[해외보안뉴스] MSP360과 ScreenConnect 악용하는 이중 RMM 피싱 공격 주의보
· 2026-09-30 19:00
· 조회 14
· 원문 ↗
마이크로소프트(Microsoft)가 원격 관리 및 모니터링(RMM) 소프트웨어인 MSP360 설치 프로그램을 악용한 피싱 캠페인에 대해 경고했습니다. 공격자들은 회의 초대, PDF 문서 유인물, 소프트웨어 업데이트 알림 등 다양한 사회공학적 기법을 활용하여 기만적인 파일 이름으로 정식 MSP360 설치 프로그램을 유포하고 있습니다. 특히 이들은 MSP360을 통해 초기 원격 제어 권한을 확보한 후, 또 다른 RMM 도구인 ScreenConnect를 추가 배포하여 시스템 권한을 다중으로 유지하는 '이중 RMM(Dual-RMM)' 기법을 사용하고 있습니다.
이번 공격은 정식 RMM 도구를 악용하기 때문에 보안 솔루션의 파일 기반 탐지를 회피하기가 쉽습니다. 출처가 불분명한 유인물에 속아 설치 프로그램을 실행한 시스템은 공격자에게 원격 관리 권한을 넘겨주게 되며, 이는 기업 내부 네트워크 침투, 권한 상승, 데이터 탈취 및 람섬웨어 배포 등 2차 피해로 이어질 수 있어 영향 범위가 매우 넓습니다.
이에 대응하기 위해서 조직의 보안 담당자는 승인되지 않은 RMM 소프트웨어의 실행을 제한하는 애플리케이션 제어 정책(AppLocker, WDAC 등)을 적용해야 합니다. 또한, 네트워크 내에서 생성되는 MSP360 및 ScreenConnect의 비정상적인 실행 프로세스나 네트워크 통신을 모니터링해야 합니다. 사용자 측면에서는 이메일이나 웹을 통해 전달되는 소프트웨어 업데이트 요구 및 출처가 불분명한 첨부파일 실행을 철저히 금지하는 예방 수칙 준수가 필요합니다.
정상적인 RMM 도구를 악용하는 'Living-off-the-Land' 공격 패턴이라 단순한 서명 검증이나 백신 검사만으로는 방어가 어렵습니다.
이메일 클라이언트나 브라우저 등 부모 프로세스(Parent Process)의 맥락을 검증하여 이상 실행을 차단하는 EDR 행위 기반 모니터링이 시급합니다.
아키텍처 관점에서도 AppLocker나 WDAC를 활용해 사전에 승인된 중앙 배포 시스템 외에서의 미승인 RMM 도구 실행을 원천 차단하는 Zero Trust 정책을 적용해야 합니다.
정상적인 RMM 도구를 악용하는 기법은 신뢰된 서명 파일을 이용하므로 EDR 및 AV 탐지를 우회하기에 매우 이상적인 공격 벡터입니다. 특히 MSP360에 이어 ScreenConnect까지 이중으로 설치하는 'Dual-RMM' 전략은 하나가 차단되더라도 백도어 통로를 유지하는 뛰어난 지속성(Persistence)을 제공합니다. 교묘한 피싱으로 사용자의 실행을 유도하기만 하면 즉각적인 C2 연결이 가능하므로, 공격자 입장에서 가성비와 성공률이 매우 높은 침투 시나리오입니다.
합법적인 원격 관리(RMM) 소프트웨어를 악용한 위장 공격은 기존 보안 솔루션의 탐지를 우력화하는 매우 위협적인 방식입니다. 조직 차원에서는 허가되지 않은 RMM 도구의 실행을 기술적으로 차단하도록 애플리케이션 제어 정책(AppLocker 등)을 즉각 강화해야 합니다. 아울러 사내 승인되지 않은 원격 접속 도구를 중앙에서 실시간 모니터링하고 통제할 수 있도록 RMM 관련 보안 거버넌스를 재정비하겠습니다.