보안 · 2026년 11월 13일
다른 언어로도 게시됨 日本語
러시아 정렬 투르라 해킹 집단이 정부 익스체인지 서버에서 이메일을 훔치기 위해 새로운 시리얼 악성코드를 사용
러시아 정렬 국가 후원 위협 행위자인 투르라(일명 스네이크)가 마이크로소프트 익스체인지 서버에 침입하여 은밀하게 이메일을 수집하기 위해 이전에 문서화되지 않은 사이버 스파이 도구 모음인 시리얼을 사용하고 있다.
슬로바키아 사이버보안 회사 ESET의 보고서에 따르면, 정교하고 모듈식 도구는 장기 정보 수집을 위해 설계되었으며 2025년 말 카자흐스탄과 루마니아의 두 정부 기관을 대상으로 관찰되었다. ESET은 "시리얼 도구 모음은 장기적이고 은밀한 사이버 스파이 활동을 위해 신중하게 구성된 도구"라고 설명했다. "디스크에 거의 흔적을 남기지 않으며, 발견되고 차단될 수 있는 외부 인프라를 피하고, 합법적인 익스체인지 프로세스 내에서 자신을 숨긴다."라고 덧붙였다.
도구 모음은 마이크로소프트 익스체인지 서버에서 실행되고, 명령을 수신하며, 메모리에서 실행하고, 감염된 네트워크를 매핑하고, 관심 있는 이메일을 수집할 수 있는 상호 연결된 구성 요소의 모음이다. 악성코드를 전달하는 데 사용되는 초기 접근 벡터는 알려지지 않았지만, 이 집단은 스피어 피싱, 워터링 홀, 인터넷 서비스 제공자 수준의 중간자 공격을 수행하는 것으로 알려져 있다.
시리얼이라는 이름은 도구들이 직렬화를 광범위하게 사용한다는 사실에서 비롯되었으며, 이는 데이터 구조 또는 객체의 상태를 쉽게 저장, 전송 및 재구성할 수 있는 형식으로 변환하는 프로세스를 의미한다.
악성코드는 이메일 흐름에 대한 가시성을 확보한 후 DOC, DOCX 또는 PDF 첨부 파일이 포함된 메시지를 찾고 발신자 주소, 수신자 주소, 제목 줄 또는 첨부 파일 이름이 포함된 여러 하드코딩된 목록 중 최소 하나와 일치하는지 확인한다. 필터링 기준을 충족하는 이메일은 압축되고 암호화되며 디스크의 파일에 준비된 후 시리얼뉴런 명령을 통해 유출되고 삭제된다.
루마니아 정부 기관을 대상으로 한 공격에서 시리얼박스는 NATO 및 유럽연합 기관 주소와 관련된 이메일을 수집하도록 구성되었으며, 이는 러시아의 전략적 우선순위와 일치하는 패턴이다. ESET 연구원 마티아스 포롤리는 "거의 동일한 바이너리의 엄청난 양은 각각 특정 작업을 위해 컴파일되었으며, 운영자들이 명령의 컴파일 및 패키징을 자동화하는 내부 프레임워크를 가지고 있음을 강력하게 시사한다"고 말했다. "모듈식이고 상호 교환 가능한 구성 요소 주위에 구축된 코드베이스와 결합하면, 느슨한 스크립트 모음이 아닌 성숙하고 잘 설계된 플랫폼이라는 인상을 준다."