수상한 외부 접속은 없었다 — DragonForce가 화상회의 트래픽 속에 C2를 숨긴 수법

이미지 출처: The Hacker News

침해 사고를 분석하다 보면 방화벽 로그에서 가장 먼저 찾는 게 "이상한 곳으로 나가는 통신"이다. 처음 본 도메인, 평판 나쁜 IP, 새벽에 갑자기 깨어나는 비콘. 그런데 DragonForce가 쓴 이번 수법은 그 직관을 정면으로 비껴간다. 나가는 트래픽의 목적지가 다름 아닌 마이크로소프트 Teams의 정상 중계 서버였기 때문이다. 회사 전원이 매일 쓰는 화상회의 통신과 공격자의 명령제어(C2) 통신이 같은 길 위에서 섞여 흐르고 있었던 셈이다.

핵심 요약

• DragonForce가 Teams의 TURN 중계 인프라를 빌려 C2 트래픽을 정상 화상회의 통신으로 위장함
• 목적지가 합법적인 마이크로소프트 IP라 평판·도메인 차단으로는 거의 걸러지지 않음
• 탐지의 핵심은 "Teams 통화가 없는데 TURN 할당이 발생하는가" 같은 행위 기반 상관분석임

TURN이 뭐길래 숨기에 좋았나

Teams 같은 실시간 통신 앱은 상대와 직접 연결(P2P)이 안 되는 NAT·방화벽 환경에서 음성·영상을 주고받기 위해 중계 서버를 거친다. 이 중계 표준이 TURN(Traversal Using Relays around NAT)이고, 그 앞단의 주소 탐색을 STUN이 맡는다. 핵심은 이거다.

• TURN 서버는 클라이언트가 보낸 데이터를 그대로 상대에게 전달해주는 "합법적인 우체통" 역할을 함
• 목적지가 마이크로소프트 소유의 정상 인프라라, 단순 IP·도메인 평판 차단으로는 끊어낼 수 없음. Teams를 막을 수는 없으니까
• UDP 3478, TCP 443 등 화상회의가 흔히 쓰는 포트를 그대로 쓰기 때문에 포트만 봐서는 회의인지 백도어인지 구분이 안 됨

이번에 확인된 백도어가 "Backdoor.Turn"이라는 이름을 얻은 것도 바로 이 중계 프로토콜을 통째로 자기 통신 채널로 빌려 썼기 때문이다. 비유하자면, 모두가 드나드는 회사 우편실에 자기 편지를 슬쩍 끼워 넣고 평범한 우편물인 척하는 거다.

그래서 방어자는 무엇을 봐야 하나

목적지 기반 차단이 무력화됐다면, 시선을 "누가·언제·어떻게"로 옮겨야 한다. 합법 인프라를 악용하는 공격은 결국 맥락의 불일치에서 꼬리가 잡힌다.

• 프로세스-네트워크 상관: 정상이라면 Teams 클라이언트가 TURN 할당을 요청함. EDR에서 Teams가 아닌 낯선 바이너리나 스크립트 호스트가 STUN/TURN을 발생시키면 그 자체가 강한 신호임
• 통화 없는 중계 세션: 캘린더상 회의도, 통화 기록도 없는데 특정 단말이 꾸준히 중계 세션을 유지하면 의심해야 함. 사람의 회의는 끝나지만 비콘은 끝나지 않음
• 볼륨·시간 패턴: 실제 영상통화는 트래픽이 크고 불규칙함. C2 비콘은 작고 규칙적인 경향이 있어, 같은 TURN 목적지라도 흐름의 모양이 다름
• 비정상 단말: Teams를 쓸 이유가 없는 서버나 서비스 계정에서 TURN 통신이 나간다면 우선순위로 들여다볼 것

막아두면 좋은 것들

탐지만큼이나 중요한 건 애초에 백도어가 발 붙일 틈을 줄이는 일이다. 이 수법은 결국 "이미 들어온 뒤"의 은신술이라, 초기 침투 단계에서 끊으면 중계 위장까지 갈 일이 없다.

• 애플리케이션 허용목록: 인가되지 않은 바이너리의 실행을 막으면 백도어 자체가 돌지 못함
• 이그레스 가시성 확보: 단순 IP 차단이 안 되니, 어떤 프로세스가 어떤 목적지로 나가는지 단말 레벨에서 기록·연계하는 체계를 갖출 것
• 최소 권한과 분할: 서버 영역이 화상회의 인프라로 나갈 이유가 없다면 그 경로를 정책으로 닫아두는 것만으로 위장의 발판이 사라짐
• 초기 접근 방어: 피싱·탈취된 정상 계정이 대개의 시작점이므로, 다단계 인증과 조건부 접근, 의심 로그인 모니터링을 기본으로 깔아둘 것

개인적으로 이 사례에서 가장 곱씹게 되는 지점은, 공격자가 새로운 취약점을 뚫은 게 아니라 우리가 매일 신뢰하는 정상 서비스를 그대로 빌려 썼다는 데 있다. 신뢰받는 인프라일수록 그 안에 섞인 악의는 더 잘 보이지 않는 법이다. 그러니 "어디로 가느냐"만 보던 습관에서 한 발 더 나아가, "누가, 왜, 그 통신을 하느냐"를 같이 보는 연습을 해두면 좋겠다. 우리 환경에서 Teams를 쓸 이유가 없는 단말이 TURN으로 나가고 있진 않은지, 오늘 한 번 헌팅 쿼리를 돌려보는 건 어떨까. 같이 들여다보아요!