이번 주, Tanium의 사이버 위협 인텔리전스(CTI) 팀은 공격 성공까지 걸리는 시간을 며칠에서 몇 분으로 대폭 단축시켜 주는 ‘HexStrike AI’라는 새로운 도구를 분석합니다. 다음으로, 연구팀은 첩보 활동과 데이터 탈취 작전을 가능하게 하는 Windows용 키로거인 ‘TinkyWinkey’에 대해 개괄적으로 설명합니다. 마지막으로, Check Point가 발표한 새로운 연구 결과를 살펴보겠습니다. 이 연구에서는 Silver Fox APT 그룹이 이전에 알려지지 않았던 마이크로소프트의 취약점이 있는 드라이버를 성공적으로 악용하여 엔드포인트 보호 기능을 무력화하고 ValleyRAT 악성코드를 배포한 과정을 상세히 설명하고 있습니다.
악의적 행위자들은 HexStrike AI를 이용해 사이버 공격을 기획하고 실행한다
체크포인트(Check Point)의 최근 게시물 에서는 위협 행위자들이 ‘HexStrike AI’라는 새로운 AI 도구를 활용해 사이버 공격을 기획하는 방식을 살펴봅니다. 악의적 행위자들은 HexStrike AI가 공격 성공까지 걸리는 시간을 며칠에서 10 분 미만으로 단축시킨다고 주장합니다.
HexStrike AI란 무엇인가요?
HexStrike AI는 원래 레드팀과 보안 연구자들을 위한 도구로 설계되었습니다. 이 도구가 출시되자마자, 체크포인트는 악의적인 행위자들이 이 도구를 공격에 활용하는 방법을 논의하는 것을 포착했습니다. 불과 몇 시간 만에 일부 공격자들은 약 일주일 전에 공개된 시트릭스 제로데이 취약점을 악용하기 위해 이 방법을 어떻게 활용할지 구체적으로 논의하기 시작했다.
HexStrike AI 아키텍처
체크포인트는 HexStrike AI를 “공격적 사이버 작전을 수행하는 방식에 있어 근본적인 변화”라고 설명합니다. 이 도구를 사용하면 Claude, GPT, Copilot과 같은 다양한 AI 모델이 사람의 개입이나 관리 없이도 도구를 실행할 수 있습니다. 또한 MCP 에이전트를 소개하는데, 이는 모델 컨텍스트 프로토콜(MCP)을 통해 통신하며 대규모 언어 모델(LLM)과 실제 공격 능력 간의 격차를 해소하는 데 도움을 주는 에이전트입니다. 체크포인트(Check Point)는 ‘ ’ AI 에이전트 가 침투 테스트, 탐색, 연구 등을 위한 도구를 포함해 150 개 이상의 사이버 도구를 자율적으로 실행할 수 있다는 사실을 확인했습니다.
이 보고서는 HexStrike 설계의 몇 가지 핵심적인 측면을 강조하고 있다. 첫 번째는 MCP 오케스트레이션 계층입니다. 이 프레임워크는 다른 대규모 언어 모델(LLM)과 도구 기능 간의 통신을 위해 FastMCP 서버를 설정합니다. 이 도구들은 에이전트가 호출할 수 있는 호출 가능 컴포넌트 역할을 하며, 이를 통해 프로그래밍 방식으로 명령을 실행할 수 있게 해줍니다. 체크포인트는 또한 대규모 도구 통합 기능을 강조하고 있다. 이 도구는 자동화되고 탄력적이며, 명령어를 워크플로로 추상화하여 작업을 반복적으로 수행할 수 있도록 합니다.
취약점 악용
체크포인트는 공격자들이 얼마 전 공개된 시트릭스 넷스케일러(Citrix NetScaler) ADC 및 게이트웨이 어플라이언스에 영향을 미치는 세 가지 제로데이 취약점을 악용하는 과정에서 ‘헥스트라이크(HexStrike) AI’를 어떻게 활용했는지를 조명합니다.
