[보안뉴스] 이란 연계 Handala 해킹 그룹, 비밀번호 탈취 가능한 HEAVYGRAM 텔레그램 백도어와 연관
· 2026-09-18 08:00
· 조회 18
· 원문 ↗
이란과 연계된 해킹 그룹 '한달라 핵(Handala Hack)'이 텔레그램 기반의 감시용 백도어 악성코드인 '헤비그램(HEAVYGRAM)'과 델파이(Delphi) 기반의 유틸리티 '크루드엑스클루드(CRUDEEXCLUDE)'를 활용해 공격을 수행 중인 것으로 밝혀졌습니다. 이들은 텔레그램 메신저 인프라를 명령 제어(C2) 서버로 악용하여 보안 탐지를 회피하고 피해 시스템에 침투하는 정교한 방식을 취하고 있습니다.
헤비그램 백도어는 다양한 원격 제어 및 정보 탈취 기능을 갖추고 있습니다. 공격자는 이를 통해 원격 명령을 실행하고 시스템, 네트워크, 프로세스 정보를 수집할 수 있으며, 사용자 화면 캡처 및 시스템 내 중요 데이터를 외부로 유출합니다. 특히 웹 브라우저 패스워드뿐만 아니라 텔레그램 세션 파일까지 탈취할 수 있어 개인정보 유출은 물론 2차 계정 도용 피해로 이어질 위험이 큽니다. 또한, 정상 프로그램의 허점을 이용해 악성 코드 코드를 실행하는 'DLL 사이드로딩(DLL Sideloading)' 기술을 사용해 탐지를 지연시킵니다.
이러한 위협에 대응하기 위해서는 조직 내 네트워크에서 허가되지 않은 텔레그램 API 통신 및 이상 트래픽이 발생하는지 모니터링을 강화해야 합니다. 사용자는 출처가 불분명한 메시지나 첨부파일의 실행을 엄격히 금지하고, 텔레그램을 포함한 모든 주요 서비스 계정에 2단계 인증(2FA)을 반드시 활성화해야 합니다. 또한 보안 엔드포인트 솔루션을 최신 상태로 유지하고, DLL 사이드로딩 공격을 차단하기 위해 디렉토리 권한을 최소화하는 조치가 필요합니다.
DLL 사이드로딩 기법이 악용된 만큼, 애플리케이션 개발 시 동적 라이브러리 로딩 경로를 엄격히 제한(Safe DLL Search Mode)하고 디지털 서명을 검증하는 로직이 필수적입니다.
또한 세션 파일 탈취에 대응하려면 민감한 인증 토큰이나 데이터를 로컬 디스크에 평문으로 두지 말고, OS 수준의 보안 저장소(예: Windows DPAPI)를 활용해 암호화하는 아키텍처 개선이 필요합니다.
개발 단계에서부터 런타임 프로세스의 권한을 최소화하고, 외부 명령어 실행(RCE) 가능성을 차단하는 입력값 검증을 철저히 해야 합니다.
텔레그램 인프라를 C2 채널로 악용하는 방식은 정상적인 메신저 트래픽으로 위장할 수 있어 보안 시스템의 탐지를 우회하기에 매우 유용합니다. 특히 DLL 사이드로딩 기반의 도구 실행과 텔레그램 세션 파일 직접 탈취 기능은 MFA 등 별도 인증을 무력화하고 즉각적인 세션 탈취를 가능하게 하는 치명적인 공격 벡터입니다. 여기에 RCE와 내부 정찰 기능까지 탑재되어 있어, 초기 침투 성공 시 대상 시스템의 완전한 권한 장악과 지속적인 감시 목적으로 악용될 가능성이 매우 높습니다.
텔레그램 등 정식 업무용이 아닌 메신저가 공격자의 C2 채널 및 정보 유출 통로로 악용되는 리스크가 현실화되고 있습니다. 조직 차원에서 섀도우 IT(Shadow IT)에 대한 통제 정책을 재점검하고, 미인가 애플리케이션의 사내 단말 실행을 엄격히 제한해야 합니다. 아울러 계정 세션 탈취 및 DLL 사이드로딩 공격을 방지하기 위해 EDR 기반의 행위 모니터링과 다중인증(MFA) 거버넌스를 더욱 강화하겠습니다.