때까지 대기하다가 자체 명령어를 실행하는 패시브 백도어로, ESET 보안 에이전트를 이용한 DLL 사이드로딩 공격 방식을 통해 기존 보안 체계를 우회할 수 있어 매우 위협적입니다.

이 글의 핵심 포인트

1특정 네트워크 패킷이 도착할 때까지 아무런 동작도 하지 않는 패시브 백도어 방식
2ESET Management Agent(ERAAgent.exe)를 대상으로 한 DLL 사이드로딩 공격 수행
3자체 설계된 23개의 명령어를 가진 바이트코드 인터프리터를 내장하여 정교한 명령 수행 가능
4TCP, UDP, ICMP, SMB, DNS 쿼리 등 다양한 네트워크 프로토콜을 통한 트리거 및 명령 전달 지원
5공격 편의를 위해 호스트의 익명 SMB 접근을 활성화하고 권한을 완화시키는 보안 약점 노출

이 글에 대한 공공지능 분석

왜 중요한가?

기존 보안 솔루션은 외부 통신(C2)을 감시하는데, 이 악성코드는 먼저 통신을 시도하지 않아 탐지가 매우 어렵습니다. 또한 신뢰받는 보안 소프트웨어(ESET)의 프로세스를 이용해 은밀하게 동작한다는 점에서 보안의 근간을 흔듭니다.

어떤 배경과 맥락이 있나?

DLL 사이드로딩과 패시브 백도어 기술은 고도화된 APT(지능형 지속 위협) 공격의 전형적인 수법입니다. 공격자가 네트워크 트래픽 내에 숨겨진 트리거를 심어두면, 보안 장비는 이를 정상적인 DNS나 SMB 트래픽으로 오인할 가능성이 매우 높습니다.

업계에 어떤 영향을 주나?

보안 솔루션 개발사들은 이제 단순한 통신 패턴 감지를 넘어, 신뢰된 프로세스의 비정상적인 네트워크 스니핑 행위나 권한 변경(예: 익명 SMB 활성화)을 탐지하는 더 정교한 메커니즘을 구축해야 합니다.

한국 시장에 어떤 시사점이 있나?

보안 솔루션을 사용하는 국내 기업들은 공급망 공격(Supply Chain Attack)에 대비해, 신뢰된 프로세스의 실행 경로와 권한 오남용을 모니터링하는 제로 트러스트 보안 모델 도입을 적극적으로 고려해야 합니다.

이 글에 대한 큐레이터 의견

SLEEPWALKER의 등장은 '탐지 가능한 위협'에서 '대기 중인 위협'으로 보안 패러다임이 변화하고 있음을 시사합니다. 공격자가 네트워크 트래픽 내에 명령을 숨겨두고 수동적으로 기다리는 방식은, 기존의 시그니처 기반 탐지나 C2 서버 통신 감지를 무력화할 수 있는 강력한 위협입니다. 특히 신뢰받는 보안 에이전트를 공격의 교두보로 삼는다는 점은 보안 소프트웨어 자체의 신뢰성을 위협하는 심각한 문제입니다.

물론, 이러한 공격 방식이 모든 환경에서 성공하기는 어렵습니다. 공격자가 트리거 패킷을 보내기 위해서는 이미 네트워크 내에 침투해 있거나 트래픽을 조작할 수 있는 능력이 전제되어야 하기 때문입니다. 하지만 공격자가 DNS 쿼리나 VMCI 채널 같은 우회 경로를 확보한다면 대응은 더욱 까다로워집니다. 스타트업 창업자들은 보안 제품 개발 시 '신뢰된 프로세스의 권한 오남용'을 방지하는 기능에 집중해야 하며, 인프라 운영자들은 프로세스 실행 경로와 권한 변경에 대한 엄격한 감사 로그를 확보하는 실행 가능한 방어 전략을 세워야 합니다.

원문 보기 →