[해외보안뉴스] AOMEI 백업 프로그램 업데이트 서버 탈취… 짧은 시간 노린 백도어 유포 정황 포착
· 2026-10-16 18:00
· 조회 13
· 원문 ↗
2026년 5월부터 7월 사이, 유명 윈도우 백업 소프트웨어인 'AOMEI Backupper'의 공식 업데이트 서버가 해킹되어 악성 백도어가 유포되는 사건이 발생했습니다. 구글 위협 인텔리전스 그룹(Google Threat Intelligence Group), 맨디언트(Mandiant), 매니지엔진(ManageEngine) 분석팀에 따르면, 공격자들은 보안 탐지를 피하기 위해 한 번에 5분에서 10분 정도의 매우 짧은 시간 동안만 업데이트 서버 내 정상 파일을 백도어로 교체하는 정교한 수법을 사용했습니다.
이번 공격은 공식 업데이트 경로를 악용한 전형적인 공급망 공격(Supply Chain Attack) 형태로 진행되었습니다. 공격자들이 지정한 짧은 시간 동안 AOMEI Backupper 프로그램에서 업데이트를 확인하거나 진행한 모든 사용자 시스템은 백도어에 감염되어 악성 코드를 다운로드하고 실행하게 되는 피해를 입었습니다. 백업 솔루션 특성상 시스템의 주요 권한을 다루기 때문에, 감염 시 기업 및 개인의 중요 데이터 탈취나 추가적인 시스템 침투로 이어졌을 위험이 큽니다.
해당 기간(2026년 5월~7월) 동안 AOMEI Backupper 업데이트를 확인했거나 실행한 이력이 있는 사용자 및 보안 관리자는 즉시 시스템 전체에 대한 보안 검사를 수행해야 합니다. 또한 정식 제조사의 최신 안전한 버전으로 재설치를 진행하고, 다운로드된 설치 파일의 디지털 서명과 해시(Hash) 값을 검증하는 등 추가적인 모니터링 강화를 권장합니다.
짧은 시간 동안 업데이트 서버의 파일을 치환하는 방식은 클라이언트 측의 코드 서명(Code Signing) 검증이나 무결성 체크가 미흡할 때 매우 치명적입니다.
업데이트 수신 시 서버 응답을 무조건 신뢰하지 않고, 클라이언트 단에서 바이너리의 서명 유효성과 해시값을 엄격히 검증한 후 실행하는 Defensive 코딩이 아키텍처 단계부터 반영되어야 합니다.
아울러 배포 인프라(CI/CD) 및 업데이트 서빙 서버 자체에 대한 Zero Trust 기반의 파일 변조 실시간 감지 체계 구축이 시급해 보입니다.
백업 소프트웨어가 보통 최고 권한(SYSTEM)으로 동작한다는 점을 노려 업데이트 매커니즘을 탈취한 치명적인 공급망 공격 벡터입니다. 특히 5~10분 단위의 극도로 짧은 노출 창을 반복적으로 활용한 스텔스 전략은 보안 모니터링과 IR(인시던트 대응) 팀의 악성 바이너리 수집을 방해하는 고도의 OpSec(운영 보안)을 보여줍니다. 검증된 정품 업데이트 프로세스를 악용한 이러한 방식은 엔드포인트 보안 솔루션을 무력화하고 타깃 시스템의 제어권을 획득하는 가장 확실한 공격 경로입니다.
공급망의 신뢰받는 업데이트 메커니즘을 노린 탐지 회피형 공격이 점차 정교해지고 있음을 보여주는 엄중한 사례입니다. 짧은 시간 동안 게릴라식으로 진행되는 공격에 대응하기 위해, 조직 내 서드파티 소프트웨어의 무조건적인 자동 업데이트 정책을 재검토하고 중앙 통제 기반의 무결성 검증 프로세스를 강화해야 합니다. 기술적 통제와 더불어 협력사 리스크 관리(VRM) 관점에서 소프트웨어 공급업체에 대한 보안 거버넌스 평가 기준을 한층 더 높이겠습니다.