CISA Medusa 랜섬웨어 권고문 업데이트: 새롭게 확인된 공격 기법과 보안 대응
#StopRansomware: Medusa Ransomware
2026년 8월 18일, 미국 사이버보안·인프라 보안국(CISA)은 Cybersecurity Advisory AA25-071A를 개정했습니다.
이번 업데이트에서는 Medusa 랜섬웨어와 관련된 전술·기법·절차(Tactics, Techniques, and Procedures, TTPs)에 대한 추가 정보가 공개됐습니다.
특히 이번 개정 권고문에서는 공격자가 시스템을 침해한 이후 수행하는 활동에 대해 더욱 구체적인 내용이 추가됐습니다.
주요 영역은 다음과 같습니다.
- 자격 증명 접근(Credential Access)
- 방어 회피(Defense Evasion)
- 권한 상승(Privilege Escalation)
- 시스템 및 네트워크 탐색(Discovery)
또한 Windows와 Linux 환경에서 확인된 공격 행위에 대한 추가적인 정보도 포함됐습니다.
AttackIQ, 기존 Medusa 랜섬웨어 평가도 업데이트
AttackIQ는 이전에도 CISA의 AA25-071A 권고문에 대응해 Medusa 랜섬웨어의 기존 공격 그래프(Attack Graph)를 활용하고, 권고문에 명시된 TTP를 포함한 전용 보안 평가(Assessment)를 공개한 바 있습니다.
이 평가를 통해 보안팀은 실제 Medusa 랜섬웨어 공격에서 관찰된 행위를 기반으로,
현재 구축된 보안 통제가 실제 공격을 얼마나 효과적으로 방어하고 탐지할 수 있는지
를 검증할 수 있었습니다.
이번 CISA 권고문 개정에 대응해 AttackIQ 역시 기존 평가 항목을 업데이트했습니다.
새롭게 보고된 공격 행위를 검증할 수 있도록 추가 시나리오를 포함한 것입니다.
이번 업데이트를 통해 다음과 같은 영역에 대한 보안 통제 검증 범위가 확대됐습니다.
자격 증명 접근 → 방어 회피 → 권한 상승 → 탐색(Discovery)
이를 통해 조직은 Medusa 랜섬웨어와 관련해 CISA가 새롭게 공개한 최신 TTP에 대해서도 보안 통제가 제대로 작동하는지 검증할 수 있습니다.
CISA AA25-071A Medusa 랜섬웨어 평가 업데이트
이번에 업데이트된 평가는 기존에 공개됐던 시나리오를 기반으로 하면서, CISA가 새롭게 보고한 Medusa의 공격 행위를 추가로 반영했습니다.
주요 업데이트 내용을 살펴보겠습니다.
1. 권한 상승(Privilege Escalation)
로컬 사용자를 로컬 ‘Administrators’ 그룹에 추가 — T1098
이 시나리오는 Windows의 net localgroup 명령을 이용해 특정 로컬 사용자를 로컬 Administrators 그룹에 추가하는 행위를 시뮬레이션합니다.
공격자가 시스템에 대한 접근 권한을 확보한 이후 더 높은 수준의 권한을 획득하기 위해 수행할 수 있는 행위입니다.
즉, 단순한 사용자 권한으로 시작한 공격이 관리자 권한으로 확대되는 과정을 검증할 수 있습니다.
2. 방어 회피(Defense Evasion)
‘LocalAccountTokenFilterPolicy’ 레지스트리 키 활성화 — T1112
이 시나리오는 reg.exe를 이용해 다음 Windows 레지스트리 값을 수정하는 행위를 재현합니다.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
여기에서 LocalAccountTokenFilterPolicy 값을 1로 설정합니다.
이렇게 하면 로컬 계정에 적용되는 UAC 원격 토큰 필터링이 비활성화되고, 원격 인증 과정에서 관리자 권한을 유지할 수 있게 됩니다.
즉, 공격자가 원격 환경에서 관리자 권한을 활용할 수 있도록 시스템 설정을 변경하는 행위를 검증하는 것입니다.
