[해외보안뉴스] 중국 연계 해킹 그룹, Outlook과 OneDrive를 C2로 악용하는 'Antino' 백도어 유포
· 2026-10-02 19:00
· 조회 19
· 원문 ↗
중국 연계 위협 해킹 그룹이 아시아 지역의 주요 정부 및 정책 기관을 겨냥해 새로운 백도어인 'Antino'를 유포하는 사이버 간첩 캠페인을 전개하고 있습니다. 보안 기업 시스코 타로스(Cisco Talos)가 추적 중인 이 활동은 기존에 보고되지 않은 Antino 백도어를 활용하여 피해 시스템을 제어합니다. 특히 이번 공격은 탐지를 회피하기 위해 Microsoft Outlook과 OneDrive와 같은 정상적인 클라우드 및 이메일 서비스를 C2(명령 제어) 서버 채널로 악용하는 것이 주요 특징입니다.
이번 캠페인의 영향 범위는 아시아 전역의 안보 및 외교 관련 기관에 집중되어 있습니다. 주요 표적은 대만, 인도, 필리핀, 캄보디아, 파키스탄, 태국, 미얀마 등의 정부 및 정책 연구 기관으로 확인되었습니다. 공격자들은 국가 정책 및 지정학적 정보 탈취를 목적으로 이들 기관의 네트워크에 침투해 장기간 대기하며 민감 데이터를 수집한 것으로 분석됩니다.
정상 클라우드 서비스를 악용한 C2 통신은 일반적인 네트워크 모니터링으로 구별하기 어렵기 때문에 철저한 대응이 필요합니다. 조직은 Outlook API 및 OneDrive 등 신뢰할 수 있는 플랫폼과의 비정상적인 데이터 전송 패턴을 감지할 수 있도록 모니터링을 강화해야 합니다. 또한, 엔드포인트 탐지 및 대응(EDR) 솔루션을 최신 상태로 유지하여 미지의 백도어 실행을 차단하고, 시스코 타로스가 공유한 관련 침해 지표(IoC)를 보안 시스템에 적용해야 합니다.
♥ 추천 0
Outlook이나 OneDrive 같은 정상적인 SaaS API를 C2 채널로 악용하는 방식은 기존의 IP/도메인 기반 방화벽 차단을 무력화하므로 네트워크 보안만으로는 한계가 있습니다.
이제는 트래픽 허용 여부를 넘어 API를 호출하는 '프로세스의 신뢰성(Process Identity)'을 검증하고, 비정상적인 OAuth 토큰 발급 및 사용 패턴을 탐지하는 로직이 애플리케이션 아키텍처에 반영되어야 합니다.
엔드포인트 단에서 인가된 프로세스만 서드파티 SaaS API에 접근할 수 있도록 제로 트러스트 기반의 엄격한 Egress 통제 및 모니터링 코드를 구현해야 할 때입니다.
Outlook과 OneDrive 같은 정상 MS 클라우드 서비스를 C2 채널로 악용하는 것은 신뢰된 트래픽에 숨어 기존의 경계 보안(Firewall/IDS)을 무력화하는 전형적인 'Living off the Cloud' 기법입니다.
레드팀 입장에서도 도메인 차단을 회피하고 조직의 화이트리스트 정책을 역이용할 수 있어 타깃 공격 시 은밀성과 성공률을 극대화할 수 있는 매우 매력적인 악용 벡터입니다.
결국 단순 IP/도메인 평판 검사만으로는 이러한 은닉 통신을 막을 수 없으며, 엔드포인트 내 비정상적인 API 호출 패턴과 프로세스 행위를 실시간으로 추적하는 정교한 탐지 체계가 요구됩니다.
Outlook과 OneDrive 같은 정상적인 SaaS 서비스를 C2 통로로 악용하는 수법은 기존 경계 기반 보안 체계에 큰 위협이 됩니다. 이제는 '신뢰된 서비스'라 할지라도 암묵적 신뢰를 거두고, Zero Trust 관점에서 API 기반의 데이터 유출 및 이상 행위 탐지 정책을 즉시 강화해야 합니다. 조직 차원에서 클라우드 자산의 오남용을 감시할 수 있는 거버넌스를 재점검하고 관련 위협 인텔리전스 반영을 가속화하겠습니다.