AdaptixC2, 레드팀 도구에서 실제 공격으로… 기업 보안에 던지는 경고 🚨🕵️‍♂️

안녕하세요, 곰곰히 생각하는 하루입니다 🙂
오늘은 최근 Palo Alto Networks Unit 42 연구팀이 포착한 새로운 공격 프레임워크 AdaptixC2에 대해 깊이 있게 다뤄보려고 해요.

원래는 레드팀 모의침투 도구로 설계된 오픈소스 툴인데,
이제는 실제 공격자들이 기업 환경을 침투하고 장악하는 데 적극적으로 활용하고 있다는 사실이 밝혀졌습니다.

보안팀 입장에서는 단순한 툴 소개가 아니라, 어떻게 악용되고 있는지,
우리 시스템에선 어떤 방어 전략이 필요한지가 핵심이겠죠. 오늘은 이 부분을 블로그 형식으로 쉽고 길게 풀어보겠습니다.

---

AdaptixC2란 무엇인가? 🛠️

AdaptixC2는 새롭게 등장한 오픈소스 C2(Command & Control) 프레임워크입니다.
원래는 보안 모의훈련(레드팀)을 목적으로 만들어졌지만, 공격자 입장에서는 완벽한 무기가 될 수 있죠.

핵심 기능을 살펴보면:

• 명령 실행: 원격에서 임의 코드 실행 가능
• 파일 조작: 파일 생성, 수정, 삭제, 업로드/다운로드
• 프로세스 제어: 실행 중인 프로세스 나열 및 종료
• 네트워크 은폐: SOCKS4/5 프록시, 포트포워딩, 트래픽 청크 분할로 정상 트래픽처럼 위장
• 플러그인 확장: Extender 모듈과 BOF(Beacon Object File)로 탐지 회피 및 기능 확장 가능
• 암호화된 설정: RC4 기반 암호화로 C2 서버 정보 숨김

👉 요약하자면, AdaptixC2는 단순 백도어가 아니라 멀티 기능, 은폐성, 유연성까지 모두 갖춘 풀옵션 해킹 툴킷입니다.

---

실제 공격 시나리오 🔎

Unit 42가 분석한 공격 사례는 크게 두 가지였습니다.

1) 가짜 IT 지원 메시지를 활용한 사회공학 공격 🎭

• 공격자는 Microsoft Teams IT 지원 사칭 메시지를 보냈습니다.
• 피해자는 "원격 지원(Quick Assist)" 요청을 받고 속아 넘어갔습니다.
• 이후 다단계 PowerShell 로더가 실행되며 XOR 암호화된 쉘코드를 합법적인 호스팅 서비스에서 다운로드.
• .NET의 Dynamic Invocation을 활용해 디스크에 기록하지 않고 메모리에서 바로 실행 → EDR 탐지 회피.
• 이후 whoami, ipconfig, nltest 등을 실행해 기본 정보 수집 후 C2 연결.
• 지속성 확보: 시작 프로그램 폴더에 바로가기 등록.

👉 요약: "사회공학 + 파일리스 공격 + 지속성 확보"의 전형적인 공격 패턴.

---

2) AI 생성 PowerShell 스크립트를 활용한 공격 🤖

• PowerShell 스크립트가 Base64 인코딩된 AdaptixC2 비콘을 다운로드.
• VirtualProtect를 호출해 메모리에 쉘코드 배치 및 실행.
• 지속성 확보:
  • Templates 폴더 DLL 하이재킹
  • Run 키 레지스트리 등록
• 특징: 코드에 체크 표시(✅) 출력 메시지, 넘버링 주석 등이 있어 AI가 작성했음을 추정.

👉 요약: 생성형 AI를 활용해 악성 로더 개발 속도가 빨라지고 있다는 신호탄.

---

왜 위험한가? ⚠️

1. 레드팀 도구의 악용
   • Cobalt Strike처럼 원래는 모의침투 도구였는데, 이제 공격자 무기로 변질.
   • AdaptixC2도 같은 길을 걷는 중.
2. 파일리스(fileless) 기법
   • 디스크에 흔적을 남기지 않고 메모리에서만 동작 → 전통적 보안 솔루션 탐지 어려움.
3. AI의 참여
   • 공격자가 AI를 이용해 로더 개발을 자동화 → 짧은 시간에 변종 제작 가능.
4. 네트워크 은폐
   • 트래픽을 정상처럼 보이게 분할하거나 프록시화 → 보안 장비 탐지 우회.

---

방어 전략 🛡️

1) 엔드포인트 모니터링

• PowerShell의 동적 호출, VirtualProtect, 메모리 내 쉘코드 실행 여부 모니터링.
• whoami.exe, ipconfig.exe 등 공격 초기에 자주 쓰이는 프로세스 호출 탐지.

2) RC4 암호화 설정 분석

• 의심 바이너리에서 RC4 암호화 블록을 추출해 C2 서버 정보를 역추적.

3) 네트워크 보안

• 프록시/포트포워딩, SOCKS 트래픽 탐지 규칙 강화.
• HTTP 기반 비콘 트래픽 패턴 모니터링 (URI, 헤더, User-Agent 변조).

4) 조직 내 보안 인식 제고

• 가짜 IT 지원 사칭 같은 사회공학적 기법에 속지 않도록 보안 교육 강화.
• "IT 부서가 Teams로 원격 지원 요청한다" → 반드시 전화 등 2차 확인 절차 필요.

---

결론 ✍️

AdaptixC2의 등장은 단순한 "새로운 악성코드 발견"이 아닙니다.
👉 레드팀 도구가 실전 공격에 악용되는 흐름
👉 AI가 공격 자동화를 가속하는 시대적 변화

이 두 가지를 모두 보여주는 사례예요.

보안팀은 더 이상 "도구는 합법 vs 불법"의 경계에만 머무르면 안 됩니다.
레드팀 툴이 실전에서 악용될 것을 전제로 탐지, 대응 체계를 설계해야 합니다.