- 국내 정상 웹사이트들이 해킹되어 방문자 PC에 사전 설치된 AnySign4PC를 악용하는 드라이브 바이 익스플로잇 배수로 전환됨
- SIGNBANK 백도어가 사용자 확인 절차 없이 설치되어 감염 시스템에 대한 지속적 원격 접근 권한이 확보됨
- 한국 정부 기관과 복수의 국내 보안업체가 공동으로 디스클로저에 참여함
이번 사건은 보안제품을 신뢰하는 행위 자체가 새로운 공격 표면이 될 수 있음을 보여주는 사례로, 공급망 보안과 브라우저 단 차단 전략의 보완이 필요한 시점이다.
2026년 7월 30일자로 The Hacker News가 보도한 내용에 따르면, 한국에서 신뢰받는 정상 웹사이트들이 해킹되어 사전 설치된 금융 보안 소프트웨어 AnySign4PC를 무경고로 악용하는 드라이브 바이 익스플로잇 공격의 거점으로 활용되었다. 공격자는 SIGNBANK이라는 백도어 계열 악성코드를 감염 시스템에 설치해 지속적 원격 접근 권한을 확보했으며, 한국 정부 기관과 4개 보안업체가 합동으로 디스클로저를 진행하며 사건을 명시적인 국가 지원(state-sponsored) 캠페인으로 규정했다(The Hacker News 원문, SANS ISC Stormcast 7월 30일자 팟캐스트).
공격 개요 – 해킹된 한국 웹사이트와 AnySign4PC의 악용
이번 사건의 핵심은 사용자가 이미 신뢰하고 설치한 구성요소 두 가지가 동시에 공격의 매개로 활용되었다는 점이다. 첫 번째는 한국에서 정상적으로 운영 중인 웹사이트들이었고, 두 번째는 해당 PC에 미리 설치되어 있던 AnySign4PC 금융 보안 소프트웨어였다. 공격자는 이 둘의 신뢰 사슬을 역이용해 별도의 사용자 승인 없이 백도어를 심는 데 성공했다.
침투 경로와 드라이브 바이 익스플로잇의 작동 흐름
공개된 내용을 기준으로 정리한 침투 흐름은 다음 표와 같다.
| 단계 | 행위 주체 | 주요 동작 |
|---|---|---|
| 1 | 공격자 | 정상 한국 웹사이트를 사전 해킹하여 악성 스크립트 삽입 |
| 2 | 일반 사용자 | 평소처럼 해당 웹사이트를 방문 |
| 3 | 악성 스크립트 | 방문자 PC에 설치된 AnySign4PC의 정상 호출 경로를 탐지 및 악용 |
| 4 | AnySign4PC | 악의적 명령을 사용자 모르게 실행하는 데 활용 |
| 5 | SIGNBANK | 제로프롬프트로 백도어 설치 후 C2(명령 및 제어 서버)와 통신 채널 수립 |
이 일련의 과정은 사용자의 클릭 한 번과 별도의 추가 동작 없이 완료되는 것이 특징으로, 일반적인 피싱이나 악성 파일 다운로드와는 다른 차원의 위협이라 할 수 있다.
AnySign4PC의 제로프롬프트 침투 메커니즘과 신뢰 역이용 구조
AnySign4PC는 사용자의 금융 거래 환경을 보호하기 위해 PC 상에 항상 상주하는 구조를 갖는 것이 일반적이다. 그러나 이러한 정상 기능이 오히려 공격자에게는 신뢰 가능한 실행 경로로 활용될 수 있다는 점이 이번 사건의 핵심적인 교훈이다. 사용자가 추가 창을 띄우거나 승인 버튼을 누르지 않아도 백도어 설치가 이루어졌다는 점에서, 제로프롬프트 침투 메커니즘은 통상적인 보안 가이드의 사용자 주의 의존 모델이 무력화될 수 있음을 시사한다.