이러한 취약점이 공개된 후 12 시간 동안, 체크포인트는 공격자들이 HexStrike AI를 활용해 취약한 인스턴스를 탐지하고 악용하는 방법에 대해 논의하는 것을 포착했다. 이는 에서 설명한 바와 같이, AI를 활용해 정찰과 같은 기존에 수작업으로 수행되던 업무를 자동화할 수 있음을 다시 한번 강조합니다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
HexStrike AI는 AI가 위협 행위자들에게 어떻게 전투력을 배가시키는 수단이 될 수 있는지, 그리고 정교한 공격을 수행하는 데 필요한 시간, 기술, 노력을 어떻게 줄여주는지를 보여주는 대표적인 사례입니다.
체크포인트는 이 도구가 출시된 직후 위협 행위자들이 얼마나 빠르게 몰려들었는지, 그리고 실제 제로데이 공격에 활용하기 위한 방안으로 이 도구가 얼마나 신속하게 논의되었는지를 강조하고 있다. 공격자들이 AI 도구를 실제 작전에 활용하는 속도가 점점 빨라지고 있으며, AI가 점차 작전을 수행하고 완전한 킬 체인을 실행하는 데 활용될 수 있는 수단으로 자리 잡아가고 있다는 점에서 이는 특히 우려스러운 상황입니다.
Check Point는 이 위협과 관련하여 보안 담당자( )가 취할 수 있는 권장 조치 사항 을 제시하고 있습니다.
TinkyWinkey 키로거가 Windows 시스템을 위협하고 있다
Cyfirma는 DLL 주입 및 저수준 API 호출과 같은 고급 기술을 활용해 키 입력을 캡처하고, 활성 창을 모니터링하며, 시스템 데이터를 수집하는 은밀한 Windows 기반 악성코드인 ‘TinkyWinkey’ 키로거에 대한 상세 정보 를 공개하고 있습니다. 모듈식 설계와 지속적 실행 기능 덕분에 TinkyWinkey는 첩보 및 데이터 탈취 작전에 있어 상당한 위협이 됩니다.
TinkyWinkey 개요
Cyfirma는 ‘ 2025년 6월’가 끝날 무렵 TinkyWinkey 키로거를 처음 발견했습니다. Cyfirma에 따르면, 이 악성코드의 “서비스 및 키로거 구성 요소는 유연성과 은밀성을 유지하려는 의도적인 시도를 시사하며, 이를 통해 다양한 캠페인에 맞춰 악성코드를 업데이트하거나 용도를 변경하기가 더 쉬워진다.”
TinkyWinkey의 두 가지 주요 구성 요소는 다음과 같습니다:
- 키로거를 배포하고 운영하는 역할을 담당하는 Tinky 서비스( )
- Winkey 키로거( )는 실제 키보드 입력을 기록합니다.
Cyfirma는 이 악성코드의 주요 기능으로 시스템 정보 수집, 키로깅, 창 추적, 로깅 시스템, 서비스 관리, 프로세스/세션 관리 등을 꼽고 있다.
TinkyWinkey 정적 분석
먼저, 악성코드는 시스템의 임시 디렉터리를 파악하고, 필요한 로그 파일이 그곳에 있는지 확인합니다. 이 로그 파일은 키로깅 루틴의 일환으로 캡처된 키 입력이 저장되는 곳입니다. 그런 다음 OS 버전, 프로세서 정보 등 호스트에 대한 정보를 수집하기 위해 특별히 설계된 몇 가지 함수를 호출합니다.
다음으로, 이 악성코드는 운영 체제의 지문을 분석하고, CPU 정보를 파악하며, 네트워크 식별 정보를 탐색하고, 메모리 용량을 파악한 뒤, 전경 창을 모니터링하여 사용자가 애플리케이션을 전환하는 시점을 파악합니다.
주요 키로깅 기능을 위해, 이 악성코드는 키 입력을 캡처하는 키보드 후크를 설치합니다. 이 기능은 사용 중인 키보드를 모니터링할 뿐만 아니라, 사용자가 언어를 변경할 경우에도 이를 기록할 수 있습니다. Escape, Enter, Backspace와 같은 특수 키는 실제 로그에서 설명적인 표시자로 대체됩니다. 비특정 키의 경우, 악성코드는 키 코드를 변환하여 로그 파일에 저장합니다.
