팔로우 
요약
일본 기업들을 목표로 한 일련의 비인가 접근 사건이 관찰되었습니다. 주로 개인정보 유출로 이어지는 이 활동에는 알려진 소프트웨어 취약점 악용, 무단 API 조작, Metabase의 SQL 삽입, WAR 파일을 통한 웹 셸 배포가 포함됩니다. 이러한 사례들은 관리 시스템, BI 도구, 일반에 노출되지 않아야 하는 내부 응용 프로그램을 목표로 하는 것으로 보입니다.
조사
JPCERT/CC는 API 엔드포인트 악용, NoSQL 삽입, 특정 악성 IP 주소 사용 등 다양한 공격 벡터를 식별했습니다. 조사에 따르면 공격자들은 알려진 취약점과 잘못된 구성, 보호되지 않은 구성 또는 백업 파일을 스캔하고 있습니다. 최근 업데이트는 특히 .war 파일에 내장된 웹 셸이 쿼리 매개변수를 통해 셸 명령을 실행하는 사례를 강조합니다.
대책
권장되는 대책으로는 민감한 API 엔드포인트의 속도 제한, 엄격한 접근 제어, 취약한 소프트웨어(예: Metabase)에 대한 보안 패치가 포함됩니다. 조직은 API 토큰에 최소 권한 원칙을 적용하고 특정 지역으로 서비스 가용성을 제한해야 합니다. 관리 및 BI 도구를 공용 인터넷에 노출되지 않도록 강화하는 것이 강력히 권장됩니다.
대응
탐지 후, 조직은 즉시 손상된 API 토큰을 철회하고, 식별된 악성 IP로부터의 접근을 차단하며, 가능한 측면 이동을 찾아야 합니다. 웹 서버 로그를 검토하여 GET/POST 요청의 이상 여부를 확인하고 비인가된 .war 또는 .jsp 파일의 배포 여부를 점검하는 것이 좋습니다. 조직은 또한 영향을 받은 고객에게 잠재적인 2차 피해를 알리는 커뮤니케이션 계획을 준비해야 합니다.
공격 흐름
이 부분은 아직 업데이트 중입니다.
탐지
웹 서버 또는 웹앱 악용 가능성 [Windows] (cmdline 통해)
Microsoft Exchange / Sharepoint 디렉터리에서 웹 셸 생성 가능성 (file_event 통해)
CVE-2026-72898 (Metabase에서의 인증되지 않은 SQL 삽입) 악용 시도 가능성 (웹 서버 통해)
HTTP 클라이언트 라이브러리 사용자 에이전트를 인증 엔드포인트에 (프록시 통해)
IOCs (SourceIP) 탐지: 국내 조직에 대한 최근 비인가 접근 경고
IOCs (DestinationIP) 탐지: 국내 조직에 대한 최근 비인가 접근 경고
의심스러운 API 및 SQL 삽입 IP 활동 [방화벽]
시뮬레이션 실행
-
공격 서사 & 명령어: 적은 조직의 공용 API에 대한 정찰 및 취약점 스캔(T1595.002)을 수행하고 있습니다. 탐지를 피하기 위해, 공격자는 일반적으로 프록시 풀을 사용합니다. 그러나 이 검증용으로, 우리는 특정 위협 정보 블랙리스트에 정의된 특정 IP 중 하나를 사용하여 공격자를 시뮬레이션할 것입니다 (예:
20.210.128.125). 목표는 방화벽에 걸리고 소스 IP를 기준으로 규칙을 활성화하는 인바운드 연결 시도를 시뮬레이션하는 것입니다. -
회귀 테스트 스크립트:
# 이 스크립트는 블랙리스트 IP로부터의 네트워크 연결을 시뮬레이션합니다. # 참고: 실제 시뮬레이션에서는 통제된 외부 소스에 의해 수행되어야 합니다. # 로컬 테스트에서는, 방화벽이 이 트래픽을 보는 것을 흉내내기 위해 # 로그 진입을 로깅 파이프라인에 주입합니다. echo "$(date '+%b %d %H:%M:%S') firewall-01 filter: inbound permit tcp 20.210.128.125 44332 -> 192.168.1.50 443 tcp dport=443 spt=44332 state=NEW" >> /var/log/firewall.log echo "시뮬레이션: 블랙리스트 IP 20.210.128.125에 대한 로그 항목 주입 완료" -
정리 명령어:
# 시뮬레이션된 로그 항목을 제거하여 기준선 복구 sed -i '/20.210.128.125/d' /var/log/firewall.log echo "정리: 시뮬레이션된 로그 항목 제거 완료."
