[해외보안뉴스] 러시아 스파이 그룹 UAC-0099, 더욱 은밀해진 'MatchBoil' 악성코드 변종 유포
· 2026-10-11 03:00
· 조회 19
· 원문 ↗
러시아 연계 사이버 간첩 활동 그룹인 UAC-0099가 우크라이나 기관들을 겨냥해 자신들의 주요 드로퍼(Dropper) 악성코드인 'MatchBoil'의 기능을 지속적으로 고도화하고 있습니다. 최신 보안 분석에 따르면, 이들은 보안 솔루션의 탐지를 우회하고 분석을 방해하기 위해 코드 난독화 수준을 높이고 은폐 기능을 한층 강화한 변종을 유포하고 있는 것으로 확인되었습니다.
이번 공격 캠페인의 주요 영향 범위는 우크라이나의 정부 기관, 군 관련 조직 및 주요 기반 시설을 포함합니다. UAC-0099는 주로 피싱 이메일을 통해 악성 파일(예: WinRAR 압축 파일 또는 LNK 파일 형태)을 전달하며, 사용자가 이를 실행할 경우 MatchBoil 악성코드가 동작하여 최종적으로 시스템 내에 추가 백도어를 설치하고 민감한 정보를 탈취하는 방식을 사용합니다.
이러한 위협에 대응하기 위해 조직은 이메일 보안 솔루션을 강화하여 출처가 불분명한 첨부파일과 웹 링크의 접근을 차단해야 합니다. 또한, 사용 중인 압축 프로그램 및 문서 편집 프로그램의 최신 보안 패치를 즉시 적용하고, EDR(엔드포인트 탐지 및 대응) 솔루션을 통해 PowerShell이나 LNK 파일을 통한 비정상적인 명령어 실행을 실시간으로 감지 및 차단해야 합니다.
♥ 추천 0
드로퍼(Dropper) 모듈이 지속적으로 개량된다는 것은 공격자 측에서도 우회 기법을 마치 CI/CD처럼 끊임없이 업데이트하고 있다는 의미입니다. 정적 시그니처 탐지만으로는 한계가 명확하므로, 개발 및 아키텍처 관점에서 행위 기반(Behavioral) 이상 탐지와 프로세스 실행 모니터링을 강화해야 합니다. 결국 애플리케이션 제어 정책(AppLocker 등)과 최소 권한 원칙을 시스템 레이어에 엄격히 적용하여 초기 진입점 자체를 무력화하는 방어가 시급합니다.
드로퍼(Dropper)의 탐지 우회 기능이 고도화될수록 초기 침투(Initial Access) 단계에서 기존 EDR이나 보안 솔루션을 무력화할 가능성이 훨씬 높아집니다. 특히 APT 공격 기법 특성상 은밀해진 드로퍼는 후속 페이로드의 안정적인 실행과 권한 획득으로 이어지는 핵심 거점이 됩니다. 레드팀 관점에서는 이러한 은폐 기법의 변화를 주시하여 메모리 내 악성 행위 및 파일리스(Fileless) 공격에 대한 탐지 공백을 사전에 발굴하고 검증해야 합니다.
지정학적 위협 그룹의 은밀한 악성코드 고도화는 특정 영역에 국한되지 않고 글로벌 기업 환경으로 신속히 확산될 수 있는 중대한 리스크입니다. 탐지 우회 기술이 정교해진 만큼 기존 시그니처 중심의 방어 정책을 재점검하고 최신 위협 인텔리전스(TI) 기반의 행위 탐지(EDR) 체계를 즉시 강화해야 합니다. 악성 드로퍼의 유입을 철저히 차단할 수 있도록 제로 트러스트 관점의 보안 거버넌스를 재정비하겠습니다.