SesameOp 백도어 탐지: 마이크로소프트가 사이버 공격에서 OpenAI 비서 API를 악용한 새로운 멀웨어 발견
목차:
AI 기반 사이버 공격은 기업의 위협 환경을 급격히 변화시키며 새로운 수준의 정교함과 위험을 도입하고 있습니다. 사이버 범죄자들은 점점 더 인공지능을 이용하여 금전적인 동기로 공격을 수행하고 있으며, 다음과 같은 사이버 위협을 예로 들 수 있습니다. FunLocker 랜섬웨어 및 Koske 멀웨어가 최근 사례입니다.
최근 Microsoft의 탐지 및 대응 팀(DART)은 OpenAI 어시스턴트 API를 명령 및 제어(C2) 통신 채널로서 완전히 새로운 방식으로 활용한 고도로 발전된 백도어를 발견했습니다. 이 방법은 전통적인 보안 방어를 피하면서 공격자들이 감염된 시스템 내에서 부당한 운영을 관리하고 조정할 수 있게 합니다. 이 발견은 AI가 사이버 범죄에서 어떻게 사용되고 있는지를 강조하며, 기업들이 경계를 유지하고 보안 전략을 적응시킬 필요가 있음을 나타냅니다.
세서미Op 백도어 공격 탐지
조직들은 공격자들이 중요한 비즈니스 시스템을 대상으로 인공지능을 점점 더 많이 활용함에 따라 새로운 사이버 위험 시대에 들어서고 있습니다. 생성적 AI 는 새로운 취약점을 생성할 뿐만 아니라 더욱 정교하고 적응력이 뛰어난 공격 방법도 가능하게 하고 있습니다. Splunk 2025 보안 상태 보고서는 보안 리더들이 공격자들이 생성적 AI를 사용하여 공격의 효과를 높이기(32%), 빈도를 증가시키기(28%), 완전히 새로운 공격 기술을 발명하기(23%), 상세한 정찰을 수행하기(17%)를 예상한다고 밝혔습니다. 이러한 동향은 AI 기반 위협에 대한 보다 지능적이고 사전 방어적인 방어를 채택하고 사이버 보안 전략을 재고할 필요성을 시사합니다.
SOC Prime 플랫폼에 등록 하여 AI의 방어 능력으로부터 이점을 얻고 개발 초기 단계에서 세서미Op 백도어 공격을 탐지하십시오. 플랫폼은 실시간 사이버 방어를 위한 완전한 제품군을 지원하는 적시의 위협 정보와 실행 가능한 탐지 콘텐츠를 제공합니다. 클릭 탐지 탐색 아래에 있는 세서미Op 멀웨어 활동을 구체적으로 다루는 탐지 규칙에 액세스하거나 위협 탐지 마켓플레이스 내에서 ‘SesameOp’ 태그를 사용하세요.
모든 탐지는 여러 SIEM, EDR, 데이터 레이크 솔루션과 호환되며 MITRE ATT&CK® 프레임워크에 맵핑됩니다. 또한 각 규칙은 위협 인텔 참조, 공격 타임라인, 분류 추천 등을 포함한 자세한 메타데이터를 포함하고 있습니다.
보안 엔지니어는 Uncoder AI를 탐지 엔지니어링을 위한 IDE 및 코파일럿으로 활용할 수 있습니다. Uncoder를 통해 방어자는 IOC를 커스텀 탐색 쿼리로 즉시 변환하고, 원시 위협 보고서에서 탐지 코드를 작성하며, 공격 흐름 다이어그램을 생성하고, ATT&CK 태그 예측을 활성화하며, AI 기반 쿼리 최적화를 활용하고, 여러 플랫폼에 탐지 콘텐츠를 번역할 수 있습니다. 예를 들어 보안 전문가는 Microsoft의 DART 연구 세부 정보를 기반으로 간단한 클릭을 통해 공격 흐름 다이어그램을 생성할 수 있습니다.
세서미Op 멀웨어 공격 분석
Microsoft 연구원들은 최근 OpenAI 어시스턴트 API를 C2 작업에 혁신적으로 사용하는 것으로 구별되는 세서미Op라는 새로운 백도어를 식별했습니다. 전통적인 방법과는 달리, 적들은 OpenAI API를 은밀한 통신 채널로 활용하여 손상된 환경 내에서 명령을 발급하고 관리했습니다. 악성코드의 한 구성 요소는 API를 중계 메커니즘으로 사용하여 지침을 검색하고 감염된 시스템에서 실행했습니다. C2 작업을 위해 백도어가 사용하는 OpenAI 어시스턴트 API는 개발자가 AI 기반 에이전트를 애플리케이션 및 워크플로에 임베드할 수 있도록 합니다.