이 악성코드는 결국 지속적인 메시지 루프에 진입하게 되며, 이를 통해 전경 창과 키보드 후크를 활성화된 상태로 유지하여 지속성을 확보합니다.
TinkyWinkey 동적 분석
이 코드가 실행되면 ‘Tinky’라는 악성 Windows 서비스가 등록됩니다. 이 기능은 데이터 영구 저장을 위해 시스템 시작 시 호출되도록 만들어졌습니다.
지속성을 성공적으로 확보한 후, 보조 페이로드인 winkey.exe가 실행됩니다. 이 페이로드는 키로깅 모듈을 담당하는 것입니다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
TinkyWinkey는 Windows 내부 구조를 정교하게 활용하고, 은밀하게 실행되며, 포괄적인 로깅 기능을 갖추고 있어 위협 행위자들의 관심을 끌 가능성이 높습니다.
Cyfirma가 지적했듯이, 이 키로거의 배후에 있는 공격자는 서비스 구성 요소와 키로거 구성 요소를 명확히 분리해 두었습니다. 이러한 의도적인 분리는 악성코드의 유연성 및 향후 업데이트 측면에서 공격자에게 도움이 될 것입니다. 그렇긴 하지만, 앞으로 이 악성코드의 새로운 버전이나 변종이 등장하더라도 전혀 놀랍지 않을 것입니다.
Silver Fox APT는 취약한 드라이버를 악용해 엔드포인트 보안 기능을 무력화합니다
체크포인트(Check Point)의 새로운 보고서 『실버 폭스(Silver Fox) APT 그룹의 공격 분석: 마이크로소프트 서명 드라이버 취약점 악용 사례( )』는 실버 폭스 APT 그룹이 이전에 알려지지 않았던 마이크로소프트 서명 취약점 드라이버를 악용해 마이크로소프트 보안 업데이트() 엔드포인트 보호 기능 을 은밀하게 비활성화하고 ValleyRAT 악성코드를 배포한 방법을 설명합니다.
이 캠페인은 운전자 신뢰 모델의 중대한 결함과 현대 사이버 보안에서 서명 기반 방어 방식의 한계를 부각시키고 있습니다.
체크포인트의 ‘실버 폭스(Silver Fox)’ APT 보고서 주요 내용
5월 말부터 체크포인트는 맞춤형 로더를 이용해 Windows 기기를 표적으로 삼은 ‘Silver Fox’ 캠페인을 포착했습니다. 이 맞춤형 로더는 특히 커널 드라이버를 악용하여 보안 프로세스를 종료시켰습니다. 에서 종료된 프로세스의 전체 목록( )은 보고서에서 확인할 수 있습니다.
체크포인트에 따르면, 이번 캠페인은 “기존에 알려진 취약한 드라이버만을 사용하던 방식에서 벗어나, 기존의 탐지 메커니즘을 우회하는, 이전에 분류되지 않았던 서명된 취약한 드라이버를 배포하는 것으로 큰 전환점을 보였다고” 한다.
Silver Fox는 공격 과정에서 WatchDog 맬웨어 방지 드라이버를 사용했는데, 이 드라이버는 당시 취약점이 공개적으로 알려진 바가 없었으며 마이크로소프트의 정식 서명을 받은 정품 드라이버였다. 이 드라이버와, 취약점이 확인된 것으로 알려진 또 다른 배포된 드라이버로 인해 임의의 프로세스 종료가 가능해졌습니다. 이번 공격의 최종 페이로드는 ‘ValleyRAT’ 백도어로, 데이터 유출 및 명령어 실행 등의 기능을 갖추고 있으며, 이를 통해 이번 공격의 배후가 ‘Silver Fox’임을 규명하는 데 기여했다.
