[해외보안뉴스] 가짜 LastPass 설치 프로그램으로 커널 수준 EDR 무력화 도구 및 ‘Rapuncel’ 악성코드 유포
· 2026-09-22 05:00
· 조회 21
· 원문 ↗
최근 인기 비밀번호 관리 프로그램인 LastPass의 가짜 설치 프로그램을 악용하여 신종 정보 탈취 악성코드인 ‘Rapuncel’과 커널 수준의 EDR(Endpoint Detection and Response) 무력화 도구를 유포하는 공격이 발견되었습니다. 공격자들은 LastPass뿐만 아니라 최소 40개 이상의 유명 기업 브랜드를 사칭하여 사용자가 악성 소프트웨어를 다운로드하도록 유도하고 있습니다.
이번 공격의 가장 위험한 점은 강력한 보안 무력화 기능입니다. 공격자들은 커널 수준에서 작동하는 악성 드라이브 기술을 활용하여 약 145개에 달하는 주요 보안 제품 및 EDR 솔루션을 강제로 종료하거나 비활성화합니다. 이를 통해 기존 보안 시스템의 감시망을 완전히 회피한 후, 목표 시스템에 성공적으로 침투합니다.
보안 솔루션이 무력화된 후 배포되는 ‘Rapuncel’ 스틸러 악성코드는 웹 브라우저에 저장된 계정 정보, 암호화화폐 지갑 데이터, 시스템 정보 등 피해자의 민감한 데이터를 수집하여 공격자의 서버로 탈취합니다. 보안 도구가 작동하지 않는 상태에서 공격이 진행되므로 피해자는 정보 유출 사실을 즉각 인지하기 어렵습니다.
이러한 피해를 예방하기 위해 사용자는 소프트웨어를 다운로드할 때 반드시 공식 웹사이트나 정식 스토어를 이용해야 하며, 검색 엔진 상단에 노출되는 광고 링크를 통한 다운로드를 주의해야 합니다. 또한 기업 보안 관리자는 취약한 드라이버의 로딩을 차단하는 보안 정책을 적용하고, 최소 권한 원칙을 통해 일반 사용자의 임의 소프트웨어 및 드라이버 설치를 제한해야 합니다.
커널 레벨에서 EDR을 무력화하는 공격은 단말 보안 솔루션에만 의존하는 아키텍처의 한계를 적나라하게 보여줍니다.
개발자 관점에서는 무단 바이너리 실행을 원천 차단하도록 코드 서명 검증 강화 및 제로 트러스트 기반의 사내 배포 파이프라인을 재점검해야 합니다.
아울러 인포스틸러 피해를 최소화하기 위해 코드 내 시크릿 하드코딩을 금지하고, 개발자 자격 증명(Credentials)의 유효 기간 단축과 Vault 연동을 의무화해야 합니다.
LastPass와 같은 필수 프로그램을 위장한 사회공학적 기법은 초기 침투(Initial Access) 단계에서 여전히 높은 성공률을 보이는 치명적인 공격 벡터입니다. 특히 취약한 드라이버 등을 악용한 커널 레벨의 EDR Kill 기법으로 145개의 보안 제품을 선제 무력화하여 SOC의 탐지 가시성을 완전히 제거했습니다. 방어 체계가 마비된 상태에서 수행되는 후속 정보 유출(Infostealer)은 탐지 위험이 없어 공격자에게 최적의 환경을 제공하므로, 엔드포인트 커널 보호 및 드라이버 차단 정책 점검이 시급합니다.
유명 응용프로그램 사칭과 커널 수준의 EDR 무력화 공격은 단일 엔드포인트 보안 솔루션에만 의존하는 방식의 한계를 명확히 보여줍니다.
조직 차원에서 임직원의 임의 소프트웨어 다운로드를 통제하고 로컬 관리자 권한을 최소화하는 기술적 정책 재정비가 시급합니다.
아울러 보안 솔루션이 무력화되는 최악의 시나리오까지 고려하여, 네트워크 및 계정 기반의 제로 트러스트 다층 방어(Defense-in-Depth) 체계를 즉시 점검해야 합니다.