원격 액세스 트로이 목마는 어떻게 작동합니까?
RATS는 다른 유형의 멀웨어와 마찬가지로 컴퓨터를 감염시킬 수 있습니다. 이메일에 첨부되거나, 악성 웹 사이트에서 호스팅되거나, 패치가 적용되지 않은 시스템의 취약성을 악용할 수 있습니다.
RAT는 원격 액세스 또는 시스템 관리에 RDP(원격 데스크톱 프로토콜) 및 TeamViewer를 사용하는 방법과 유사하게 공격자가 컴퓨터를 원격으로 제어할 수 있도록 설계되었습니다. RAT는 공격자의 서버와 명령 및 제어(C2) 채널을 설정하여 명령을 RAT로 보내고 데이터를 다시 보낼 수 있습니다. RAT에는 일반적으로 기본 제공 명령 집합이 있으며 검색에서 C2 트래픽을 숨기는 방법이 있습니다.
RAT는 추가 기능과 함께 번들로 제공되거나 필요에 따라 추가 기능을 제공하기 위해 모듈식 방식으로 설계될 수 있습니다. 예를 들어, 공격자는 RAT를 사용하여 발판을 마련하고 RAT를 사용하여 감염된 시스템을 탐색한 후 감염된 시스템에 키로거를 설치하기로 결정할 수 있습니다. RAT에는 이 기능이 내장되어 있거나, 필요에 따라 키로거 모듈을 다운로드 및 추가하도록 설계되거나, 독립 키로거를 다운로드하여 실행할 수 있습니다.
RAT의 위협
공격마다 대상 시스템에 대한 액세스 수준이 다르며, 공격자가 얻는 액세스 권한의 양에 따라 사이버 공격 중에 수행할 수 있는 작업이 결정됩니다. 예를 들어 SQL 삽입 취약성을 악용하면 취약한 데이터베이스에서 데이터를 훔치는 것만 허용할 수 있는 반면, 피싱 공격이 성공하면 자격 증명이 손상되거나 손상된 시스템에 멀웨어가 설치될 수 있습니다.
RAT는 공격자에게 손상된 시스템에 대해 매우 높은 수준의 액세스 및 제어를 제공하기 때문에 위험합니다. 대부분의 RAT는 합법적인 원격 시스템 관리 도구와 동일한 수준의 기능을 제공하도록 설계되었으므로 공격자는 감염된 컴퓨터에서 원하는 모든 것을 보고 수행할 수 있습니다. 또한 RAT에는 시스템 관리 도구와 동일한 제한 사항이 없으며 취약성을 악용하고 감염된 시스템에 대한 추가 권한을 얻어 공격자의 목표를 달성하는 데 도움이 되는 기능이 포함될 수 있습니다.
공격자는 감염된 컴퓨터와 그 활동에 대해 높은 수준의 제어 권한을 가지고 있기 때문에 감염된 시스템에서 거의 모든 목표를 달성하고 목표를 달성하는 데 필요한 추가 기능을 다운로드 및 배포할 수 있습니다.
원격 액세스 트로이 목마로부터 보호하는 방법
RAT는 감염된 시스템에서 자신을 숨기도록 설계되어 공격자에게 비밀 액세스를 제공합니다. 그들은 종종 겉보기에 합법적인 애플리케이션에 악의적인 기능을 편승하여 이를 달성합니다. 예를 들어 불법 복제된 비디오 게임이나 비즈니스 애플리케이션은 멀웨어를 포함하도록 수정되었기 때문에 무료로 사용할 수 있습니다.
RAT의 은밀성으로 인해 RAT를 보호하기 어려울 수 있습니다. RAT의 영향을 감지하고 최소화하는 몇 가지 방법은 다음과 같습니다.
- 감염 벡터에 집중: 다른 멀웨어와 마찬가지로 RAT는 대상 컴퓨터에 설치 및 실행되는 경우에만 위험합니다. 안티피싱(Anti-Phishing) 및 보안 브라우징 솔루션을 배포하고 시스템을 정기적으로 패치하면 애초에 컴퓨터를 감염시키는 것을 더 어렵게 만들어 RAT의 위험을 줄일 수 있습니다.
- 비정상적인 동작 찾기: RAT는 일반적으로 합법적인 애플리케이션으로 가장하는 트로이 목마 이며 실제 애플리케이션에 추가된 악성 기능으로 구성될 수 있습니다. 애플리케이션 비정상적인 동작(예: 메모장.exe 생성 네트워크 트래픽)을 모니터링합니다.
- 네트워크 트래픽 모니터링: RAT를 사용하면 공격자가 네트워크를 통해 감염된 컴퓨터를 원격으로 제어하여 명령을 보내고 결과를 받을 수 있습니다. 이러한 통신과 관련될 수 있는 비정상적인 네트워크 트래픽을 찾습니다.
- 최소 권한 구현: 최소 권한의 원칙에 따르면 사용자, 애플리케이션, 시스템 등은 작업을 수행하는 데 필요한 액세스 권한과 권한만 가져야 합니다. 최소 권한을 구현하고 적용하면 공격자가 RAT를 사용하여 달성할 수 있는 것을 제한하는 데 도움이 될 수 있습니다.
- 다중 인증(MFA) 배포: RAT는 일반적으로 온라인 계정의 사용자 이름과 암호를 도용하려고 시도합니다. MFA를 배포하면 자격 증명 손상의 영향을 최소화하는 데 도움이 될 수 있습니다.
체크 포인트로 RAT 감염 예방
RAT 감염으로부터 보호하려면 멀웨어가 조직의 시스템에 액세스하기 전에 식별하고 차단할 수 있는 솔루션이 필요합니다. 체크 포인트 Harmony Endpoint는 일반적인 감염 벡터를 방지하고, 의심스러운 동작에 대한 애플리케이션을 모니터링하고, 네트워크 트래픽에서 C2 통신의 징후를 분석하여 RAT에 대한 포괄적인 보호 기능을 제공합니다. Harmony Endpoint 및 전체 Harmony 솔루션 제품군에 대해 자세히 알아보려면 지금 무료 데모를 요청하십시오.
피드백