PowerShell을 이용해 Microsoft Defender 예외 경로 추가 — T1562.001
이 시나리오는 PowerShell의 Add-MpPreference 명령을 사용해 다음 디렉터리를 Windows Defender의 검사 제외 목록에 추가하는 행위를 수행합니다.
%TEMP%\aiq-temp-exclusion\
보안 제품의 탐지 범위에서 특정 디렉터리를 제외시킴으로써 공격자가 자신의 활동을 숨기려는 방어 회피(Defense Evasion) 행위를 시뮬레이션합니다.
3. 탐색(Discovery)
Tasklist를 이용한 프로세스 탐색 — T1057
이 시나리오는 Windows에 기본적으로 포함된 tasklist 유틸리티를 사용해 대상 시스템에서 실행 중인 프로세스를 확인합니다.
탐색 결과는 임시 위치의 파일에 저장됩니다.
공격자는 실행 중인 프로세스를 확인함으로써 보안 솔루션이나 중요 애플리케이션의 존재 여부 등을 파악할 수 있습니다.
nltest를 이용한 신뢰 도메인 탐색 — T1482
이 시나리오는 다음 명령을 실행합니다.
nltest /trusted_domains
이를 통해 조직 내 도메인 간 신뢰 관계(Domain Trust Relationships)를 확인합니다.
도메인 간 신뢰 관계가 존재하면 한 도메인이 다른 도메인의 인증 절차를 기반으로 특정 리소스에 접근할 수 있습니다.
공격자 입장에서는 이러한 관계를 파악하는 것이 이후 공격 범위를 확장하거나 다른 시스템으로 이동하는 데 중요한 정보가 될 수 있습니다.
‘net view’를 이용한 Loopback 탐색 — T1018
이 시나리오는 테스트 대상 시스템에서 다음 명령을 실행합니다.
net view \127.0.0.1
여기서 127.0.0.1은 Loopback 주소입니다.
실제 특정 호스트를 공격 대상으로 삼는 대신, 테스트 환경에서는 Loopback 주소를 사용해 동일한 탐색 행위를 안전하고 독립적인 방식으로 재현합니다.
net view는 Windows에 기본으로 포함된 네트워크 유틸리티로, 특정 호스트가 네트워크를 통해 제공하는 공유 리소스를 확인하는 데 사용됩니다.
추가적인 공격 에뮬레이션 기회
이번에 공개된 평가 템플릿 외에도 AttackIQ는 CISA 권고문에서 확인된 공격 역량을 더욱 폭넓게 에뮬레이션하기 위해 기존 시나리오를 추가로 활용할 것을 권장하고 있습니다.
vssadmin.exe를 이용한 Volume Shadow Copy 기반 Active Directory 데이터베이스 덤프 — T1003.003
이 시나리오는 vssadmin.exe를 이용해 Shadow Copy를 생성합니다.
그 이후 Shadow Copy에서 다음 파일을 가져옵니다.
그리고 해당 하이브 정보를 활용해 Active Directory 데이터베이스에 저장된 자격 증명을 복호화하는 데 필요한 과정을 지원합니다.
이는 공격자가 Active Directory 환경에서 중요한 자격 증명 정보를 확보하기 위해 사용할 수 있는 공격 기법을 에뮬레이션합니다.
Medusa 랜섬웨어 방어 수준 강화하기
이번 Medusa 랜섬웨어 평가 업데이트는 CISA가 공개한 공격 행위에 대한 AttackIQ의 검증 범위를 더욱 확대했습니다.
이를 통해 보안팀은 공격 라이프사이클 전반에 걸쳐 예방(Prevention)과 탐지(Detection) 역량을 검증할 수 있는 추가적인 기회를 확보하게 됩니다.
AttackIQ는 Medusa 랜섬웨어에 대한 보안 통제를 평가하기 위해 다음과 같은 평가를 실행할 것을 권장합니다.
권장 평가
- (업데이트) [CISA AA25-071A] #StopRansomware: Medusa Ransomware
- [Malware Emulation] Medusa Ransomware – 2024-01 – Associated Tactics, Techniques and Procedures (TTPs)
- Medusa Ransomware – 2024-01 – Complete Infection Chain
랜섬웨어 공격자의 새로운 행위가 확인될 때마다 보안 평가 시나리오를 지속적으로 업데이트하면,
조직은 현재 구축된 보안 통제가 진화하는 랜섬웨어 공격에도 여전히 효과적인지 확인할 수 있습니다.
