NetSupport RAT는 정상 원격 관리 도구를 악용해 침투한다

정상 원격 관리 도구인 NetSupport Manager가 악성코드 유포와 원격 제어에 악용되고 있다. SenseOn 위협 연구팀은 2024년 내내 고객 환경에서 NetSupport RAT 배포가 지속적으로 늘었다고 관찰했으며, 이 글에서 유포 방식과 지속성 확보, 통신 특성, 탐지 지점을 정리했다.

NetSupport Manager는 정당한 IT 지원 용도로 쓰이고 코드 서명 인증서도 유효해 보안 제품의 허용 목록에 포함될 수 있다. 일부 조직은 내부 지원을 위해 이미 사용을 허용하고 있어 공격자가 기존 예외를 악용할 수 있다. 이 도구는 원격 데스크톱 제어, 파일 전송, 레지스트리 편집, 명령 실행과 시스템 정보 확인 기능을 제공한다. 알림이나 시스템 트레이 아이콘 없이 실행하도록 설정할 수 있고, 자체 게이트웨이 기능으로 NAT 환경의 연결도 처리한다.

SenseOn이 파악한 주요 유포 경로는 세 가지다. 첫째, 침해된 웹사이트가 방문자의 브라우저에 맞춘 가짜 업데이트 안내를 띄운다. 사용자가 버튼을 누르면 난독화된 자바스크립트가 든 ZIP 파일이 내려오며, 실행된 스크립트가 PowerShell을 이용해 NetSupport Manager를 조용히 설치한다. 이 방식은 MITRE ATT&CK에서 SocGholish(S1124)로 추적하는 가짜 소프트웨어 업데이트형 드라이브 바이 다운로드와 관련된다.

둘째, 피싱 메일에 악성 Office 문서나 OneNote 파일을 첨부한다. OneNote 문서에는 버튼이나 이미지처럼 위장한 HTA 파일이 들어갈 수 있다. 이를 누르면 HTA가 실행되고, PowerShell을 통해 NetSupport Manager를 내려받아 설치한다. Microsoft가 인터넷에서 다운로드한 Office 파일의 VBA 매크로를 기본 차단하기 시작한 뒤 OneNote 방식이 더 주목받았다고 설명한다.

셋째, 악성 광고가 사용자를 여러 트래픽 분배 시스템을 거쳐 가짜 소프트웨어 다운로드 페이지로 보낸다. 해당 페이지는 정상 저장소처럼 보이는 트로이목마 설치 파일을 제공한다. Microsoft는 2025년 악성 광고 캠페인에서 정보 탈취 악성코드와 같은 명령·제어 서버로부터 NetSupport RAT를 내려받은 사례를 문서화했다.

설치 후에는 재부팅 뒤에도 접근을 유지하기 위해 레지스트리 Run 키, 예약 작업, 시작 폴더 바로 가기, WMI 이벤트 구독을 이용할 수 있다. 예약 작업은 WindowsUpdateCheck나 SystemHealthMonitor처럼 정상 작업으로 보이는 이름을 쓸 수 있다. WMI 방식은 눈에 띄는 파일 흔적을 만들지 않고 일반적인 자동 실행 항목 확인 도구에도 나타나지 않을 수 있다. 레지스트리 Run 키와 WMI 이벤트 구독은 각각 MITRE ATT&CK의 T1547.001과 T1546.003에 해당한다.

NetSupport Manager는 설정 가능한 TCP 포트로 자체 프로토콜을 사용해 제어기와 통신한다. 통신 내용은 암호화되지만 초기 연결 과정과 패킷 크기 분포에는 식별 가능한 특징이 있을 수 있다. 공격자는 NAT 뒤의 감염 장치와 제어기를 연결하는 게이트웨이를 직접 관리하는 서버나 임대 VPS에 둘 수 있다. 일부 설정은 방화벽 제한을 피하려고 전용 프로토콜을 HTTP 요청에 담아 80번 또는 443번 포트로 전달한다.

탐지할 때는 단일 파일이나 서명만 보기보다 유포부터 네트워크 연결까지의 흐름을 살펴야 한다. SenseOn은 브라우저 다운로드 폴더의 자바스크립트를 wscript.exe나 cscript.exe가 실행하는 상황, 실행 파일을 내려받는 PowerShell 명령, OneNote에서 스크립트 실행기로 이어지는 프로세스를 주요 점검 대상으로 제시한다. 설치 단계에서는 예상된 IT 관리 경로 밖에 만들어진 client32.exe, client32.ini, NSM.lic 등의 파일과 사용자 쓰기 가능 경로의 의심스러운 디렉터리를 살핀다.

지속성 확보 여부를 확인하려면 이례적인 경로의 실행 파일을 가리키는 Run/RunOnce 레지스트리 항목, 사용자 쓰기 가능 경로의 프로그램을 실행하는 예약 작업, WMI 이벤트 필터·컨슈머·바인딩 생성을 점검할 수 있다. WMI 관련 생성 기록은 Sysmon 이벤트 ID 19, 20, 21로 감사할 수 있다. 네트워크에서는 조직이 쓰지 않는 포트의 NetSupport 프로토콜, 알려진 인프라로 향하는 지속적 외부 연결, 원격 관리 권한이 없는 기기에서 발생하는 원격 관리 트래픽을 살핀다.

SenseOn은 엔드포인트·네트워크·계정 데이터를 함께 분석하면 자바스크립트 실행, PowerShell 다운로드, 분류되지 않은 외부 IP로의 NetSupport Manager 통신을 하나의 공격 흐름으로 연결할 수 있다고 설명한다. 또한 정상 사용이 존재하므로 서명 기반 탐지만으로는 오탐이 생길 수 있다며, 평소 원격 관리 트래픽을 내는 장치와 목적지를 기준으로 비정상 사용을 찾는 접근을 제시한다. 이는 SenseOn이 자사 플랫폼에 대해 설명한 탐지 방식이다.

조직은 NetSupport Manager가 정상적으로 설치된 위치와 승인된 사용 현황을 파악하고, 허가된 장치와 계정만 실행할 수 있도록 통제할 것을 권고한다. 자바스크립트·PowerShell·OneNote 유포 경로를 감시하고 원격 관리 트래픽을 승인된 네트워크 구간과 목적지로 제한하는 방안도 제시한다. 가짜 브라우저 업데이트와 다운로드한 스크립트 실행의 위험을 사용자에게 알릴 필요가 있다.

참고 자료: MITRE ATT&CK 원격 접근 도구(T1219), MITRE ATT&CK SocGholish(S1124), 레지스트리 Run 키·시작 폴더(T1547.001), WMI 이벤트 구독(T1546.003), Microsoft의 2025년 악성 광고 캠페인 분석, 인터넷에서 내려받은 Office 매크로 기본 차단 안내, Sysmon, NetSupport Software 소개, Windows 악성코드의 정상 시스템 도구 악용 분석, 악성코드 지속성 메커니즘 연구, COM·WMI·ALPC 기반 악성코드 탐지 연구.