중국 연계 공격자, AI 에이전트로 공격 자동화…ConnectWise 공급망 공격 관여 Microsoft 경고

무슨 일이 있었나

Microsoft는 10월 21일(현지 시각) 중국 국가와 연계된 공격자 'Storm-0940'이 AI 에이전트를 이용한 침투 테스트 도구 'ARTEX'로 공격을 자동화하고 있다고 밝혔습니다. 또 10월 중순 드러난 ConnectWise 클라우드 백업 서비스 공격도 이 집단이 한 것으로 분석했습니다. 공격 대상은 항공우주·방위, 자동차, 금융, 정부, 반도체 등 여러 업종입니다.

주요 숫자와 사실

• Storm-0940은 2021년부터 활동한 공격 그룹입니다.
• 9월쯤부터 ARTEX를 쓰기 시작했습니다.
• 공격 대상 조직 2,250곳 이상에 분당 2,900번꼴로 로그인을 시도했습니다.
• 일부 사례에서는 대상을 고른 뒤 3시간도 안 돼 관리자급 권한을 얻었습니다.
• 일본 기업 약 20곳이 ARTEX 공격을 받았고, 그중 8곳은 9~10월에 정보 유출을 공개했습니다.

조금 더 알아보기

ARTEX는 누구나 쓸 수 있는 오픈소스 침투 테스트 도구입니다. 여기에 원하는 AI 모델을 붙이면 정찰부터 데이터 빼내기까지 사람이 거의 개입하지 않아도 자동으로 진행됩니다. 공격자는 ConnectWise 앱의 로그인 정보를 훔쳐, 고객이 이미 준 권한을 악용했습니다. 앱이 정상 앱처럼 보여서 사용자가 로그인하지 않아도 고객 환경에 들어갈 수 있었습니다.

왜 중요한가

AI 에이전트는 밤낮과 주말을 가리지 않고 움직이며 여러 침입 경로를 동시에 시험할 수 있습니다. 그래서 공격이 아주 빨라집니다. 공격이 대부분 실패했더라도, 일부는 많은 조직에 들어가 계속 접근하는 데 성공했습니다. 침입 흔적이 있다고 꼭 데이터가 빠져나간 것은 아니지만, 기업은 지금 바로 권한과 로그를 점검해야 합니다.

앞으로 지켜볼 점

• ConnectWise가 정식 복구 절차를 언제 내놓는지 봐야 합니다.
• ConnectWise 백업 앱을 쓰거나 예전에 쓴 기업은 10월 15일(가능하면 10월 1일) 이후 로그인 기록과 감사 로그를 확인해야 합니다.
• 앱은 복구 전까지 연결을 끊어 두되, 증거를 지키기 위해 삭제하지 말라는 권고가 나왔습니다.
• 일본에서 벌어진 공격과 Storm-0940의 관계는 아직 확인되지 않았습니다.