마이크로소프트(Microsoft)가 전 세계 호텔과 컨퍼런스장의 와이파이 네트워크가 대규모로 해킹당했다고 경고했다. 마이크로소프트 위협 인텔리전스(Microsoft Threat Intelligence)는 이 작전에 캡티브크런치(CaptiveCrunch)라는 이름을 붙였다. 배후로는 러시아 대외정보국(SVR)과 연계된 해킹 조직 미드나이트 블리자드(Midnight Blizzard)의 하위 그룹인 스톰-2945(Storm-2945)를 지목했다. 마이크로소프트에 따르면 이 조직은 5월 초부터(현지시각) 호텔 등 접객업소의 와이파이 접속 화면, 이른바 캡티브 포털을 조작해 여행객의 마이크로소프트365(Microsoft 365) 계정을 탈취하고 악성코드를 심어왔다. 보안업체 릴라이퀘스트(ReliaQuest)도 7월23일(현지시각) 별도 조사 결과를 내며 미국 여러 도시와 인도, 사우디아라비아 등지에서 피해 사례를 확인했다고 밝혔다. ABC뉴스(ABC News)는 마이크로소프트가 이 위협을 포착한 지 3개월 만에야 공개한 이유를 묻자 회사가 답변을 거부했다고 전했다.

로그인 화면이 함정으로 바뀐다

마이크로소프트는 이번 공격을 “광범위하지만 표적화된” 트래픽 조작이라고 설명했다. 스톰-2945는 캡티브 포털 네트워크의 DNS와 HTTP 트래픽을 조작해 접속자를 세 갈래 경로로 유인한다. 두 경로는 계정 탈취로 이어진다. 하나는 마이크로소프트365 로그인 화면을 위장한 피싱 페이지이고, 다른 하나는 마이크로소프트 엔트라 ID(Entra ID)의 디바이스 코드 인증 방식을 악용한 피싱 페이지다. 이 디바이스 코드 피싱 방식은 7월16일(현지시각)부터 캠페인에 등장한 것으로 확인됐다.

세 번째 경로는 가짜 브라우저·운영체제 업데이트 화면을 띄워 이용자가 스스로 악성 명령을 복사해 실행하게 만드는 ‘클릭픽스(ClickFix)’ 사회공학 기법을 쓴다. 마이크로소프트는 접속 직후 나타나는 위장 팝업 유형을 구체적으로 공개했다. 진짜처럼 보이는 윈도우 업데이트 화면(“업데이트 진행 중… 컴퓨터를 끄지 마세요”), 가짜 윈도우 시큐리티 바이러스 검사, 다이렉트X 런타임 설치 프로그램, 비주얼 C++ 재배포 패키지 설치 프로그램, 디스크 최적화 유틸리티, 가짜 네트워크 진단 도구, 브라우저 업데이트 알림, 문서 뷰어 설치 프로그램 등 8종이다. 일부는 구글 검색 화면을 흉내 낸 “귀하인지 확인해주세요” 같은 가짜 자동 연결 확인창으로도 나타난다. 일부 클릭픽스 페이지는 안드로이드용 APK 파일 설치까지 유도해, 모바일 기기 공격을 시험하는 단계로 보인다.

콘플레이크·초코셸, 그리고 관리자 없는 관제 패널

클릭픽스 경로를 통해 실제 설치되는 악성코드는 두 종류다. 콘플레이크(CornFlake)는 고(Go) 언어로 작성된 윈도우용 원격제어 트로이목마(RAT)다. 실행되면 가짜 진행률 창을 띄워 이용자 시선을 붙잡는 동안 자신을 특정 경로에 복사하고, 정상 시스템 프로세스로 위장한 윈도우 서비스를 등록해 지속성을 확보한다. 이후 키로깅, 클립보드 모니터링, 스크린샷 캡처, 오디오·비디오 감시, 브라우저 자격증명 탈취, 파일 유출, USB 드라이브 감시, 보안 상태 점검, 원격 셸 실행까지 수행할 수 있다.