이번에 업데이트된 CISA AA25-071A #StopRansomware: Medusa Ransomware 평가 역시 조직이 Medusa 랜섬웨어의 최신 TTP를 대상으로 현재의 보안 수준을 테스트하고, 방어 체계를 강화할 수 있는 개선 기회를 찾는 데 활용할 수 있습니다.
마무리
이번에 업데이트된 Medusa 랜섬웨어 공격 에뮬레이션은 실제 Medusa가 사용하는 공격 행위를 기반으로 조직의 보안 통제와 사고 대응 프로세스를 점검할 수 있도록 지원합니다.
지속적인 보안 테스트를 통해 생성된 데이터를 활용하면 보안팀은 보다 중요한 보안 목표에 집중할 수 있습니다.
또한,
- 현재 보안 통제가 제대로 작동하는지 확인하고
- 필요한 경우 보안 통제를 조정하며
- 전체적인 보안 프로그램의 효과를 높이고
- 실제 위협에 대한 조직의 회복탄력성을 강화할 수 있습니다.
특히 중요한 점은 한 번의 보안 평가로 끝나는 것이 아니라 지속적으로 검증하는 것입니다.
랜섬웨어 공격 기법은 계속해서 변화하고 있습니다.
따라서 과거에 효과적이었던 보안 통제가 오늘도 효과적이라는 보장은 없습니다.
새로운 공격 기법이 등장할 때마다 실제 공격자의 행동을 기반으로 보안 통제를 검증해야 합니다.
AttackIQ와 CTEM
AttackIQ는 지속적 위협 노출 관리(Continuous Threat Exposure Management, CTEM)를 지원하는 대표적인 플랫폼으로, 조직이 실제 보안 노출을 측정하고 위험의 우선순위를 정하며 현실적인 공격 경로를 차단할 수 있도록 지원합니다.
기존의 정적인 취약점 데이터에만 의존하는 것이 아니라,
실제 공격자의 행동과 방어 통제를 지속적으로 검증함으로써 CTEM을 실제 보안 운영에 적용할 수 있도록 하는 것이 핵심입니다.
AttackIQ는 취약점, 시스템 구성, ID 및 권한, 탐지 정보를 서로 연결해 실제 공격자가 활용할 수 있는 **공격 경로(Attack Path)**를 구성합니다.
그리고 실제 공격자 행동을 기반으로 이를 검증함으로써,
공격자가 해당 경로를 따라 이동해 실제 영향을 발생시킬 가능성이 얼마나 높은지
를 정량적으로 파악할 수 있도록 합니다.
이러한 증거 기반 접근 방식(Evidence-based Approach)은 보안 책임자가 수많은 보안 문제 가운데 실제로 중요한 위험에 집중할 수 있도록 도와줍니다.
또한 보안 투자 우선순위를 최적화하고, 위협 정보를 기반으로 한 AI 중심의 보안 운영을 통해 조직의 전반적인 회복탄력성을 강화할 수 있습니다.
결국 핵심은 ‘지속적인 검증’입니다
Medusa 랜섬웨어 사례가 보여주는 중요한 교훈은 단순합니다.
보안 통제가 존재한다는 것과, 그 통제가 실제 공격을 막아낸다는 것은 전혀 다른 문제입니다.
특히 자율형 AI와 자동화된 공격 기술이 발전하면서 공격자는 서로 다른 취약점과 권한, 설정 오류를 빠르게 연결해 하나의 공격 경로로 만들 수 있습니다.
따라서 기업 역시 정적인 보안 점검에서 벗어나,
실제 공격 행위를 지속적으로 에뮬레이션하고 보안 통제가 제대로 작동하는지 반복해서 검증해야 합니다.
CISA의 Medusa 랜섬웨어 권고문 업데이트는 바로 이러한 지속적 보안 검증의 중요성을 다시 한번 보여주는 사례라고 할 수 있습니다.
