[해외보안뉴스] 정상 애플리케이션에 위장해 돌아온 SectopRAT, 위협 행위 감시 필요성 증대

최근 원격 제어 트로이목마(RAT)인 SectopRAT(일명 ArechClient)이 정상적인 애플리케이션 내부에 숨어 활동을 재개한 정황이 포착되었습니다. 보안 전문가들에 따르면, 공격자들은 신뢰받는 프로그램의 프로세스에 악성 코드를 주입하거나 정식 소프트웨어로 위장하는 방식을 사용하여 기존의 신뢰 기반 탐지 체계를 우회하고 있습니다. 이는 프로그램의 서명이나 평판만을 맹신하는 기존 보안 관리 방식에 큰 경종을 울리고 있습니다.

SectopRAT은 웹 브라우저에 저장된 로그인 인증 정보와 암호화폐 지갑 데이터를 전문적으로 탈취하는 악성코드입니다. 특히 사용자 모르게 숨겨진 가상 데스크톱(HVNC) 세션을 생성하여 시스템을 원격으로 제어하는 기능을 갖추고 있습니다. 정상 프로세스의 권한을 도용하여 작동하기 때문에 일반 사용자는 물론 기업의 보안 담당자도 감염 사실을 즉각 인지하기 어려우며, 기업 내부망 전체로의 lateral movement(수평 이동) 및 대규모 데이터 유출 피해로 이어질 위험이 큽니다.

이러한 위협에 대응하기 위해서는 신뢰할 수 있는 애플리케이션이라 할지라도 실행 단계에서의 행위를 지속적으로 모니터링해야 합니다. 기업은 EDR(엔드포인트 탐지 및 대응) 솔루션을 통해 정상 프로세스가 비정상적인 네트워크 연결을 시도하거나 불필요한 시스템 레지스트리를 수정하는 행위를 실시간으로 감시해야 합니다. 아울러 제로 트러스트(Zero Trust) 원칙에 기반하여 최소 권한 정책을 유지하고, 상시적인 위협 헌팅(Threat Hunting)을 수행하는 것이 권장됩니다.