AGEWHEEZE RAT

사이버 보안 분석가들은 공격자들이 우크라이나 컴퓨터 비상 대응팀(CERT)을 사칭하여 AGEWHEEZE라는 원격 관리 도구를 배포하는 표적 피싱 공격을 발견했습니다. UAC-0255 그룹 소행으로 추정되는 이 공격은 2026년 3월 26일과 27일에 발송된 기만적인 이메일을 통해 이루어졌으며, 수신자들에게 '특수 소프트웨어'를 설치하도록 유도했습니다.

이 이메일에는 Files.fm에 호스팅된 비밀번호로 보호된 ZIP 압축 파일 링크가 포함되어 있었습니다. CERT_UA_protection_tool.zip이라는 이름의 이 압축 파일은 합법적인 보안 유틸리티처럼 위장했지만, 실제로는 악성 페이로드를 담고 있었습니다. 일부 메시지는 'incidents@cert-ua.tech'라는 위조된 이메일 주소에서 발송되어 더욱 그럴듯해 보였습니다.

목표 프로필 및 공격 범위

이번 작전은 국가 기반 시설 및 공공 서비스에 중요한 다양한 조직을 대상으로 광범위하게 진행되었습니다. 대상에는 다음이 포함되었습니다.

• 정부 및 국가 기관
• 의료 및 보건 시설
• 보안 및 방위 관련 회사
• 교육 기관
• 금융기관
• 소프트웨어 개발 회사

광범위한 타겟팅 전략에도 불구하고 캠페인의 전반적인 효과는 제한적인 것으로 나타났습니다. 확인된 감염 사례는 소수에 불과했으며, 주로 교육 기관 소속 직원들의 개인 기기에서 발생한 감염이었습니다.

AGEWHEEZE 내부: 기능 및 지속성 메커니즘

AGEWHEEZE는 광범위한 시스템 제어 및 감시를 위해 설계된 Go 기반 원격 접속 트로이목마입니다. 배포되면 WebSocket 프로토콜을 사용하여 54.36.237.92 주소의 명령 및 제어 서버와 통신을 설정합니다.

이 악성 소프트웨어는 공격자가 다음과 같은 광범위한 악의적인 활동을 수행할 수 있도록 합니다.

• 임의의 명령을 실행하고 시스템 프로세스를 관리합니다.
• 파일 작업을 수행하고 저장된 데이터를 조작합니다.
• 스크린샷 캡처 및 사용자 활동 모니터링
• 마우스 및 키보드 입력 에뮬레이션
• 클립보드 내용 변경
• 예약된 작업, Windows 레지스트리 수정 또는 시작 디렉터리 배치를 통해 지속성을 유지합니다.

이러한 기능들의 조합으로 AGEWHEEZE는 첩보 활동, 수평 이동 및 장기적인 시스템 침투를 위한 다목적 도구가 됩니다.

기만적인 인프라 및 AI 지원 조작

사기성 도메인 'cert-ua.tech'에 대한 조사 결과 자동화 또는 AI 지원 개발의 징후가 드러났습니다. 웹사이트의 HTML 소스 코드에는 러시아어로 된 주목할 만한 주석 'С Любовью, КИБЕР СЕРП'('사랑을 담아, 사이버 서프')가 포함되어 있었는데, 이는 사이버 서프(Cyber Serp)라는 이름의 그룹이 이 도메인을 개발했음을 시사합니다.

사이버 세르프(Cyber Serp)는 2025년 11월에 개설되어 700명 이상의 구독자를 확보한 텔레그램 채널을 통해 우크라이나 사이버 지하 조직과의 연계를 주장했습니다. 이 그룹은 최대 100만 개의 이메일 계정을 대상으로 한 피싱 공격과 20만 대 이상의 기기 해킹 피해를 입혔다고 공개적으로 밝혔는데, 이는 독립적인 평가 결과를 크게 상회하는 수치입니다.

상충되는 주장과 광범위한 위협 활동

사이버 세르프는 일반 시민에게는 영향을 미치지 않을 것이라는 주장을 펼치며 자신들을 선별적인 공격자로 포지셔닝하려 했습니다. 그러나 이러한 주장은 대규모 피싱 캠페인의 무차별적인 특성과 모순됩니다.

별개의 사건에서 해당 그룹은 Cipher 해킹에 대한 책임을 주장하며 서버 데이터, 클라이언트 데이터베이스 및 독점 소스 코드에 접근했다고 주장했습니다. Cipher는 이후 직원 계정 정보와 관련된 제한적인 침해 사실을 확인했지만 다음과 같이 강조했습니다.

• 핵심 인프라는 안전하게 유지되었으며 정상적으로 작동했습니다.
• 해당 계정은 민감하지 않은 프로젝트 하나에만 접근 권한이 있었습니다.

이러한 차이는 위협 행위자들이 영향력과 신뢰도를 높이기 위해 실제 피해를 과장하는 일반적인 전술을 보여줍니다.

평가 및 보안 관련 사항

이번 공격은 특히 신뢰할 수 있는 국가 사이버 보안 기관을 악용하는 경우, 사칭 전술이 여전히 효과적임을 보여줍니다. 즉각적인 영향은 제한적이었지만, AGEWHEEZE의 기술적 정교함과 대규모 배포 시도는 지속적이고 진화하는 위협 환경을 시사합니다.

조직은 이메일 인증 절차를 강화하고, 원치 않는 첨부 파일을 꼼꼼히 검토하며, 권위 있는 기관을 사칭하려는 시도를 식별하는 방법에 대해 직원 교육을 실시하는 것이 좋습니다.