두 번째 악성코드 초코셸(ChocoShell)은 디스크에 파일을 남기지 않고 메모리에서만 동작하는 파워셸 기반 정보 탈취 도구다. 브라우저 쿠키, 저장된 비밀번호, 마이크로소프트365·애저AD(Azure AD) 토큰, 와이파이 자격증명을 노린다. 윈도우 디펜더(Windows Defender) 일부 기능을 무력화하고 사용자 계정 컨트롤(UAC)을 우회하는 기법도 갖췄다. 마이크로소프트는 “콘플레이크가 기기에 지속적인 발판을 제공한다면, 초코셸은 클라우드 환경 접근에 필요한 가장 가치 있는 자격증명을 뽑아내도록 설계됐다”고 설명했다. 공격자는 프루트스톤(FruitStone)이라는 웹 기반 관제 패널을 통해 이 인프라를 운영한다. 단일 HTML·자바스크립트 페이지로 만들어졌으며 어떤 기능에도 별도 인증 절차가 없다. 감염된 기기 관리, 새 악성코드 제작·배포, 수집된 스크린샷·키스트로크·자격증명 확인까지 이 패널 하나로 처리할 수 있다.

릴라이퀘스트 조사와 배후 조직의 계보

릴라이퀘스트는 7월23일(현지시각) 발표한 자체 조사에서 감염된 캡티브 포털 게이트웨이를 미국 여러 도시와 인도, 사우디아라비아에서 추적했으며 호텔이 피해 시설 대부분을 차지했다고 밝혔다. 이 게이트웨이를 거친 트래픽은 금융, 법률, 헬스케어, 에너지, 유통, 전문 서비스 업종 조직에서 나왔다. 릴라이퀘스트는 “이 활동의 목표는 특정 업종이 아니라 출장 중인 직원들의 계정에 접근하는 것”이라고 밝혔다.

마이크로소프트는 스톰-2945를 오랫동안 노벨리움(NOBELIUM)으로 불러온 미드나이트 블리자드에 연결하면서, 앞서 디바이스 코드 피싱을 벌인 스톰-2372(Storm-2372)와의 기술적 중첩, 두 클러스터가 겨냥한 조직의 유사성을 근거로 들었다. 미국과 영국 정부는 미드나이트 블리자드를 러시아 SVR 소속으로 지목해왔으며, 이 조직은 2020년 솔라윈즈(SolarWinds) 공급망 공격을 수행한 뒤로도 서방 정부, 외교관, 비정부기구, IT 서비스 제공업체를 계속 겨냥해왔다. 마이크로소프트는 “초기 침해 경로에 대한 조사는 계속되고 있지만, 여러 피해 네트워크에서 사용된 장비와 관리 시스템에 뚜렷한 공통점이 관찰됐다”며 “이는 활동이 개별 시설의 고립된 침해에 그치지 않고 캡티브 포털 생태계 일부의 공유 서비스 접근을 반영할 수 있음을 시사한다”고 밝혔다. 마이크로소프트는 이번 공격 수법이 지난 4월(현지시각) 자사가 공개한 러시아 군정보국 연계 조직 포레스트 블리자드(Forest Blizzard, APT28)의 DNS 하이재킹 작전과 비슷하다고 언급하면서도, 캡티브크런치는 스톰-2945의 소행으로 특정했다.

여행자와 기업이 지금 해야 할 일

마이크로소프트는 호텔·컨퍼런스·공항의 게스트 와이파이를 신뢰할 수 없는 네트워크로 간주하라고 권고했다. 가능하면 개인 휴대전화 핫스팟이나 셀룰러 데이터를 쓰고, 게스트 네트워크를 꼭 이용해야 한다면 로그인 직후 뜨는 업데이트나 인증서, 네트워크 문제 해결 도구, 보안 유틸리티 설치 요청을 절대 받아들이지 말라고 강조했다. 정상적인 윈도우·브라우저 업데이트는 이런 방식으로 뜨지 않는다는 점을 근거로 든다.

기업 차원에서는 필요하지 않은 곳에서는 엔트라 ID의 디바이스 코드 인증 흐름 자체를 차단하고, 여전히 노출된 계정에는 조건부 접근 정책과 로그인 위험 정책을 추가하라고 권고했다. 출장이 많은 직원을 위해 보안 서비스 엣지(SSE)나 제로트러스트 방식의 네트워크 접근 통제를 도입하라는 제안도 내놨다. 직원들이 호텔이나 컨퍼런스장 와이파이 가입 시 어떤 정보를 제공하는지 점검하고, 회사 계정 자격증명을 그 페이지에 재사용하지 말라는 당부도 덧붙였다.

이번 사례는 회사 밖에서 접속하는 공용 와이파이가 기업 보안의 취약 지점이 될 수 있음을 다시 보여준다. 마이크로소프트는 여전히 캡티브 포털 장비 자체가 처음 어떻게 뚫렸는지 조사가 진행 중이라고 밝혔다. 배후 조직의 침투 경로가 완전히 규명되기 전까지는 출장자 개개인의 주의가 가장 현실적인 방어선인 셈이다.