핵심 요약
- 러시아 국가 지원 해킹 그룹 Laundry Bear(일부 보고서에서 Void Blizzard로도 알려짐)가 Microsoft Exchange Outlook Web Access(OWA)의 제로데이 취약점을 공격에 활용한 것으로 확인됨
- 해당 취약점은 백도어 OWAReaper를 조직 내부 메일 서버에 배포하는 초기 침투 경로로 사용된 것으로 보고되며, 일단 설치되면 공격자는 장기 메일함 접근 권한을 확보할 수 있음
- 메일함에 보관된 민감한 정보의 지속적 유출과 조직 내부 통신의 장기 감시 가능성이 제기되어 즉시 패치 적용과 침해 지표 점검이 권고됨
Exchange OWA 환경에서 제로데이 기반의 장기 메일함 접근 위협은 단발성 침해가 아닌 지속형 감시 형태로 운영될 수 있다는 점에서 패치와 모니터링의 병행 적용이 권고됩니다.
2026년 7월 기준 보안 미디어 Bleeping Computer는 러시아 국가 지원 해킹 그룹이 Microsoft Exchange의 Outlook Web Access(OWA)ess(OWA) 환경에서 확인된 제로데이 취약점을 악용해 백도어를 배포한 사례를 공개했습니다. 해당 공격은 조직의 메일함에 대한 장기 접근을 목적으로 설계되어, 단순 정보 유출을 넘어 지속적 감시 위협으로 분류됩니다. 본문에서는 공격 그룹의 정체, OWAReaper 백도어의 기술적 특징, 영향 범위, 그리고 조직이 즉시 적용해야 할 대응 절차를 정리합니다.
공격 개요: Laundry Bear의 OWA 제로데이 공격
공격 그룹 명칭과 알려진 별칭
이번 공격의 주체로 지목된 그룹은 Laundry Bear이며, 외부 보안 커뮤니티에서는 Void Blizzard라는 별칭으로도 추적되고 있습니다. 두 명칭 모두 동일한 캠페인에서 사용된 동일한 인프라와 코드 특징을 기반으로 연결된 것으로 분석되며, 러시아 국가 지원을 배경으로 하는 APT(Advanced Persistent Threat) 그룹으로 분류됩니다.
취약점 악용 시점과 침해 타임라인
Bleeping Computer 보도에 따르면 해당 취약점은 패치가 배포되기 전에 이미 실제 공격에 활용된 제로데이로 분류됩니다. 공격 시점과 침해 노출 시점 사이에는 일정 시차가 존재하며, 이 기간 동안 OWAReaper 백도어는 정상 트래픽으로 위장한 명령 제어 통신을 수행한 것으로 파악됩니다.
이메일 캠페인을 통한 초기 침투 경로
초기 침투는 조직 내 사용자를 대상으로 한 이메일 캠페인을 통해 이루어진 것으로 확인됩니다. 공격자는 사회공학적 기법을 결합한 메시지를 통해 OWA 환경의 취약한 컴포넌트로 연결을 유도하고, 이 과정에서 인증 우회 또는 코드 실행이 가능한 취약점을 트리거합니다. 침투 후 백도어 설치까지의 단계는 자동화되어 있어 단시간에 다수 시스템이 영향받을 수 있는 것으로 분석됩니다.
OWAReaper 백도어 기술 분석
설치 경로와 지속성 확보 방식
OWAReaper는 Exchange OWA의 정상 모듈 경로 내부 또는 인접한 디렉터리에 은닉되어 배포되며, IIS 워커 프로세스의 컨텍스트에서 동작합니다. 이러한 설치 방식은 일반적인 파일 무결성 점검에서 탐지를 회피할 가능성을 높이며, 서비스 재시작 이후에도 동작이 유지되도록 설계된 것으로 보입니다.
