[해외보안뉴스] 친러시아 해킹 그룹 UAC-0099, 우크라이나 정부 타깃 신종 'ASHVEIN' 악성코드 유포
· 2026-10-08 16:00
· 조회 11
· 원문 ↗
친러시아 성향의 사이버 위협 그룹 UAC-0099가 우크라이나 정부 관계자들을 겨냥해 새로운 .NET 기반 악성코드인 'ASHVEIN'을 유포하고 있는 정황이 포착되었습니다. 보안 전문 기업 TrendAI(구 SHADOW-EARTH-065, 현 Earth Sirrush로 추적)의 분석에 따르면, ASHVEIN은 내부 정보 탈취 기능과 원격 제어 도구(RAT) 기능을 모두 갖춘 신종 악성코드로 확인되었습니다.
이번 공격의 주요 영향 범위는 우크라이나 정부 기관 및 공공 분야 종사자들입니다. ASHVEIN 악성코드는 탐지를 회피하기 위해 HTML 파일 및 구조 내부 명령어를 은닉하는 방식을 사용합니다. 감염이 완료되면 공격자는 중앙 C2 서버를 통해 피해 시스템에 대한 원격 제어권을 확보하고, 시스템 내부의 민감 문서 및 사용자 자격 증명을 지속적으로 탈취할 수 있습니다.
이러한 위협에 대응하기 위해서는 우크라이나 정부 및 관련 기관의 출처가 불분명한 이메일 첨부파일 및 URL 링크에 대한 주의가 요구됩니다. 보안 관리자는 네트워크 트래픽 모니터링을 강화하여 비정상적인 HTML 데이터 수신 및 C2 통신을 차단해야 하며, 엔드포인트 보안 솔루션(EDR)을 통해 .NET 기반 프로세스의 의심스러운 행위를 즉시 탐지하고 차단하는 정책을 적용해야 합니다.
♥ 추천 0
HTML 파싱 구조 속에 C2 명령어를 은닉하는 방식은 일반 웹 트래픽으로 위장하여 기존의 WAF나 시그니처 기반 네트워크 검사를 쉽게 우회합니다.
.NET 기반 바이너리의 무단 실행을 차단하려면 AMSI(Antimalware Scan Interface) 연동을 통한 런타임 메모리 검증과 엄격한 Egress(아웃바운드) 트래픽 제어 아키텍처가 필수적입니다.
개발 관점에서도 외부 HTML 데이터를 파싱할 때 단순 문자열 처리가 아닌 엄격한 스키마 검증 및 입출력 새니타이징(Sanitizing) 로직을 적용해야 합니다.
HTML 내부 트래픽으로 C2 명령을 은닉하는 방식은 일반적인 웹 브라우징 트래픽으로 위장하여 네트워크 단의 DPI(깊은 패킷 검사) 및 시그니처 탐지를 효과적으로 우회하는 공격 벡터입니다. 특히 .NET 기반으로 구현된 ASHVEIN RAT은 대상 내부망 진입 후 정보 탈취 및 추가 페이로드 수신을 신속하게 전개할 수 있습니다. 이처럼 정상적인 웹 리소스를 악용한 Stealth C2 채널은 기존 경계 보안 시스템을 무력화하고 오랫동안 은밀성을 유지하는 데 지극히 위협적입니다.
HTML 내 명령을 은닉하는 신종 RAT(ASHVEIN)의 등장은 기존 정적 탐지 중심 보안 체계를 우회하는 고도화된 위협이 지속되고 있음을 보여줍니다. 조직 관점에서는 지정학적 리스크나 표적 공격의 대상이 되기 쉬운 주요 직무자에 대한 스피어 피싱 대응 정책과 행위 기반 탐지(EDR) 기법을 재정비해야 합니다. 최신 위협 인텔리전스(TI)를 실시간으로 보안 정책에 반영하여, 유사한 은닉 패턴에 대한 선제적 모니터링과 제로 트러스트 관점의 거버넌스를 유지하는 것이 시급합니다.