카스퍼스키, 윈도서버 공격 '패시브뉴런' 탐지

작년 12월부터 활동 올 8월까지 지속...3가지 도구 사용 2개는 악성코드

글로벌 사이버보안 전문기업 카스퍼스키(한국지사장 이효은)는 자사 GReAT(글로벌 연구 분석팀)이 정부, 금융, 산업 등 주요 기관의 윈도 서버 시스템을 겨냥한 사이버 공격인 ‘패시브뉴런(PassiveNeuron)’을 탐지했다고 29일 밝혔다. 이 공격은 2024년 12월부터 활동이 포착, 2025년 8월까지 지속된 것으로 확인됐다고 덧붙였다.

약 6개월간의 비활동 기간 이후, PassiveNeuron은 활동을 재개하며 새로운 공격 도구를 활용해 표적 네트워크에 침투 및 지속적으로 접근 권한을 확보했다. 공격자들이 사용한 주요 도구는 총 3가지로, 이 중 2개는 새롭게 발견된 악성코드다.

▲Neursite: 모듈형 백도어로, 시스템 정보 수집, 실행 중인 프로세스 제어, 네트워크 트래픽 라우팅 등을 수행해 내부망 측면 이동을 가능하게 한다.

▲Neuralexecutor: .NET 기반 임플란트로, 추가 페이로드를 다운로드 및 실행할 수 있으며, 다양한 통신 방식을 지원한다.

▲Cobalt Strike: 보안 점검용으로 개발된 침투 테스트 프레임워크이지만, 위협 행위자들이 공격 도구로 악용하는 사례가 많다.

카스퍼스키 게오르기 쿠체린 GReAT 소속 연구원은 “PassiveNeuron의 특징은 조직 네트워크 중추인 서버 시스템을 직접 겨냥한다는 점이다. 특히 인터넷에 노출된 서버는 APT 그룹에게 매력적인 표적이 되며, 하나의 서버가 침해되면 핵심 시스템 전체로 접근이 확대될 수 있다. 따라서 공격 표면을 최소화하고 서버 애플리케이션에 대한 지속적인 모니터링을 통해 위협 징후를 조기에 탐지·차단하는 것이 중요하다”고 강조했다.

카스퍼스키 이효은 한국지사장은 “PassiveNeuron의 서버 대상 공격은 한국에 심각한 경고 신호를 보내고 있다. 이미 정부·금융 분야 등 주요 인프라를 중심으로 사이버 사고가 빈번하게 발생하고 있는데, 서버가 침해될 경우 그 피해는 치명적일 것"이라면서 "PassiveNeuron이 사용하는 새로운 도구와 교묘한 기만 전술은 더욱 정교해지고 있으며, 국내의 사이버 보안 인력 부족 문제까지 겹쳐 있다. 카스퍼스키는 위협 인텔리전스(TI), EDR, 보안 교육을 통합한 다계층 방어 체계 구축을 지원, 한국 조직들이 자사 보안 역량을 강화할 수 있게 적극 협력하고 있다”고 밝혔다.