지원 세션 역추적으로 엔지니어 PC 장악: ScreenConnect 노리는 SCKit 멀웨어 공격 구조 분석
원격 관리 툴 ScreenConnect의 취약점을 악용해 엔지니어 세션을 탈취하고 고객사망 전체로 침투를 확장하는 SCKit 멀웨어의 기술 메커니즘과 대응 방안을 분석한다.
발행일: 2026.11.13
공식 사이트 확인CVE-2026-84869 인증 우회 및 무인가 파일 실행
NT AUTHORITY\SYSTEM 컨텍스트 명령 실행
단일 감염 단말에서 관리자 PC 역방향 전이
원격 관리 플랫폼(ScreenConnect)을 관리하는 엔지니어의 단말이 공급망 공격의 새로운 통로로 악용되고 있다. 블랙포인트 사이버(Blackpoint Cyber) 침해사고 대응팀(APG)은 최근 ScreenConnect 환경을 표적으로 삼은 전용 공격 도구 모음 ‘SCKit’을 분석해 공개했다.
이번 공격은 새로운 제로데이 취약점이 아니라 기패치된 고위험 취약점 CVE-2026-84869(CVSS 9.9)를 활용한다. 공격자는 권한 검증 부재를 악용해 원격 세션 내에서 호스트 동의 없이 파일을 전송하고 실행한다. 이 툴킷의 핵심 위험 요소는 단순 단말 감염에 그치지 않고, 고객사 단말을 점검하러 들어온 관리자(테크니션)의 PC를 역으로 감염시키는 ‘릴레이트랩(RelayTrap)’ 메커니즘을 내장했다는 점이다.
고객사 엔드포인트 감염부터 MSP 관리자 세션 탈취까지의 단계
CVE-2026-84869를 통해 sc.msi 및 배포 배치 스크립트 실행
PowerShell로 비인가 ScreenConnect 접근 에이전트 2기 강제 설치
정상 Guest 세션 모듈을 변조해 엔지니어 접속 시 역방향 페이로드 전송
엔지니어 PC의 .ASPXAUTH 쿠키를 탈취해 타 고객사 단말로 수평 이동
엔지니어 접속을 미끼로 삼는 SCKit의 역방향 침투 메커니즘
SCKit은 침투 초기 단계에서 시스템의 기존 ScreenConnect 설치 여부를 점검한다. 이후 공격자 제어 서버에서 악성 인스톨러(sc.msi)를 내려받아 실행하며, 배치 스크립트 드로퍼(sckit-run.bat)를 구동한다. 드로퍼는 외부 인프라(ns.mo7sen[.]dev)와 통신하여 파워셸 디코더(sckit-decoder.ps1)를 수신하고 주요 페이로드를 조립한다.
영속성(Persistence) 확보를 위해 공격자는 파워셸 스크립트(SilentForceInstall-WithUninstall.ps1)를 구동한다. 이 과정에서 두 개의 비인가 ScreenConnect 접근 클라이언트가 백그라운드에 등록된다. 이 에이전트들은 운영체제의 최고 권한인 NT AUTHORITY\SYSTEM 컨텍스트에서 실행되므로, 추가적인 권한 상승 과정 없이도 임의 명령을 즉시 수행한다.
가장 치명적인 기능은 ‘릴레이트랩(RelayTrap)‘이라 명명된 모듈이다. 침해된 단말의 비정상 징후를 감지한 보안 담당자나 운영 엔지니어가 원격 접속을 시도하면 공격이 작동한다.
- 정상 세션 모듈 변조: 기존 ScreenConnect Guest 세션 컴포넌트를 C# 기반의 악성 모듈로 치환한다.
- 게스트 투 호스트(Guest-to-Host) 실행: CVE-2026-84869를 악용해 접속한 엔지니어의 단말로 페이로드를 역전송하여 실행을 유도한다.
- 인증 토큰 추출: 엔지니어 PC 침투 성공 시 브라우저 메모리와 내부 스토리지에서 유효한 관리자 인증 세션인
.ASPXAUTH인증 쿠키를 탈취한다.
인증 토큰이 공격자에게 넘어가면 패스워드 재입력이나 다중 요소 인증(MFA)을 우회할 수 있다. 공격자는 탈취한 세션을 활용해 플랫폼 내 정상 명령 실행 기능(Run Command)으로 해당 엔지니어가 관할하는 수십, 수백 개의 타 고객사 단말에 악성코드를 일괄 배포한다.
세션 가로채기 위협 요소와 실무 방어 전략
단일 고객사 단말 분석 과정에서 엔지니어 단말이 역감염되어 전 고객사로 확산
IP 바인딩이 누락된 .ASPXAUTH 쿠키와 엔지니어 단말의 권한 분리 부재
CVE-2026-84869 패치 적용, 세션 유효시간 단축, 전용 분석 샌드박스 도입
침해 지표와 방어 체계 기술 검증 매트릭스
SCKit 공격 툴킷은 이미 공개된 취약점을 매개로 삼기 때문에, 최신 릴리스로 업데이트된 정규 ScreenConnect 환경에서는 초기 페이로드의 강제 주입이 차단된다. 그러나 이미 감염된 엔드포인트 내에서 운영자 세션을 하이재킹하는 행위는 취약점이 아닌 소프트웨어의 정상 기능을 남용하는 방식이다.
