Microsoft가 7월에 관측한 피싱의 1단계 파일은 악성코드가 아니라 정상 MSP360 설치 파일이었고, MSP360은 9월 30일 계정 차단과 사업자 확인 의무화로 대응했다.
회의 초대 링크를 눌러 내려받은 파일이 악성코드가 아니라 정상 원격관리 프로그램의 설치 파일이라면, 백신은 무엇을 막아야 할까. Microsoft가 2026년 9월 29일 공개한 피싱 캠페인이 이 경우다. 파일 이름은 Zoom 설치, Adobe 업데이트, 전자 초대장으로 꾸며져 있었지만 내용물은 MSP360 RMM이었다. RMM은 원격 모니터링·관리 도구로, IT 담당자가 멀리서 PC를 조작할 때 쓰는 프로그램이다.
Microsoft Defender Experts가 2026년 7월에 관측한 이 활동의 유인 문구는 다양했다. 회의 요청, PDF 리더 업데이트, 입사 제안 문서, DHL 택배 안내가 원문에 나열돼 있다. 링크는 문서 공유 포털이나 Zoom 설치 화면을 흉내 낸 페이지로 이어졌다. 파일은 Amazon S3, Cloudflare R2, Dropbox, GitLab, Supabase 같은 정상 클라우드 서비스에도 올라 있었다.
실행된 설치 파일은 MSP360 RMM v2.5.0.67이었다. 파일명만 위장했고 프로그램 자체는 정상 제품이다. Microsoft는 이 활동을 특정 위협 행위자로 귀속하지 않았고 미귀속 활동으로 추적한다.
설치가 끝나면 RMM.Agent.exe 서비스가 등록되고, 방화벽에는 UDP 48678 인바운드 허용 규칙이 생긴다. 이어 이 서비스가 PowerShell을 실행해 ClientSetup.msi를 내려받고, msiexec.exe로 ConnectWise ScreenConnect를 조용히 설치한다.
| 단계 | 관측된 것 |
|---|---|
| 1 | 위장 파일명의 MSP360 설치 파일 실행 |
| 2 | RMM.Agent 서비스·방화벽 규칙 생성 |
| 3 | PowerShell → ScreenConnect 무음 설치 |
피해 PC에는 원격 접근 통로가 둘 생긴다. 하나가 발견돼 지워져도 다른 하나가 남는다. 이후 ScreenConnect를 통해 추가 도구가 Documents\ScreenConnect\Temp 아래로 옮겨졌고, 시스템 정보 수집과 자격증명 접근 활동이 뒤따랐다고 Microsoft는 적었다. 같은 7월에 MSP360 대신 Faronics Deploy Agent를 같은 방식으로 쓴 사례도 있었다.
Microsoft는 "ScreenConnect 자체의 악용은 관측하지 못했고, 위협 행위자가 정상적으로 확보한 원격 관리 소프트웨어를 악용했다"고 밝혔다.
Microsoft는 2026년 3월 3일에도 비슷한 글을 냈다. 2월에 관측된 그 캠페인은 Teams·Zoom 같은 업무 앱을 사칭한 실행 파일에 EV 인증서(TrustConnect Software PTY LTD 명의)로 서명해 ScreenConnect, Tactical RMM, Mesh Agent를 심었다.
차이는 1단계 파일의 정체다. 3월 건은 악성 실행 파일에 가짜 서명을 붙였다. 이번 건은 처음부터 정상 벤더의 설치 파일이라 서명이 가짜일 필요가 없다. 대신 설치 직후의 행동이 단서가 된다.
MSP360은 9월 30일 블로그에서 오용을 인정하고 조치를 공개했다. 오용 계정을 차단했고, 새 계정이 설치 파일 브랜딩을 바꾸거나 원격 관리 작업을 하려면 사업자 확인을 거치도록 했다. Managed Connect와 Managed Backup의 일부 기능도 제한했다. MSP360은 식별된 취약점의 악용이 아니라 정상 원격 관리 기능의 오용이라는 입장이다.
ConnectWise의 공식 입장은 확인하지 못했다.
Microsoft가 원문에 적은 탐지 단서는 구체적이다. Defender 백신 탐지명은 SupportScam:Win32/RogueMSP.MU!MTB다. Defender for Endpoint에는 다음 경고명이 나열돼 있다.
로그 쪽 단서는 RMM.Agent.exe를 부모로 하는 PowerShell과 msiexec.exe 조합, 새로 등록된 서비스, 레지스트리 Run 항목이다. Microsoft는 이 조합을 찾는 헌팅 쿼리를 DeviceProcessEvents와 DeviceNetworkEvents 기준으로 제공했다. 기법 ID는 원문 기준으로 원격 접근 도구 T1219, 도구 반입 T1105, 레지스트리 Run 키 T1547.001이 포함된다.
권고 사항은 승인된 RMM에만 MFA를 적용하고, 승인되지 않은 IT 관리 도구는 Application Control·AppLocker 게시자 규칙으로 막으며, 미승인 RMM 설치가 발견되면 설치에 쓰인 계정의 비밀번호를 재설정하는 것이다.
이 건을 다룬 국내 기사와 KISA·KrCERT 공지는 확인하지 못했다(2026년 10월 2일 검색 기준). 인접한 자료는 있다. AhnLab ASEC은 2026년 1월 8일, 영상 파일로 위장한 RMM 설치 파일(Syncro·SuperOps·NinjaOne·ScreenConnect)이 최소 2025년 10월부터 유포됐다고 공개했다. KISA는 8월 26일 아·태 25개 CSIRT와 외부에 노출된 RMM 도구를 통한 침해를 가정한 모의훈련을 했다. 이번 Microsoft 보고서에는 한국 피해 사례가 없다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.