중국 연계 해킹 조직 Webworm, Discord·Microsoft Graph 이용한 새로운 백도어 발견

ESET 연구진은 조사 과정에서 공격자가 사용한 Discord 메시지 400개 이상을 복호화해 감염된 시스템을 제어하고 탈취 데이터를 관리하는 방식도 분석했다.

정상 클라우드 서비스 악용 전략

Webworm 캠페인의 핵심 특징은 공격 인프라 대신 일반적으로 신뢰되는 클라우드 플랫폼을 활용한다는 점이다. 조사 결과 공격자들은 다음과 같은 서비스를 악용한 것으로 나타났다.

• Discord – EchoCreep 백도어의 명령·제어 통신 및 파일 전송 채널
• Microsoft Graph API – GraphWorm이 Microsoft 365 환경에서 공격 인프라와 통신하는 데 사용
• Microsoft OneDrive – 탈취 데이터나 운영 파일 저장 및 이동에 활용
• GitHub – 악성코드 운영 인프라 일부로 활용

이러한 플랫폼은 기업과 기관에서 널리 사용되는 서비스이기 때문에 보안팀이 완전히 차단하기 어렵다. 그 결과 공격 트래픽이 정상 업무 트래픽과 구분되지 않는 상태로 네트워크를 통과할 가능성이 높아진다.

유럽 정부 기관 집중 공격

ESET은 Webworm의 최근 활동이 유럽 정부 기관을 중심으로 확대되고 있다고 밝혔다.

확인된 공격 대상 국가:

• 벨기에
• 이탈리아
• 폴란드
• 세르비아
• 스페인

또한 조사 과정에서 남아프리카공화국의 한 대학에서도 관련 활동이 발견돼 공격 범위가 유럽 외 지역까지 확장되고 있는 것으로 보인다.

다만 공개 보고서에서는 보안상의 이유로 구체적인 정부 부처나 기관 이름은 공개되지 않았다.

기존 RAT 대신 프록시·터널 기반 도구로 전환

Webworm은 최소 2022년부터 활동한 것으로 알려진 APT 그룹이다. 과거에는 다음과 같은 전통적인 원격제어 악성코드를 사용했다.

• Trochilus RAT
• 9002 RAT(McRat)

그러나 최근 분석에 따르면 이 그룹은 대형 RAT 대신 프록시·터널링 도구와 경량 백도어 중심으로 전략을 바꾸고 있다.

이러한 변화는 몇 가지 장점을 제공한다.

• 감염 시스템에 남는 악성코드 흔적이 감소
• 정상 네트워크 트래픽과 유사한 통신 패턴 생성
• 보안 솔루션이 탐지할 수 있는 명확한 지표 감소

왜 탐지가 어려워졌나

Webworm 사례는 최근 사이버 스파이 공격에서 나타나는 새로운 흐름을 보여준다. 공격자가 자체 서버 대신 Discord, OneDrive, Microsoft API 같은 정상 서비스 안에 명령·제어 통신을 숨기는 방식을 점점 더 많이 사용하고 있기 때문이다.

기업이나 정부 기관 입장에서는 이러한 서비스를 업무에 사용하기 때문에 완전히 차단하기 어렵다. 따라서 단순히 특정 도메인이나 IP를 차단하는 방식만으로는 공격을 막기 힘들다.

ESET 연구진은 앞으로 보안 대응이 행위 기반 탐지, 계정 활동 분석, 네트워크 이상 징후 탐지 같은 방식으로 더욱 진화해야 한다고 강조했다.