[해외보안뉴스] 이란 APT 그룹 '프린스 오브 페르시아', 2016년 이후 처음으로 미국 내 C&C 서버 구축
· 2026-10-23 07:00
· 조회 7
· 원문 ↗
이란 정부와 연계된 지능형 지속 위협(APT) 그룹인 '프린스 오브 페르시아(Prince of Persia, 일명 Infy)'가 약 3개월간의 침묵을 깨고 공격 활동을 재개했습니다. 보안 연구진의 조사에 따르면, 이들은 미국 내 공유 호스팅 서비스를 악용하여 자신들의 악성코드 제어용 '토네이도(Tornado)' C&C(명령 제어) 서버를 은닉한 것으로 밝혀졌습니다. 이 공격 그룹이 미국 기반의 인프라를 C&C 서버로 활용한 것은 2016년 이후 처음입니다.
프린스 오브 페르시아는 주로 정부 기관, 국방 산업, 연구소 등을 대상으로 기밀 정보를 탈취하는 사이버 간첩 활동을 펼쳐왔습니다. 서방 국가, 특히 미국 내 공용 호스팅 인프라를 활용하는 전략은 보안 시스템의 지역 기반 IP 차단 정책을 우회하고 정상적인 웹 트래픽으로 위장하기에 유리합니다. 이로 인해 타깃 조직 내부에서 발생하는 악성 아웃바운드 통신을 신속하게 식별하기 어려워지며, 민감한 정보의 유출 피해 위험이 더욱 커질 수 있습니다.
이러한 지능형 공격을 방어하기 위해 기업 및 기관의 보안 담당자는 주요 호스팅업체 대역으로 향하는 비정상적인 트래픽 모니터링을 강화해야 합니다. 또한, 최신 위협 인텔리전스를 활용해 알려진 C&C 서버 IP 및 도메인을 네트워크 보안 장비에 즉시 차단 등록하고, 엔드포인트 탐지 및 대응(EDR) 솔루션을 통해 의심스러운 통신 및 프로세스 실행 여부를 지속적으로 모니터링해야 합니다.
♥ 추천 0
미국 내 공유 호스팅을 C&C로 악용했다는 점은 단순한 IP 지오블로킹(Geofencing)이나 국가별 차단 정책이 더 이상 유효하지 않음을 보여줍니다.
아키텍처 관점에서는 내부 애플리케이션에서 외부로 나가는 아웃바운드(Egress) 트래픽에 대해 화이트리스트 기반의 엄격한 Zero Trust 필터링을 적용해야 합니다.
코드 레이어에서도 TLS 인증서 피닝(Certificate Pinning)과 도메인 검증을 강제하여 인프라 위장 공격에 대한 방어력을 높여야 합니다.
미국 내 공유 호스팅에 C&C를 구축한 것은 GEO-IP 기반 차단을 우회하고 정상 트래픽 속에 공격 오퍼레이션을 은폐하려는 의도로 보입니다. 타깃 국가 내부 인프라를 활용하면 경계(Perimeter) 보안을 무력화하기 쉽고 C&C 통신 지연이 감소해 유효한 침투 성공률이 대폭 상승합니다. 다만 미국 사법기관의 인프라 압류 위험이 큰 만큼, 지속성보다는 특정 고가치 타깃을 노린 단기적이고 기습적인 침투 벡터로 활용되었을 가능성이 큽니다.
국가 배후 APT 그룹이 미국 내 공유 인프라를 C&C 서버로 활용하는 것은 기존의 지리적 차단(Geo-blocking) 정책을 우회하려는 명확한 시도입니다. 이제는 단순히 IP의 출처나 지역성에 의존하기보다, 내부에서 외부로 나가는(Egress) 트래픽의 이상 행위를 정밀 분석하는 능력이 리스크 관리의 핵심이 되어야 합니다. 최신 위협 인텔리전스(TI)를 기반으로 Outbound C2 통신 모니터링 체계를 강화하고 관련 보안 정책을 즉시 재점검하겠습니다.