2025년 7월 Microsoft의 장기 침입 조사 중 발견된 세서미Op는 공격자들이 몇 달 동안 지속된 네트워크 내에서 식별되었습니다. 분석 결과는 Microsoft Visual Studio 유틸리티에 내장된 지속적인 악성 프로세스와 연결된 내부 웹 쉘의 복잡한 구조를 드러냈습니다. .NET AppDomainManager 주입, 이는 방어 회피 전술로 알려져 있습니다.
유사하게 변경된 Visual Studio 유틸리티를 추가 사냥하여 내부 웹 쉘 네트워크와의 통신을 지원하기 위해 설계된 추가 구성 요소를 발견했습니다. 이러한 구성 요소 중 하나는 새로운 세서미Op 멀웨어로 식별되었습니다. 세서미Op는 장기 지속성을 위해 구축된 맞춤형 백도어로, 공격자가 손상된 시스템을 은밀하게 제어할 수 있도록 하여, 작전의 주요 목적이 장기적인 간첩 활동임을 시사합니다.
감염 체인은 로더(Netapi64.dll)와 .NET 백도어(OpenAIAgent.Netapi64)를 포함하며, C2 채널로 OpenAI 어시스턴트 API를 사용합니다. 이 DLL은 Eazfuscator.NET으로 강력히 난독화되어 스텔스, 지속성, 암호화 통신을 지원합니다. 런타임 시, Netapi64.dll 은(는) .NET AppDomainManager 주입, 특정하게 작성된 .config 파일이 호스트 실행 파일과 함께 번들로 묶여 있어 이를 통해 호스트 프로세스에 주입됩니다.
OpenAIAgent.Netapi64 백도어의 기본 기능을 포함하고 있으며, 이름과는 달리 OpenAI SDK를 사용하거나 로컬에서 모델을 실행하지 않고 OpenAI 어시스턴트 API를 이용해 압축된 암호화된 명령을 검색하고 이를 복호화 및 실행하며 API 메시지로 결과를 반환합니다. 압축과 암호화는 들어오는 페이로드와 나가는 응답을 감시망에 걸리지 않도록 하기 위해 사용됩니다.
악성 메시지는 세 가지 설명 유형을 사용합니다: SLEEP (쓰레드 일시 정지), Payload (메시지에서 지침을 추출하여 별도의 쓰레드에서 실행), 그리고 Result (수행 결과를 ‘Result’ 설명과 함께 OpenAI에 반환). 공격 캠페인과 연관된 적들의 신원은 여전히 알려져 있지 않지만, 이 사례는 합법적인 서비스를 악용하여 악성 활동을 숨기는 지속적인 남용을 강조합니다. 인식을 높이기 위해 Microsoft는 해당 내용을 OpenAI와 공유했으며, OpenAI는 의심되는 API 키와 계정을 비활성화했습니다. OpenAI는 2026년 8월 이 API를 폐지하고 새로운 Responses API로 대체할 예정입니다.
세서미Op 백도어 공격을 미리 방지하기 위한 잠재적인 완화 단계로서, 공급자는 방화벽 및 웹 서버 로그를 정기적으로 감사하고 모든 인터넷 노출 시스템을 보안하며, C2 통신을 차단하기 위해 엔드포인트 및 네트워크 보호 기능을 사용할 것을 권장합니다. Microsoft Defender에서 변조 방지 및 실시간 보호 기능을 활성화하고, 엔드포인트 탐지를 차단 모드로 실행하며, 잠재적인 위협을 빠르게 해결하기 위해 자동 조사 및 문제 해결을 구성하는 것이 중요합니다. 또한, 팀은 클라우드 기반 보호 및 잠재적 원치 않는 응용 프로그램 차단을 활성화하여 진화하는 공격이 가하는 위험을 줄여야 합니다. 혁신적인 방법과 AI 기술을 이용한 사이버 공격의 증가는 수비자들이 적의 앞서기 위해 경계를 유지해야 하는 필요성을 요구합니다.
OpenAI API를 C2 채널로 독특하게 이용하여 은밀하게 악성 활동을 조율하는 백도어 세서미Op의 출현은 위협 행위자들이 점점 더 정교한 전술을 사용하고 있는 경향을 반영합니다. 이를 통해 AI-네이티브 탐지 인텔리전스 플랫폼 을 SOC 팀에 제공함으로써, 실시간으로 사이버 위협을 더 빠르고 효과적으로 예측, 탐지, 검증, 대응할 수 있는 글로벌 조직들이 탄력적인 사이버 보안 생태계를 구축하고 가장 중요한 공격을 사전에 차단할 수 있습니다.
