[해외보안뉴스] 사이드카피(SideCopy), ReverseRAT 활용해 인도 학계로 공격 대상 확대
· 2026-09-22 10:00
· 조회 19
· 원문 ↗
지능형 지속 위협(APT) 조직으로 알려진 사이드카피(SideCopy)가 기존의 인도 정부 기관 중심 공격에서 벗어나 대학 및 연구 기관 등 학술 분야까지 공격 대상을 전격 확대하고 있습니다. 글로벌 보안 기업 트렐릭스(Trellix)의 연구진에 따르면, 이들은 정교하게 제작된 스피어 피싱 이메일을 활용해 고도화된 악성코드 유포 캠페인을 진행 중인 것으로 확인되었습니다.
이번 공격 캠페인은 인도의 교육 및 연구 분야 전반에 영향을 미치고 있습니다. 사이드카피 조직은 표적 맞춤형 스피어 피싱 메시지를 전파한 후, 윈도우 정식 실행 파일인 mshta.exe를 악용해 보안 탐지 체계를 우회하는 방식을 취하고 있습니다. 악성 스크립트가 실행되면 최종적으로 악성 원격 제어 도구인 ReverseRAT이 설치되어 피해 시스템의 주도권을 빼앗기게 됩니다.
이러한 LOLBin(Living Off the Land Binaries) 기반의 피싱 공격에 대응하기 위해서는 무엇보다 출처가 불분명한 이메일의 첨부파일이나 URL 링크 열람을 금지하는 사내 보안 교육이 시급합니다. 또한 보안 관리자는 조직 내 네트워크에서 mshta.exe와 같은 정상 시스템 도구가 비정상적인 스크립트를 호출하거나 외부에 무단 접속하는 행위를 실시간으로 모니터링하고 차단 정책을 적용해야 합니다.
♥ 추천 0
mshta.exe같은 OS 기본 바이너리를 악용하는 전형적인 LOLBin(Living Off the Land) 공격 기법입니다. 시스템 아키텍처 관점에서는 단순 백신 탐지에 의존하기보다 AppLocker나 WDAC을 활용해 불필요한 OS 도구의 실행 권한을 차단(Hardening)해야 합니다. 또한, 업무용 소프트웨어나 문서 유틸리티가 스크립트 실행기를 자식 프로세스(Child Process)로 호출하지 못하도록 프로세스 격리 및 모니터링 정책을 강화할 필요가 있습니다.SideCopy가 상대적으로 보안이 취약한 학계로 공격 표적을 확장하며
mshta.exe기반의 LOLBin(Living off the Land Binaries) 기법을 적극 활용하고 있습니다.정상 윈도우 유틸리티를 악용한 스크립트 실행은 기존 EDR 및 백신의 시그니처 탐지를 손쉽게 우회하여 초기 침투(Initial Access) 성공률을 극대화하는 매우 위협적인 벡터입니다.
학계 네트워크를 초기 거점(Foothold)으로 확보한 뒤 연계된 정부 기관이나 주요 연구 자산으로 측면 이동(Lateral Movement)을 시도할 가능성이 높아 악용 위험성이 매우 큽니다.
공격 그룹이 학계를 포함한 연계 기관으로 타깃을 확장하며,
mshta.exe와 같은 정상 시스템 도구를 악용해 기존 보안을 우회하는 위협이 고도화되고 있습니다.이에 따라 단순 피싱 방지를 넘어 합법 프로세스의 이상 행위를 통제할 수 있도록 행위 기반 탐지 정책과 제로 트러스트 관점의 권한 관리를 재정비해야 합니다.
조직은 타깃 확장으로 인한 서드파티 리스크 전이를 막기 위해 최신 위협 인텔리전스(TI)를 반영한 모니터링 거버넌스를 즉시 강화해야 합니다.