결국 중요한 질문은
“우리 조직에는 어떤 보안 솔루션이 설치되어 있는가?”
가 아니라,
“실제 공격이 발생했을 때 우리의 보안 통제가 제대로 작동한다는 사실을 지금 증명할 수 있는가?”
입니다.
BAS솔루션에 대한 소개자료 및 데모요청은 소프트와이드시큐리티로 연락바랍니다.
CISA Medusa 랜섬웨어 권고문 업데이트: 새롭게 확인된 공격 기법과 보안 대응
#StopRansomware: Medusa Ransomware
2026년 8월 18일, 미국 사이버보안·인프라 보안국(CISA)은 Cybersecurity Advisory AA25-071A를 개정했습니다.
이번 업데이트에서는 Medusa 랜섬웨어와 관련된 전술·기법·절차(Tactics, Techniques, and Procedures, TTPs)에 대한 추가 정보가 공개됐습니다.
특히 이번 개정 권고문에서는 공격자가 시스템을 침해한 이후 수행하는 활동에 대해 더욱 구체적인 내용이 추가됐습니다.
주요 영역은 다음과 같습니다.
또한 Windows와 Linux 환경에서 확인된 공격 행위에 대한 추가적인 정보도 포함됐습니다.
AttackIQ, 기존 Medusa 랜섬웨어 평가도 업데이트
AttackIQ는 이전에도 CISA의 AA25-071A 권고문에 대응해 Medusa 랜섬웨어의 기존 공격 그래프(Attack Graph)를 활용하고, 권고문에 명시된 TTP를 포함한 전용 보안 평가(Assessment)를 공개한 바 있습니다.
이 평가를 통해 보안팀은 실제 Medusa 랜섬웨어 공격에서 관찰된 행위를 기반으로,
현재 구축된 보안 통제가 실제 공격을 얼마나 효과적으로 방어하고 탐지할 수 있는지
를 검증할 수 있었습니다.
이번 CISA 권고문 개정에 대응해 AttackIQ 역시 기존 평가 항목을 업데이트했습니다.
새롭게 보고된 공격 행위를 검증할 수 있도록 추가 시나리오를 포함한 것입니다.
이번 업데이트를 통해 다음과 같은 영역에 대한 보안 통제 검증 범위가 확대됐습니다.
자격 증명 접근 → 방어 회피 → 권한 상승 → 탐색(Discovery)
이를 통해 조직은 Medusa 랜섬웨어와 관련해 CISA가 새롭게 공개한 최신 TTP에 대해서도 보안 통제가 제대로 작동하는지 검증할 수 있습니다.
CISA AA25-071A Medusa 랜섬웨어 평가 업데이트
이번에 업데이트된 평가는 기존에 공개됐던 시나리오를 기반으로 하면서, CISA가 새롭게 보고한 Medusa의 공격 행위를 추가로 반영했습니다.
주요 업데이트 내용을 살펴보겠습니다.
1. 권한 상승(Privilege Escalation)
로컬 사용자를 로컬 ‘Administrators’ 그룹에 추가 — T1098
이 시나리오는 Windows의 net localgroup 명령을 이용해 특정 로컬 사용자를 로컬 Administrators 그룹에 추가하는 행위를 시뮬레이션합니다.
공격자가 시스템에 대한 접근 권한을 확보한 이후 더 높은 수준의 권한을 획득하기 위해 수행할 수 있는 행위입니다.
즉, 단순한 사용자 권한으로 시작한 공격이 관리자 권한으로 확대되는 과정을 검증할 수 있습니다.
2. 방어 회피(Defense Evasion)
‘LocalAccountTokenFilterPolicy’ 레지스트리 키 활성화 — T1112
이 시나리오는 reg.exe를 이용해 다음 Windows 레지스트리 값을 수정하는 행위를 재현합니다.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
여기에서 LocalAccountTokenFilterPolicy 값을 1로 설정합니다.
이렇게 하면 로컬 계정에 적용되는 UAC 원격 토큰 필터링이 비활성화되고, 원격 인증 과정에서 관리자 권한을 유지할 수 있게 됩니다.