명령 제어 통신과 데이터 유출 메커니즘
백도어는 HTTPS 기반의 암호화된 채널을 통해 명령 제어 서버와 주기적으로 통신하며, 메일함 접근에 필요한 토큰과 자격증명을 외부로 송신합니다. 유출 데이터에는 메일 본문, 첨부 파일 메타데이터, 그리고 사용자별 사서함 권한 정보가 포함될 수 있는 것으로 평가됩니다.
장기 메일함 접근을 가능하게 하는 설계
OWAReaper의 가장 큰 특징은 일회성 침해가 아닌 지속적 접근을 전제로 설계되었다는 점입니다. 정기적인 토큰 재발급 메커니즘과 은닉된 백업 통신 경로를 통해 관리자가 비밀번호를 변경하거나 세션을 종료하더라도 공격자가 동일한 메일함에 재접근할 수 있는 구조를 갖춥니다.
영향 평가와 노출 위험
주요 대상 조직 유형과 잠재 피해 규모
이번 공격은 Exchange OWA를 외부에서 직접 사용할 수 있는 모든 조직을 잠재적 대상으로 합니다. 특히 정부 기관, 국방 관련 기업, 대외 협상이 활발한 금융 기관, 그리고 지적재산과 관련된 연구 기관의 메일함은 정보 가치 측면에서 우선적 표적이 될 가능성이 높습니다.
정부 및 기업의 메일 데이터 유출 시나리오
장기간 메일함이 노출될 경우 기밀 정책 문서, 계약 협상 내용, 인사 정보, 그리고 내부 의사결정 기록이 외부로 유출될 위험이 존재합니다. 이러한 정보는 후속 공격의 정찰 자료로 재활용되거나 국제 관계 및 기업 경쟁력에 직접적인 영향을 줄 수 있습니다.
대응 권고사항
Microsoft Exchange 패치 우선 적용 전략
조직은 Microsoft에서 공개한 최신 보안 업데이트를 가용 즉시 적용해야 하며, 변경 관리 정책상 즉시 패치가 어려운 경우에도 OWA에 대한 외부 접근을 임시 제한하는 등의 완화 조치를 병행해야 합니다. 누적 업데이트 기준선이 낮을수록 노출 기간이 길어지므로, 보안 패치 적용 우선순위를 재조정할 필요가 있습니다.
메일 서버 로그 모니터링과 침해 지표 점검
Exchange 서버의 IIS 로그, EWS 로그, 그리고 보안 이벤트 로그에서 비정상적인 OWA 접근 패턴을 점검해야 합니다. 특히 평소와 다른 사용자 에이전트, 비업무 시간대의 대량 사서함 접근, 그리고 외부 IP에서의 인증 성공 이벤트는 침해 지표로 활용할 수 있습니다.
장기 접근 탐지를 위한 인증 이상행위 분석
단순 패치 적용만으로는 이미 설치된 백도어를 제거하기 어렵기 때문에, 인증 이상행위 분석을 통한 지속적 모니터링이 필요합니다. MFA 강제 적용, 조건부 액세스 정책의 강화, 그리고 비정상 사서함 접근에 대한 자동 차단 규칙 구성이 장기 접근 위협에 대한 핵심 통제 수단으로 평가됩니다.
핵심 정리
- Laundry Bear(Void Blizzard)는 OWA 제로데이를 통해 OWAReaper 백도어를 설치하고 장기 메일함 접근 권한을 확보함
- 백도어는 정상 모듈 경로 인근에 은닉되어 파일 무결성 점검을 우회하고 지속적 명령 제어 통신을 수행함
- 영향 범위는 OWA를 외부 노출하는 모든 조직이며, 정부 및 핵심 산업 분야가 우선 표적이 됨
- 대응은 최신 패치 적용, 로그 기반 침해 지표 점검, 인증 이상행위 모니터링의 3축으로 구성되어야 함
참고 출처: Bleeping Computer – Russian hackers exploit Exchange OWA zero-day for long-term mailbox access, Microsoft Exchange Server 보안 가이드