인프라 보안 관리자는 단순 벤더 패치에 의존하지 않고, 세션 무결성 검증과 실행 파일 모니터링을 병행해야 한다.
| 분석 지표 | SCKit 멀웨어 공격 양태 | 표준 정상 세션 동작 | 방어 체계 및 점검 기준 |
|---|---|---|---|
| 취약점 트리거 | CVE-2026-84869 (CVSS 9.9) | 인증 완료된 정상 원격 세션 | 벤더 보안 패치 즉시 적용 시 파일 전송 차단 |
| 실행 파일/프로세스 | sc.msi, sckit-run.bat | ScreenConnect 공식 서명 에이전트 | EDR 내 비인가 드로퍼 생성 및 파워셸 실행 탐지 |
| 외부 C2 네트워크 | ns.mo7sen[.]dev 통신 | 등록된 사내 중계 서버 및 공식 도메인 | 방화벽 DNS 쿼리 로깅 및 악성 통신 차단 |
| 지속성 유지 기법 | 무인가 인스턴스 2기 강제 등록 | 단일 승인 에이전트 서비스 상주 | 비정상 중복 설치된 인스턴스 서비스 레지스트리 감사 |
| 실행 권한 범위 | NT AUTHORITY\SYSTEM | 제한된 테크니션 세션 권한 | 에이전트 자식 프로세스의 임의 스크립트 실행 제한 |
| 세션 탈취 대상 | 브라우저 내 .ASPXAUTH 쿠키 | 활성 탭 내 일회성 세션 유지 | 쿠키 IP 바인딩 강제 및 수명 15분 미만 단축 |
이번 사태에 대응하여 ConnectWise 측은 파트너 환경에서 동작하던 서드파티 익스텐션 5종을 선제적으로 비활성화 조치했다. 분석을 진행한 보안팀은 해당 서드파티 확장 기능들과 SCKit 공격 체계 사이의 직접적인 연관성은 발견되지 않았다고 보고했다. 미국 CISA 역시 CVE-2026-84869를 기악용 취약점(KEV) 목록에 긴급 등록한 바 있다.
단순 패치 적용과 능동적 세션 운영 관리의 방어 경계 대조
- • CVE-2026-84869 익스플로잇을 통한 파일 전송 차단
- • 엔지니어 단말 탈취 시정상 명령 실행 방어 불가
- • .ASPXAUTH 쿠키 탈취를 통한 관리자 사칭 잔존
- • 원격 파일 실행 원천 봉쇄
- • 세션-단말 IP 엄격 바인딩으로 토큰 유출 무력화
- • 전용 전진기지(점프박스) 경유로 엔지니어 PC 격리
단기 리스크 차단 및 중장기 세션 아키텍처 재설계
조직 내에 ScreenConnect를 운영 중인 엔터프라이즈 및 IT 서비스 제공업체(MSP)는 즉각적인 시스템 감사와 중장기 아키텍처 격리 조치를 이행해야 한다.
1단계: 침해 사고 전수 점검 및 즉각 차단 조치
- 에이전트 서비스 중복 등록 여부 확인: 레지스트리 및 서비스 목록을 점검하여 기본 설치 경로 외에 추가 생성된 ScreenConnect 인스턴스가 있는지 확인한다. 파워셸 명령어로 실행된
SilentForceInstall-WithUninstall.ps1의 흔적을 감사한다. - 방화벽 및 DNS 로그 차단: 침해 지표로 식별된 도메인(
ns.mo7sen[.]dev) 및 비인가 IP 대역으로의 아웃바운드 요청을 경계 방화벽에서 즉시 드롭한다. - 모든 활성 운영자 세션 강제 만료: 현재 인증되어 유지 중인 모든 엔지니어의
.ASPXAUTH세션을 관리 콘솔에서 일괄 초기화한다. 공격자가 이미 탈취했을 수 있는 유효 쿠키를 무력화하기 위해 관리자 계정 암호를 변경하고 MFA 등록을 재수행한다.
2단계: 운영 엔지니어 단말 격리 및 세션 유효성 통제
- 조사 전용 샌드박스 점프박스 도입: 감염 의심 단말에 접속할 때 엔지니어의 일상 업무용 PC를 직접 연결하지 않는다. 모든 분석과 문제 해결 작업은 전용 점프박스(Bastion Host) 또는 휘발성 가상머신(VDI) 환경 내에서만 수행하도록 절차를 강제한다.
- 세션 쿠키 유효 범위 제약: ScreenConnect 관리자 인증 시 IP 바인딩 옵션을 켜서 토큰이 외부에서 재사용되지 못하도록 막는다. 유휴 세션 타임아웃을 최소치로 구성하여 브라우저 메모리에 유효한 인증 쿠키가 잔류하는 시간을 줄인다.
- Run Command 기능 권한 재배치: 원격 제어 시스템 내 일괄 명령 실행 권한을 최소화한다. 스크립트 배포 시 복수 관리자의 승인을 요구하는 이중 통제 정책을 적용하여, 단일 엔지니어 계정이 탈취되더라도 고객사 전체로 악성 페이로드가 유포되는 사고를 방어해야 한다.