즉, 공격자가 원격 환경에서 관리자 권한을 활용할 수 있도록 시스템 설정을 변경하는 행위를 검증하는 것입니다.
PowerShell을 이용해 Microsoft Defender 예외 경로 추가 — T1562.001
이 시나리오는 PowerShell의 Add-MpPreference 명령을 사용해 다음 디렉터리를 Windows Defender의 검사 제외 목록에 추가하는 행위를 수행합니다.
%TEMP%\aiq-temp-exclusion\
보안 제품의 탐지 범위에서 특정 디렉터리를 제외시킴으로써 공격자가 자신의 활동을 숨기려는 방어 회피(Defense Evasion) 행위를 시뮬레이션합니다.
3. 탐색(Discovery)
Tasklist를 이용한 프로세스 탐색 — T1057
이 시나리오는 Windows에 기본적으로 포함된 tasklist 유틸리티를 사용해 대상 시스템에서 실행 중인 프로세스를 확인합니다.
탐색 결과는 임시 위치의 파일에 저장됩니다.
공격자는 실행 중인 프로세스를 확인함으로써 보안 솔루션이나 중요 애플리케이션의 존재 여부 등을 파악할 수 있습니다.
nltest를 이용한 신뢰 도메인 탐색 — T1482
이 시나리오는 다음 명령을 실행합니다.
nltest /trusted_domains
이를 통해 조직 내 도메인 간 신뢰 관계(Domain Trust Relationships)를 확인합니다.
도메인 간 신뢰 관계가 존재하면 한 도메인이 다른 도메인의 인증 절차를 기반으로 특정 리소스에 접근할 수 있습니다.
공격자 입장에서는 이러한 관계를 파악하는 것이 이후 공격 범위를 확장하거나 다른 시스템으로 이동하는 데 중요한 정보가 될 수 있습니다.
‘net view’를 이용한 Loopback 탐색 — T1018
이 시나리오는 테스트 대상 시스템에서 다음 명령을 실행합니다.
net view \127.0.0.1
여기서 127.0.0.1은 Loopback 주소입니다.
실제 특정 호스트를 공격 대상으로 삼는 대신, 테스트 환경에서는 Loopback 주소를 사용해 동일한 탐색 행위를 안전하고 독립적인 방식으로 재현합니다.
net view는 Windows에 기본으로 포함된 네트워크 유틸리티로, 특정 호스트가 네트워크를 통해 제공하는 공유 리소스를 확인하는 데 사용됩니다.
추가적인 공격 에뮬레이션 기회
이번에 공개된 평가 템플릿 외에도 AttackIQ는 CISA 권고문에서 확인된 공격 역량을 더욱 폭넓게 에뮬레이션하기 위해 기존 시나리오를 추가로 활용할 것을 권장하고 있습니다.
vssadmin.exe를 이용한 Volume Shadow Copy 기반 Active Directory 데이터베이스 덤프 — T1003.003
이 시나리오는 vssadmin.exe를 이용해 Shadow Copy를 생성합니다.
그 이후 Shadow Copy에서 다음 파일을 가져옵니다.
그리고 해당 하이브 정보를 활용해 Active Directory 데이터베이스에 저장된 자격 증명을 복호화하는 데 필요한 과정을 지원합니다.
이는 공격자가 Active Directory 환경에서 중요한 자격 증명 정보를 확보하기 위해 사용할 수 있는 공격 기법을 에뮬레이션합니다.
Medusa 랜섬웨어 방어 수준 강화하기
이번 Medusa 랜섬웨어 평가 업데이트는 CISA가 공개한 공격 행위에 대한 AttackIQ의 검증 범위를 더욱 확대했습니다.
이를 통해 보안팀은 공격 라이프사이클 전반에 걸쳐 예방(Prevention)과 탐지(Detection) 역량을 검증할 수 있는 추가적인 기회를 확보하게 됩니다.
AttackIQ는 Medusa 랜섬웨어에 대한 보안 통제를 평가하기 위해 다음과 같은 평가를 실행할 것을 권장합니다.
권장 평가
랜섬웨어 공격자의 새로운 행위가 확인될 때마다 보안 평가 시나리오를 지속적으로 업데이트하면,
조직은 현재 구축된 보안 통제가 진화하는 랜섬웨어 공격에도 여전히 효과적인지 확인할 수 있습니다.
