조용히 머무는 백도어 — Turla의 STOCKSTAY를 방어자의 눈으로 따라가기

이미지 출처: The Hacker News

해킹이라고 하면 보통 요란한 장면을 떠올리기 쉽다. 화면이 잠기고 몸값을 요구하는 랜섬웨어 같은 것 말이다. 그런데 국가 배후 첩보 작전은 정반대다. 들키지 않는 것이 곧 성공이고, 가장 잘 만든 백도어는 몇 달이 지나도 아무도 눈치채지 못한다. 구글 위협 인텔리전스 팀이 공개한 Turla의 신형 백도어 STOCKSTAY는 딱 그 '조용함'을 노린 도구로, 우크라이나를 겨냥한 첩보 공격에서 쓰였음.

핵심 요약

• Turla는 러시아 정부 연계로 알려진 오래된 첩보 그룹이며, STOCKSTAY는 우크라이나 표적을 노린 새 백도어임.
• 이런 백도어는 파괴가 아니라 장기 잠복·정보 탈취가 목적이라, 평소 트래픽과 프로세스 행위를 봐야 흔적이 보임.
• 방어는 단일 시그니처가 아니라 지속성·외부통신·인증 이상을 묶어 보는 위협헌팅으로 접근하는 게 현실적임.

Turla가 어떤 상대인지부터

Turla는 Snake, Venomous Bear, Uroburos 같은 여러 이름으로 불려온 그룹임. 한두 해 등장했다 사라지는 범죄 조직이 아니라, 외교·정부·국방 기관을 수년간 끈질기게 노려온 첩보 행위자로 분류됨. 이들의 특징은 '굳이 새 취약점을 폭발시키지 않는다'는 데 있음. 화려한 제로데이보다, 한번 들어온 뒤 오래 머무르며 천천히 자료를 빼내는 쪽을 선호함. STOCKSTAY도 그 연장선에 있는 도구로 보는 게 자연스러움.

백도어가 하는 일, 개념 수준에서

구체적 페이로드를 늘어놓을 필요는 없고, 백도어가 공통적으로 추구하는 목표만 짚으면 탐지 감각이 잡힘.

• 은밀한 원격 접근: 공격자가 원하는 시점에 명령을 내릴 수 있는 통로를 확보함. 평소엔 잠자코 있다가 가끔만 깨어나는 식이라 트래픽이 드문드문함.
• 지속성 확보: 재부팅돼도 살아남으려 서비스·예약작업·시작 항목 같은 곳에 자리를 잡음.
• 정상 위장: 정상 프로세스나 신뢰받는 통신 채널 뒤에 숨어 보안 도구의 눈을 피하려 함.
• 정보 수집·탈취: 문서·자격증명·키 입력 등을 모아 외부로 조금씩 내보냄.

요점은 이거임. 백도어는 '한 방'이 아니라 '습관'을 남김. 그 습관의 흔적을 읽는 게 방어자의 일임.

그래서 어떻게 탐지하고 막느냐

개인적으로는 시그니처 하나에 기대지 말라고 권하고 싶음. STOCKSTAY든 다른 신종이든, 이름과 해시는 금세 바뀌기 때문임. 대신 행위 기반으로 묶어서 봐야 함.

• 외부 통신 이상: 일정한 주기로 소량만 나가는 비콘(beacon) 패턴, 잘 안 쓰는 포트, 평소 안 보던 도메인으로의 연결을 의심함. EDR과 프록시 로그를 같이 보면 더 잘 보임.
• 지속성 지점 점검: 새로 생긴 서비스, 수상한 예약작업, 시작 레지스트리 변경을 정기적으로 베이스라인과 비교함.
• 정상 프로세스의 비정상 행동: 신뢰받는 실행 파일이 갑자기 네트워크를 열거나 다른 프로세스에 코드를 주입하면 신호로 잡음.
• 인증·접근 로그: 첩보 작전은 결국 계정을 노림. 낯선 시간대 로그인, 비정상 측면 이동(lateral movement)을 인증 로그에서 추적함.
• 기본기: 최소 권한, 다단계 인증, 망 분리, 백업. 화려하지 않지만 잠복형 위협의 활동 반경을 실제로 좁혀줌.

마무리

STOCKSTAY 같은 도구가 무서운 이유는 정교해서가 아니라 '조용해서'임. 파괴를 안 하니까 피해를 체감하기 전까지 모른 채 지나감. 그래서 방어자는 평소의 정상 상태를 잘 알아두는 게 가장 강한 무기라고 본다. 내 환경의 평범한 트래픽과 프로세스 모습을 알고 있어야, 거기서 벗어난 작은 어긋남이 비로소 눈에 들어오는 거죠. 오늘은 우리 조직의 비콘 같은 주기적 외부 통신부터 한번 점검해보면 어떨까요. 같이 흔적 읽는 눈을 길러보아요. 평소에 쓰는 탐지 팁이 있으면 댓글로도 나눠 주세요.