이름은 'Tiny'인데 손은 길다 — 동남아를 훑은 중국어권 APT의 TinyRCT 백도어 해부

이미지 출처: The Hacker News

몇 KB짜리 실행 파일 하나가 외교·통신 기관의 내부망에서 몇 달을 버틴다. 화려한 익스플로잇도, 제로데이도 없었음. 정상 서명된 프로그램 옆에 슬쩍 올려둔 DLL 하나로 시작된 침투였고, 그 안에서 깨어난 것이 이번에 보고된 TinyRCT라는 백도어임. 동남아시아 여러 표적을 상대로 활동한 중국어권 APT가 새 도구로 들고 나온 물건인데, 덩치가 작다는 게 오히려 방어자를 곤란하게 만드는 지점이라 한 번 뜯어보려 함.

핵심 요약

• 중국어권 APT가 동남아 표적을 상대로 경량 백도어 TinyRCT를 배포, 초기 진입은 정상 서명 바이너리를 악용한 DLL 사이드로딩 방식이 핵심임.
• TinyRCT는 기능을 최소화해 탐지면(detection surface)을 줄인 백도어로, 명령 수신·파일 송수신·셸 실행 정도의 '딱 필요한 만큼'만 수행함.
• 방어는 서명 검증만 믿지 말고 로드되는 DLL의 경로·해시와 비정상 부모-자식 프로세스 관계, 주기적 비콘 트래픽을 함께 보는 쪽으로 가야 함.

왜 '작게' 만들었나

이름의 Tiny는 단순한 작명이 아니라 설계 철학에 가까움. 기능을 욱여넣은 풀스택 RAT은 그만큼 시그니처가 풍부해지고, 메모리에 남기는 흔적도 많아짐. 반대로 TinyRCT처럼 명령 채널 유지와 2차 페이로드 다운로드에만 집중한 백도어는 탐지 엔진이 잡을 '특징'이 적음. 공격자는 무거운 일은 나중에 내려보내는 후속 모듈에 맡기고, 첫 발판에는 조용하고 가벼운 거치대만 심어두는 거임. 방어자 입장에선 '뭔가 대단한 악성코드'를 기대하다가 정작 평범해 보이는 작은 프로세스를 놓치기 쉬운 구조라 더 신경 써야 함.

진입 경로 — 서명을 믿은 죄

보고된 초기 침투의 뼈대는 DLL 사이드로딩임. 개념만 짚으면 이러함.

• 공격자가 정상적이고 디지털 서명까지 된 실행 파일을 가져옴(흔히 잘 알려진 벤더의 유틸리티).
• 그 실행 파일이 로드하는 DLL 이름과 같은 악성 DLL을 같은 폴더에 끼워 넣음.
• 사용자가 정상 EXE를 실행하면 OS가 탐색 순서에 따라 옆에 있는 가짜 DLL을 먼저 물어, 결국 신뢰받는 프로세스 안에서 악성 코드가 실행됨.

여기서 함정은 '서명 검증 통과'임. EXE는 멀쩡히 서명돼 있으니 화이트리스트나 단순 평판 기반 통제는 그대로 통과시켜 버림. 그래서 서명 여부가 아니라 그 프로세스가 어떤 경로에서 어떤 DLL을 로드했는가를 봐야 함. 정상 유틸리티가 사용자 임시폴더나 다운로드 폴더에서 실행되며 낯선 DLL을 올린다면 그 자체가 신호임.

방어자의 체크리스트

개인적으로는 '시그니처로 TinyRCT를 잡겠다'보다 '행위로 좁히겠다'는 접근을 추천함. 작은 백도어일수록 정적 탐지보다 행위·맥락 탐지가 잘 먹힘.

• DLL 사이드로딩 헌팅: 서명된 정상 바이너리가 비표준 경로(임시·다운로드·사용자 작성 폴더)에서 실행되는 사례를 추려, 그때 로드된 모듈의 해시를 기준선과 대조함.
• 프로세스 계보: 문서 뷰어·아카이브 도구·메일 클라이언트가 갑자기 셸이나 스크립트 해석기를 자식으로 띄우는 관계를 경보로 둠. TinyRCT 류는 결국 명령 실행을 위해 어딘가에서 셸을 호출하게 됨.
• 비콘 트래픽: 경량 백도어는 C2와 주기적으로 가볍게 핑을 주고받음. 일정한 간격, 작고 규칙적인 패킷, 평소 통신하지 않던 외부 목적지로의 반복 연결을 네트워크 단에서 잡아냄.
• 지속성 지점 점검: 자동 실행 레지스트리, 예약 작업, 서비스 등록 등 흔한 거점을 정기적으로 베이스라인과 비교함. 작은 백도어일수록 살아남기 위해 평범한 지속성 기법에 의존함.
• 최소권한·세분화: 동남아 캠페인처럼 측면 이동이 목적인 공격엔 망 분리와 관리자 권한 최소화가 가장 둔하지만 확실한 둑임.

마무리

이번 사례가 주는 교훈은 단순함. '작고 평범한 것'을 우습게 보지 말자는 거임. 정교한 익스플로잇 대신 서명에 대한 우리의 신뢰와 탐지면을 줄이는 영리함만으로도 몇 달을 버틴 침투였음. 오늘 당장 우리 환경에서 '정상 서명 EXE가 이상한 폴더에서 낯선 DLL을 부르는 일'이 보이는지 한 줄짜리 헌팅 쿼리부터 돌려보길 권함. 혹시 비슷한 사이드로딩 사례를 잡아본 경험이 있다면 어떤 지표로 걸러냈는지 댓글로 공유해 주면 좋겠음. 같이 좁혀가 보아요.