카스퍼스키, 세금위반통지 위장 APT 공격 '실버폭스' 탐지

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 글로벌 연구 분석팀(GReAT)이 세금 위반 관련 통지 문서로 위장하여 악성 파일을 활용한 APT 공격인 ‘실버폭스(SilverFox)’를 탐지했다고 밝혔다. 감염이 발생할 경우, 공격자는 감염된 장치에 대한 원격 접근 권한을 확보하고 조직의 민감 데이터를 외부로 유출할 수 있다.

카스퍼스키는 2025년 12월 이후 관찰된 SilverFox 해커 그룹의 새로운 사이버 공격 캠페인을 여러 차례 분석했다. 해당 캠페인은 인도, 인도네시아, 남아프리카공화국, 러시아의 산업, 컨설팅, 무역, 운송 분야 기업을 대상으로 수행됐다. 피싱 이메일은 공식 세무 감사 통지로 위장하거나 ‘세금 위반 목록’이 포함된 압축 파일을 다운로드하도록 유도하는 방식으로 제작됐다. 공격자는 세무 당국의 권위와 긴급성을 악용해 피해자가 파일을 다운로드하고 공격 체인이 실행되도록 유도했다. 1월부터 2월 사이에만 1,600건 이상의 악성 이메일이 탐지됐다.

위협 행위자는 기존 공격에 사용된 ValleyRAT 백도어를 통해 새로운 Python 기반 백도어 ‘ABCDoor’를 배포하며 도구 세트를 확장했다. ABCDoor는 2024년 말부터 APT 공격 도구군에 포함되어 2025년 전반에 걸쳐 사용됐다. 해당 백도어는 파일 업로드 및 다운로드 기능을 제공하며, 다수의 피해자 화면을 거의 실시간으로 스트리밍하고 클립보드에 접근하는 등 감염 시스템을 원격으로 제어할 수 있고, 자체 업데이트 기능도 포함한다. 또한 이전에 공개되지 않았던 수정된 RustSL 변종이 ValleyRAT 전달에 사용됐으며, 이는 2025년 12월 말 처음 도입됐다.

카스퍼스키의 글로벌 연구 분석팀(GReAT)의 안톤 카르긴 선임 보안 연구원은 “이번 캠페인에서 사회공학이 핵심 역할을 수행했다. 공격자는 세무 당국과 같은 공식 기관의 커뮤니케이션에 대한 사용자 신뢰를 악용했다. 동시에 SilverFox는 주요 악성 페이로드 전달을 위해 다단계 전달 방식과 다수의 이메일 주소 및 도메인을 활용했다. 이는 공격 체인 전반에서 탐지 및 차단 가능성을 낮추며 전체적인 위협 수준을 높인다”라고 말했다.

카스퍼스키코리아 이효은 지사장은 “한국은 세계에서 가장 디지털화된 경제 중 하나로, 기업들이 전자정부 및 세무 시스템에 깊이 의존하고 있어 세무 당국을 사칭한 피싱 공격이 특히 효과적으로 작동할 수 있는 환경이다. SilverFox가 인도와 인도네시아에서 활용한 전술은 국내에서도 쉽게 재현될 수 있다. 현재 APT 그룹들은 공격 도구 체인을 빠르게 고도화하며 진입 장벽을 낮추고 있다. 이제 한국 기업들은 단순한 경계 보안에만 의존해서는 안 되며, 임직원 보안 인식 교육과 엔드포인트 탐지 및 대응(EDR) 역량을 동시에 강화해야 이러한 고도화된 사회공학과 기술적 공격 결합에 효과적으로 대응할 수 있다”라고 말했다.

과거에 SilverFox는 아시아 지역의 통신, 에너지, 물류, 금융 산업을 대상으로 공격을 수행한 바 있다.

이번 APT 신규 캠페인과 사용된 도구에 대한 보다 자세한 내용은 Securelist.com에서 전체 보고서를 통해 확인할 수 있다.

카스퍼스키는 안전한 대응을 위해 다음과 같은 권장사항을 제시했다:

• 임직원의 디지털 리터러시 수준을 지속적으로 향상시켜야 한다. 이는 Kaspersky Automated Security Awareness Platform과 같은 전문 교육 프로그램을 통해 달성할 수 있다.

• 의심스러운 이메일을 자동 차단하고, 비밀번호로 보호된 압축 파일을 검사하며, CDR(Content Disarm & Reconstruction) 기술을 적용할 수 있는 솔루션(예: Kaspersky Security for Mail Server)을 도입해야 한다.

• 보안 담당자에게 최신 공격 기법, 전술 및 절차(TTPs)에 대한 정보를 제공할 수 있도록 위협 인텔리전스 서비스(Threat Intelligence Service)를 활용해야 한다.

• 실시간 보호, 위협 가시성, 조사 및 고급 대응 기능을 제공하는 Kaspersky Next 제품군을 활용해 기업 인프라를 다양한 위협으로부터 보호해야 한다.

원문 블로그: https://www.kaspersky.com/about/press-releases/kaspersky-identified-a-new-silverfox-campaign-targeting-indian-and-indonesian-companies