[해외보안뉴스] 문서와 Wi-Fi 비밀번호까지 탈취하는 신종 'TASK#STOMP' 파워셸 백도어 주의보
· 2026-09-21 16:00
· 조회 21
· 원문 ↗
최근 보안 연구원들이 시스템에 침투해 민감한 정보를 탈취하는 새로운 악성 캠페인인 'TASK#STOMP'의 상세 내용을 공개했습니다. 이번 캠페인은 파워셸(PowerShell) 기반의 백도어를 유포하여 감염된 호스트로부터 다량의 주요 데이터를 수집하고 외부로 유출하는 것을 목표로 합니다.
해당 파워셸 백도어는 감염된 시스템 내 비즈니스 관련 주요 문서를 자동으로 수집하여 공격자의 서버로 전송합니다. 또한, 파일 시스템을 실시간으로 감시해 새롭게 생성되는 파일을 즉시 탈취하며, 저장된 Wi-Fi 비밀번호, 클립보드에 복사된 데이터, 화면 캡처 이미지까지 수집하는 정교한 기능을 갖추고 있습니다. 공격자는 이 백도어를 통해 임의의 명령을 전달하고 실행할 수 있어 감염된 시스템을 완전하게 제어할 수 있습니다.
이러한 파워셸 악용 공격에 대응하기 위해 기업 및 기관은 파워셸 실행 정책(ExecutionPolicy)을 강화하고 스크립트 블록 로깅(Script Block Logging) 및 감사 기능을 활성화해야 합니다. 더불어 클립보드 접근이나 네트워크 프로필 조회 등 비정상적인 행위를 탐지할 수 있는 EDR(Endpoint Detection and Response) 솔루션을 운용하고, 의심스러운 파일 수신 시 실행을 금지하는 사용자 보안 교육을 병행해야 합니다.
♥ 추천 0
실시간 파일 감시와 클립보드 탈취까지 수행하는 파워셸 백도어의 등장으로 운영 및 개발 환경에서의 스크립트 실행 권한 제어가 더욱 중요해졌습니다.
단순한 ExecutionPolicy 설정에 의존하기보다는 Constrained Language Mode(CLM) 적용과 AppLocker/WDAC를 활용해 악성 스크립트의 Win32 API 호출 및 임의 코드 실행을 원천 차단해야 합니다.
또한, 파워셸 ScriptBlock Logging을 활성화하여 시스템 API 호출이나 비정상적인 데이터 유출 시도를 SIEM 단에서 실시간 모니터링할 수 있는 보안 아키텍처가 필수적입니다.
PowerShell을 활용한 이번 공격은 정교한 난독화 결합 시 기존 보안 솔루션을 무력화하기 쉬운 전형적인 LotL(Living-off-the-Land) 공격 벡터입니다.
실시간 클립보드 탈취와 파일 감시, 임의 명령 실행 기능은 단순 유출을 넘어 타겟 시스템을 완벽히 제어하고 내부망 이동(Lateral Movement)을 위한 C2 거점으로 악용하기에 최적화되어 있습니다.
특히 Wi-Fi 패스워드 및 접속 정보 수집은 물리적 인접 영역이나 보조 네트워크로 공격 스코프를 확장하려는 의도가 명확해 공격자 관점에서 활용 가치가 매우 높은 백도어입니다.
PowerShell 등 정상 도구를 악용한 TASK#STOMP 공격은 내부 기밀 문서와 자격 증명을 실시간으로 유출하여 기업에 치명적인 리스크를 초래합니다.
조직 차원에서 PowerShell 실행 권한을 최소화하고 스크립트 블록 로깅(ScriptBlock Logging) 등 EDR 기반의 모니터링 체계를 즉각 강화해야 합니다.
아울러 중요 데이터 유출 방지(DLP) 정책과 무선 네트워크 접근 제어 거버넌스를 전면 재점검하여 유사 변종 공격에 대비하겠습니다.