최종 페이로드 SIGNBANK 백도어의 동작 방식
1차 침투가 성공하면 공격자는 AnySign4PC의 정상 호출 경로를 통해 SIGNBANK 백도어를 사용자 모르게 설치한다. 공개된 제로데이 또는 알려지지 않은 취약점을 악용했다는 점, 그리고 사용자 확인 절차 없이 설치가 이루어졌다는 점은 모두 원문에서 사실로 확인된 내용이다.
지속성 확보 및 C2 통신을 통한 원격 접근 기능
SIGNBANK은 설치 이후 감염 시스템에서 지속성을 확보하기 위한 메커니즘을 갖추고 있는 것으로 분석된다. 공격자는 이를 통해 감염 PC에 대해 언제든지 원격으로 명령을 내리고 추가 모듈을 내려받아 실행할 수 있는 환경을 구축하게 된다. 즉, 초기 감염이 단순한 일회성 침해가 아니라 상시적 원격 접근 통로 확보를 목적으로 설계된 캠페인의 일부임을 알 수 있다.
데이터 유출과 추가 모듈 로딩으로 이어지는 위협 확장
감염 시스템이 C2와 통신 가능한 상태가 되면 이후 단계는 정찰, 자격 정보 수집, 그리고 추가 페이로드 로딩으로 확장될 가능성이 높다. 다만 이러한 가능성은 공개된 자료를 기반으로 한 추론이며, 원문에서 실제 유출 데이터의 규모나 모듈 목록이 공개된 것은 아니라는 점은 명시할 필요가 있다.
공격자 프로파일과 한국 내 피해 확산 가능성
이번 디스클로저가 갖는 가장 중요한 의미 중 하나는 한국 정부 기관과 4개 보안업체가 합동으로 분석 결과를 공개했다는 사실이다. 이는 단순한 일반 범죄 그룹의 캠페인과는 다른 차원의 분석 노력이 동원되었음을 시사한다.
한국 정부 기관과 4개 보안업체의 공동 디스클로저가 갖는 의미
다수 국내 기관이 동시에 디스클로저에 참여했다는 사실 자체가 사건의 파급력과 위험 등급을 보여주는 간접 지표로 해석된다. 다만 원문에서 특정 국가 또는 공격자 그룹명이 명시적으로 공개된 것은 아니므로, 귀속에 대해서는 추가 정보가 공개되기 전까지는 단정적인 표현을 자제하는 것이 안전하다. 그러나 다수의 국내 보안업체가 동시에 사후 분석에 동원되었다는 점은 복수의 표적이 존재했을 가능성을 시사한다.
금융 사용자 및 일반 기업 임직원이 노출되는 구체적 시나리오
AnySign4PC가 금융 거래 보안용으로 사용되는 소프트웨어라는 점에서, 주된 피해 대상은 금융 거래를 위해 해당 소프트웨어를 설치한 개인과 기업 임직원으로 추정된다. 일반 기업의 임직원도 재택 환경 또는 모바일 업무 환경에서 금융 채널을 이용하면서 AnySign4PC가 설치된 PC를 사용할 경우 동일 위협에 노출될 수 있다. 이는 특정 산업군에 한정된 위협이 아니라 광범위한 업무 환경으로 확산될 수 있는 위협 모델임을 의미한다.
시사점 – 보안제품 신뢰 사슬의 역설
이번 사건은 보안을 위해 설치한 소프트웨어가 오히려 공격의 통로가 되는 모순적 상황을 현실화했다는 점에서 보안 업계 전반에 중요한 시사점을 던진다.
국내 보안 소프트웨어가 공격 표면이 되는 구조적 문제
국내 금융 환경에 특화된 보안 소프트웨어는 국내 사용자 환경에 깊이 통합되어 있어 공격자에게는 매우 가치 있는 초기 침투 매개물이 된다. 정상 동작을 신뢰하는 사용자, 그리고 이를 과도하게 허용하는 보안정책 자체가 공격자에게 유리한 환경을 만들 수 있다는 점에서, 보안 제품에 대한 화이트리스트 기반 무조건 허용 정책의 위험성이 다시 한번 부각된다.