이번 공격에 사용된 C2 대의 서버는 모두 중국에 호스팅되어 있었으며, 퍼블릭 클라우드 또는 웹 서비스를 이용하고 있었다. 피해자학적인 관점에서 볼 때, 체크포인트는 전 세계적인 표적화 패턴을 관찰했다.
로더
체크포인트는 실버 폭스(Silver Fox) APT가 사용한 여러 가지 올인원 로더 샘플을 확인했으며, 이들 샘플은 모두 은밀성, 지속성, 페이로드 전달을 위해 설계된 것으로 나타났다. 이러한 로더에는 가상 환경, 샌드박스 및 특정 ISP를 탐지하는 분석 방지 루틴이 포함되어 있으며, 해당 조건이 감지되면 실행을 중단합니다. 또한 RunTime 폴더를 생성하고 서비스를 등록하여 시작 시 실행되도록 함으로써 지속성을 확보합니다.
이 로더는 두 개의 취약점을 악용하는 드라이버를 인코딩된 바이트 문자열 형태로 포함하고 있는데, 하나는 엔드포인트 방어 체계를 무력화하기 위한 것이고, 다른 하나는 ValleyRAT 백도어를 배포하기 위한 것이다. 대상 시스템의 Windows 버전에 따라 적절한 드라이버가 선택되므로, 악성코드는 다양한 환경에 적응하면서 기존의 탐지 메커니즘을 회피할 수 있습니다.
EDR/AV 킬러
앞서 언급한 바와 같이, EDR/AV 킬러의 루틴은 로더 내에 내장되어 있습니다. 감염된 기기에서 실행 중인 Windows 버전에 따라 해당 취약점 드라이버가 제거됩니다.
어떤 드라이버를 사용하든 상관없이, 필요한 서비스를 생성하는 데는 Windows API 함수가 사용됩니다. 주요 로직은 192 개의 프로세스 이름이 포함된 “종료 대상 프로세스 목록(Base64-encoded 개)”을 순회하게 됩니다. 일치하는 항목이 있으면 프로세스가 종료됩니다.
새로운 취약한 운전자
체크포인트는 이전에 취약점이 있는 것으로 알려지지 않았던 해당 드라이버를 면밀히 조사했다. 이 파일은 정식으로 서명된 WatchDog 맬웨어 방지 드라이버입니다.
Zemana Anti-Malware SDK를 기반으로 하는 이 드라이버는 해당 프로세스가 보호 모드로 실행 중인지 확인할 필요 없이 임의의 프로세스를 종료할 수 있어, ‘취약한 드라이버 직접 가져오기(BYOD)’ 기법에 효과적으로 활용될 수 있습니다.
ValleyRAT 백도어
체크포인트가 분석한 모든 샘플에서 결국 ValleyRAT 백도어가 설치되는 것으로 나타났습니다. 탐지를 피하기 위해, 이 프로그램은 Windows API를 통해 콜백을 호출하여 분석 도구와 관련된 프로세스를 탐지합니다. 탐지될 경우, 20 초 동안 대기하며 실행을 지연시키고, 도구가 더 이상 탐지되지 않을 때까지 열거 작업을 계속합니다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
마이크로소프트가 서명한 드라이버의 악용 사례는 Windows 환경에서 신뢰가 부여되는 방식에 내재된 체계적인 취약점을 여실히 드러내고 있다. ‘서명이 있으면 안전하다’는 가정이 공격자들에 의해 점점 더 자주 악용되고 있다.
이번 공격에서 공격자는 탐지를 회피하고 경보가 발생하지 않도록 돕기 위해 악성코드 방지 솔루션을 종료했습니다. 이는 단순한 파일 서명뿐만 아니라 드라이버 동작 등과 같은 요소까지 모니터링할 필요가 있음을 시사합니다.
이 이야기들에 대해 공유하고 싶은 의견이 있으신가요? 또는 Tanium 토론 포럼을 방문하여 대화를 시작해 보세요.
더 자세한 내용을 확인하시려면, 최근 발행된 ‘’ 사이버 위협 인텔리전스 요약 기사()를 참고해 주세요.
