Arctic Wolf, Teams 사칭 IT 지원 공격 400여 건 경고
공격자들은 대량 스팸 메일로 받은편지함을 마비시킨 뒤 Microsoft Teams에서 IT 지원을 사칭해 원격 접속을 요구했다.
보안업체 Arctic Wolf가 Microsoft Teams에서 IT 지원 담당자를 사칭해 원격 접속 권한을 확보하는 공격 캠페인이 진행 중이라고 경고했다. techradar.com에 따르면 이 같은 수법은 400건 이상에서 확인됐다.
공격은 먼저 피해자의 받은편지함을 공격하는 방식으로 시작된다. 짧은 시간에 수백 통에서 수천 통의 스팸 메일을 보내 메일함을 마비시킨 뒤, IT 서비스 데스크를 사칭한 Teams 계정으로 피해자에게 메시지를 보내거나 전화를 건다.
이어 Quick Assist, AnyDesk, ScreenConnect 등을 통해 원격 접속 권한을 내줄 것을 요구한다. Arctic Wolf는 이 활동이 알려진 Teams 취약점을 악용한 것은 아니라고 밝혔다.
접속에 성공한 공격자는 별도의 통제 경로를 유지하기 위해 상용 RMM 도구를 설치하고 피해 조직의 IT 네트워크 구조를 파악한다. Arctic Wolf는 Teams의 외부 접속(페더레이션) 기능이 기본적으로 활성화된 점을 이 수법의 핵심 원인으로 지목했다.
권장 대응책
Arctic Wolf는 Teams 외부 채팅 설정을 모든 조직 허용에서 신뢰할 수 있는 조직 목록만 허용하는 방식으로 바꾸고, 직원 교육을 강화할 것을 권고했다.
한눈에 보기
Arctic Wolf가 지목한 핵심 원인은 무엇인가?
Teams의 외부 접속(페더레이션) 기능이 기본적으로 켜져 있다는 점이다.
공격자들은 어떤 도구로 원격 접속을 요구하나?
Quick Assist, AnyDesk, ScreenConnect를 통해 원격 접속 권한을 요구한다.
알려진 Teams 취약점이 악용됐나?
Arctic Wolf는 이 활동이 알려진 Teams 취약점을 악용한 것이 아니라고 밝혔다.