Akira 랜섬웨어, 안전 모드 악용해 EDR 우회… 조직 데이터 탈취 시도

​

Akira 랜섬웨어 공격자들이 Windows의 안전 모드를 이용해 엔드포인트 탐지 및 대응(EDR) 시스템을 비활성화한 후 데이터를 탈취하려 한 사건이 발생했다. 이들은 네트워킹이 포함된 안전 모드로 시스템을 재부팅해 Microsoft Defender 및 EDR을 무력화하고, 자격 증명과 데이터를 확보하여 유출을 시도했다. 데이터 파일 암호화에는 실패했으나 이미 중요한 정보를 탈취했다.

​

공격자들은 SonicWall SSL VPN을 통해 자격 증명 스프레이 공격을 감행하여 피해 조직의 네트워크에 침입했다. VPN에서 다단계 인증(MFA)을 무력화한 뒤 원격 데스크톱 프로토콜(RDP)을 사용해 도메인 컨트롤러에 접근, 권한을 얻었다. PowerShell을 사용해 Active Directory 정보를 탈취하고, 파일 공유 데이터를 아카이브해 외부 S3 버킷으로 전송했다. 이 방법은 디지털 흔적을 숨기고 초기 탐지를 피할 수 있게 한다.

​

이 공격은 Snatch와 AvosLocker 같은 이전 랜섬웨어 사례와 유사하게, 안전 모드 부팅을 활용한 방어체계 우회 기법이다. 공격자들은 msconfig.exe를 사용해 시스템을 안전 모드로 재부팅하여 보안 서비스를 비활성화하고, 이후 추가적인 원격 조작을 가능하게 했다. 이는 Windows의 구조적 특성을 악용한 전략으로, 향후 추가 시스템 메모리를 활용한 공격이나 페이로드 개선 가능성을 시사한다.

​

이번 사건은 보안 담당자들에게 다각적 방어 전략의 중요성을 일깨운다. VPN 접근에는 다단계 인증(MFA)을 반드시 적용해야 하며, 레지스트리 변경을 실시간으로 모니터링하고 이상 네트워크 트래픽을 신속히 탐지하고 대응하는 것이 필수적이다. 이미 일부 데이터가 탈취된 상황을 고려할 때, 자격 증명을 변경하고 액세스 환경을 점검하여 추가 침입을 차단해야 한다.

​

내용출처 : https://search.criminalip.io/ko/news/security/77821fa4-1432-4849-bf52-b062253e807e

​

​