[해외보안뉴스] 중국 연계 추정 'Warlock' 조직, SharePoint 취약점으로 보안 도구 무력화 후 랜섬웨어 유포
· 2026-10-03 17:00
· 조회 22
· 원문 ↗
중국과 연계된 것으로 추정되는 해킹 그룹 'Warlock'이 마이크로소프트(Microsoft) SharePoint의 취약점을 악용하여 랜섬웨어를 유포하는 공격을 지속하고 있습니다. 시맨텍(Symantec)과 카본 블랙(Carbon Black) 위협 탐지 팀에 따르면, 공격자들은 SharePoint 서버의 구형 및 신규 취약점을 통해 시스템에 침투한 뒤 내부 보안 솔루션을 무력화하고 최종적으로 랜섬웨어를 설치하는 수법을 사용하는 것으로 밝혀졌습니다.
이번 공격의 주요 영향 범위는 포르투갈어 및 스페인어를 사용하는 국가의 기관들입니다. 특히 국가 주요 기반 시설, 정부 기관, 교육 기관 등이 주요 표적이 되었으며, 패치가 완료되지 않은 SharePoint 서버를 운용 중인 조직들을 중심으로 피해가 확대되고 있습니다.
이러한 위협에 대응하기 위해 Microsoft SharePoint를 운용 중인 조직은 즉시 최고 수준의 보안 패치를 적용해야 합니다. 또한, 공격자가 보안 제품을 무력화하려는 시도를 감지할 수 있도록 엔드포인트 탐지 및 대응(EDR) 솔루션의 변조 방지 기능을 활성화하고, 네트워크 내부에서의 비정상적인 권한 승격 및 측면 이동 행위에 대한 상시 모니터링을 강화해야 합니다.
♥ 추천 0
구형과 신규 SharePoint 취약점이 동시에 악용된 점은 프레임워크 패치 라이프사이클 관리와 세심한 레거시 코드 격리의 중요성을 보여줍니다. 특히 공격자가 보안 도구까지 비활성화한 것은 애플리케이션 서비스 계정에 과도한 권한이 부여되었기 때문이므로, 최소 권한 원칙(PoLP)을 철저히 적용해야 합니다. 단일 침투가 전체 인프라 마비로 이어지지 않도록 백엔드 서비스 간 격리와 심층 방어(Defense in Depth) 아키텍처 재설계가 시급합니다.
온프레미스 SharePoint는 외부 노출 면이 넓어 RCE 취약점을 이용한 초기 침투(Initial Access) 벡터로 공격자들에게 항상 최적의 표적입니다. 특히 침투 후 권한을 악용해 보안 도구를 먼저 무력화하는 패턴은 후속 측면 이동과 랜섬웨어 배포 성공률을 극대화하기 위한 정석적인 공격 흐름입니다. 알려진 구형 취약점까지 여전히 유효하게 악용되고 있는 만큼, 외부 접점 시스템의 신속한 패치와 함께 보안 프로세스 강제 종료 행위를 탐지하는 후속 방어선 구축이 시급합니다.
SharePoint 등 협업 플랫폼의 구형 및 신규 취약점이 동시에 악용되는 만큼, 신속한 패치 체계와 자산 식별 프로세스의 재점검이 시급합니다. 특히 공격자가 보안 도구를 직접 무력화하는 TTP(공격 기법)에 대응해 EDR 등 핵심 에이전트의 위변조 방지(Tamper Protection) 및 실시간 이상 종료 감지 정책을 즉시 강화해야 합니다. 인프라 소프트웨어의 패치 지연이 곧 랜섬웨어 감염과 비즈니스 중단으로 직결됨을 명심하고, 협업 도구 전반에 대한 보안 거버넌스 수준을 끌어올려야 합니다.