이번에 업데이트된 CISA AA25-071A #StopRansomware: Medusa Ransomware 평가 역시 조직이 Medusa 랜섬웨어의 최신 TTP를 대상으로 현재의 보안 수준을 테스트하고, 방어 체계를 강화할 수 있는 개선 기회를 찾는 데 활용할 수 있습니다.
마무리
이번에 업데이트된 Medusa 랜섬웨어 공격 에뮬레이션은 실제 Medusa가 사용하는 공격 행위를 기반으로 조직의 보안 통제와 사고 대응 프로세스를 점검할 수 있도록 지원합니다.
지속적인 보안 테스트를 통해 생성된 데이터를 활용하면 보안팀은 보다 중요한 보안 목표에 집중할 수 있습니다.
또한,
특히 중요한 점은 한 번의 보안 평가로 끝나는 것이 아니라 지속적으로 검증하는 것입니다.
랜섬웨어 공격 기법은 계속해서 변화하고 있습니다.
따라서 과거에 효과적이었던 보안 통제가 오늘도 효과적이라는 보장은 없습니다.
새로운 공격 기법이 등장할 때마다 실제 공격자의 행동을 기반으로 보안 통제를 검증해야 합니다.
AttackIQ와 CTEM
AttackIQ는 지속적 위협 노출 관리(Continuous Threat Exposure Management, CTEM)를 지원하는 대표적인 플랫폼으로, 조직이 실제 보안 노출을 측정하고 위험의 우선순위를 정하며 현실적인 공격 경로를 차단할 수 있도록 지원합니다.
기존의 정적인 취약점 데이터에만 의존하는 것이 아니라,
실제 공격자의 행동과 방어 통제를 지속적으로 검증함으로써 CTEM을 실제 보안 운영에 적용할 수 있도록 하는 것이 핵심입니다.
AttackIQ는 취약점, 시스템 구성, ID 및 권한, 탐지 정보를 서로 연결해 실제 공격자가 활용할 수 있는 **공격 경로(Attack Path)**를 구성합니다.
그리고 실제 공격자 행동을 기반으로 이를 검증함으로써,
공격자가 해당 경로를 따라 이동해 실제 영향을 발생시킬 가능성이 얼마나 높은지
를 정량적으로 파악할 수 있도록 합니다.
이러한 증거 기반 접근 방식(Evidence-based Approach)은 보안 책임자가 수많은 보안 문제 가운데 실제로 중요한 위험에 집중할 수 있도록 도와줍니다.
또한 보안 투자 우선순위를 최적화하고, 위협 정보를 기반으로 한 AI 중심의 보안 운영을 통해 조직의 전반적인 회복탄력성을 강화할 수 있습니다.
결국 핵심은 ‘지속적인 검증’입니다
Medusa 랜섬웨어 사례가 보여주는 중요한 교훈은 단순합니다.
보안 통제가 존재한다는 것과, 그 통제가 실제 공격을 막아낸다는 것은 전혀 다른 문제입니다.
특히 자율형 AI와 자동화된 공격 기술이 발전하면서 공격자는 서로 다른 취약점과 권한, 설정 오류를 빠르게 연결해 하나의 공격 경로로 만들 수 있습니다.
따라서 기업 역시 정적인 보안 점검에서 벗어나,
실제 공격 행위를 지속적으로 에뮬레이션하고 보안 통제가 제대로 작동하는지 반복해서 검증해야 합니다.
CISA의 Medusa 랜섬웨어 권고문 업데이트는 바로 이러한 지속적 보안 검증의 중요성을 다시 한번 보여주는 사례라고 할 수 있습니다.
결국 중요한 질문은
“우리 조직에는 어떤 보안 솔루션이 설치되어 있는가?”
가 아니라,
“실제 공격이 발생했을 때 우리의 보안 통제가 제대로 작동한다는 사실을 지금 증명할 수 있는가?”
입니다.
BAS솔루션에 대한 소개자료 및 데모요청은 소프트와이드시큐리티로 연락바랍니다.