공급망 보안과 브라우저 단 차단 전략의 필요성
단순히 악성 URL을 차단하는 차원을 넘어, 정상적으로 보이는 웹사이트의 비정상 스크립트 호출과 보안 소프트웨어의 비정상 프로세스 행위를 모두 탐지할 수 있는 다층 방어 전략이 요구된다. 특히 브라우저 단에서의 행위 기반 차단과 EDR(엔드포인트 탐지 및 대응) 단에서의 행위 모니터링을 결합한 접근이 효과적일 것으로 분석된다.
실전 대응 체크리스트
원문과 후속 보고서에서 직접 확인 가능한 사실에 기반해, 기업과 개인이 즉시 점검할 수 있는 항목을 정리한다.
기업 IT 보안팀이 즉시 수행해야 할 조치
- 사내 및 재택 PC에서 AnySign4PC 설치 현황과 최신 패치 적용 여부를 즉시 점검
- 정상 웹사이트라 하더라도 클라이언트 단에서 비정상 스크립트 호출을 탐지할 수 있는 웹 프록시 정책 강화
- EDR 정책에서 보안 소프트웨어의 비정상 자식 프로세스 생성 행위를 차단하도록 룰 업데이트
- 국내 CERT 및 보안업체가 추후 공개할 IOC(침해 지표)와 탐지 시그니처를 우선순위로 적용
- 금융 채널 접근 PC와 일반 업무 PC의 망 분리를 강화하고, 접근 권한을 재검토
개별 사용자가 즉시 확인하고 적용할 행동 수칙
- 금융 거래 PC의 운영체제와 브라우저, AnySign4PC를 포함한 모든 금융 보안 소프트웨어를 최신 버전으로 즉시 업데이트
- 금융 거래 PC에서 불필요한 Active X 또는 레거시 플러그인 활성화 여부 점검 및 비활성화
- 금융 거래 시 평소와 다른 추가 창, 알림 없는 인증 요청 등 비정상 징후 발생 시 거래 즉시 중단 및 해당 기관 신고
- 출처가 불분명한 메일 첨부파일, 압축파일 실행 자제
주요 IOC 및 탐지 포인트 정리
원문에서 공개된 IOC 해시 값이나 C2 도메인 목록은 확인되지 않으며, 향후 한국 정부 기관 및 보안업체의 추가 디스클로저를 통해 구체적인 IOC가 공개될 것으로 보인다. 현 시점에서 탐지 측면에서 우선 점검할 포인트는 다음 표와 같다.
| 탐지 범주 | 주요 점검 포인트 |
|---|---|
| 프로세스 행위 | AnySign4PC에서 발생하는 비정상 자식 프로세스 및 외부 통신 시도 |
| 네트워크 | 금융 거래 PC에서 평소와 다른 국가 또는 비정상 ASN으로의 아웃바운드 트래픽 발생 여부 |
| 웹 | 정상 도메인 페이지에서 비정상 스크립트 로딩 및 iframe 삽입 흔적 |
| 계정 | 금융 및 사내 계정의 평소와 다른 시간대 또는 지역에서의 로그인 발생 여부 |
핵심 정리
- 이번 사건은 정상 웹사이트와 신뢰받는 보안 소프트웨어라는 두 가지 신뢰 사슬을 동시에 무너뜨린 국가 지원형 공급망 공격의 새로운 전형으로 분석된다
- SIGNBANK 백도어의 제로프롬프트 설치 특성은 사용자 주의 의존 보안 모델의 한계를 다시 드러냈다
- 기업과 개인 모두 보안 소프트웨어에 대한 무조건 화이트리스트 정책의 위험성을 인식하고, 행위 기반 다층 방어와 금융 PC의 망 분리, 즉시 패치 적용을 우선 과제로 삼아야 한다
- 향후 한국 기관 및 보안업체가 공개할 구체적 IOC와 탐지 시그니처를 지속적으로 모니터링하고, 사내 보안 정책에 즉시 반영해야 한다