[Threat Analysis] APT 공격, 어떻게 이루어졌나
보안 분야 많은 전문가들이 올 하반기 최대 보안 위협으로 손꼽고 있는 것이 바로 APT(Advanced Persistent Threat)이다. APT는 경제적이거나 정치적인 목적을 위해 지속적으로 특정 대상에게 보안 위협을 가하는 일련의 행위를 의미한다. 올해 발생한 보안 위협 가운데 APT 형태를 띤 대표적인 사례가 ‘나이트 드래곤’과 ‘RSA 침해 사례’이다. 이 두 가지 사례를 통해 ‘APT’가 어떠한 공격인지 가늠해 보자.
글로벌 에너지 업체를 노린 ‘나이트 드래곤’
미국 월스트리는 저널은 2011년 2월 10일(현지 시각) ‘Oil Firms Hit by Hackers From China, Report Says’ 기사를 통해 글로벌 에너지 업체들을 대상으로 한 악성코드를 이용한 보안 위협이 발생했다고 공개했다. 이 보안 위협은 미국 보안 업체 맥아피(McAfee)에 의해 발견되었으며 나이트 드래곤(Night Dragon)으로 명명되었다.
이 기사에 따르면 나이트 드래곤 보안 위협은 2009년 11월 무렵부터 최소 1년 이상 카자흐스탄, 그리스, 대만과 미국에 위치한 글로벌 오일, 가스 및 석유 화학 제품 업체들을 대상으로 조직적인 보안 위협이 진행된 것으로 알려졌다.
나이트 드래곤 보안 위협은 웹 서버 해킹, 악성코드 제작 및 유포 그리고 다양한 시스템 해킹 툴이 사용되었으며 맥아피에서 공개한 [그림1]과 같은 형태로 공격이 진행되었다.
[그림 1] 나이트 드래곤 공격 구조 출처: 맥아피
맥아피에서 설명한 나이트 드래곤 보안 위협을 정리하면 다음과 같은 순서로 진행되었다.
1. 인터넷에 존재하는 취약한 웹 서버들을 대상으로 SQL 인젝션(Injection) 공격을 통해 해킹 후 C&C(Command and Control) 서버 설치 및 악성코드 업로드
2. 공격 대상 기업들의 임직원들을 대상으로 타깃 공격(Targeted Spear-phishing Attack)을 수행하여 해킹한 웹 서버에서 악성코드를 다운로드 후 감염
3. 악성코드에 감염된 공격 대상 기업 임직원들의 노트북 또는 시스템들을 이용해 기업 내부 네트워크로 접속 시도
4. 접속한 기업 내부 네트워크에서 다양한 해킹 툴들을 이용해 기업 내부 다른 중요 시스템들의 사용자 계정 및 비밀번호 획득
5. 해킹된 기업 내부 시스템들의 인터넷 익스플로러(Internet Explorer) 프록시(Proxy) 설정 옵션을 해제하여 C&C 서버와 직접 통신
6. 기업 내부 네트워크 및 중요 시스템에 존재하는 내부 기밀 문건 및 관련 정보 탈취
나이트 드래곤 보안 위협과 같은 APT 형태의 보안 위협에 대응하기 위해서 기업 보안 담당자들은 기업 내부 네트워크에서 발생하는 이상 징후를 주의 깊게 관찰할 필요가 있다.
그리고 타깃 공격으로 인해 기업 임직원들이 보안 위협에 노출되지 않도록 사회 공학(Social Engineering) 기법을 기반으로 한 공격에 대한 보안 인식 교육을 주기적으로 진행해야 한다.
보안 암호 기술 업체인 ‘RSA 공격’
3월 18일 국내외 언론사들을 통해 암호화 기술 개발 및 OTP(One Time Password) 제품 개발 및 판매를 하는 EMC/RSA 보안 사업 본부가 외부 침입으로 인해 2 팩터 인증(2 Factor Authentication) 관련 정보들이 외부로 유출되었다는 사실이 공개되었다.
이와 함께 RSA에서는 "Open Letter to RSA Customers"를 해당 업체 웹 사이트에 게시를 하고 RSA 내부에서 발생한 침해 사고에 대한 관련 사항들을 전달함과 동시에 해당 기술이 도입된 제품들을 사용하는 고객들에게 주의를 당부했다.
RSA에서 발생한 침해사고는 APT(Advanced Persistent Threat) 형태의 보안 위협으로 알려졌다. 4월 1일 RSA에서는 해당 웹 사이트에 "Anatomy of an Attack"이라는 글을 게시하고 RSA에서 발생한 침해 사고가 어떠한 형태이며 어떠한 방법으로 제품 관련 정보들이 외부로 유출되었는지 비교적 자세히 밝히고 있다.
이 글을 통해 RSA에서는 아래와 같은 이미지를 공개했으며 어떠한 방식과 절차로 내부 정보가 유출되었는지 공개했다.
[그림 2] RSA 공격 진행 과정 출처: RSA
RSA에서 설명한 해당 침해 사고를 정리하면 다음과 같은 순서로 진행 되었다.
1. 이틀 간격으로 "2011 Recruitment Plan" 제목의 메일을 서로 다른 팀에 소속된 직원들에게 발송. 타깃이 된 직원들의 개인 정보는 소셜 네트워크 서비스(Social Network Service)를 이용해 수집
2. 해당 메일에는 "2011 Recruitment plan.xls" 라는 첨부 파일이 존재하였으며 해당 파일은 3월 15일 공개되었던 어도비(Adobe) 플래쉬 플레이어(Flash Player)의 제로 데이(Zero Day, 0-Day) 취약점(CVE-2011-0609)을 악용한 SWF 파일 존재
3. 해당 취약점을 악용해 Poison Ivy(원격 제어 형태의 트로이목마) 악성코드 감염
4. 감염된 시스템을 악용하여 내부 네트워크로 접속 후 목표 시스템의 관리자 권한으로 권한 상승
5. 목표 시스템의 데이터들을 다른 시스템으로 복사 후 압축 및 암호화
6. 압축 및 암호화한 데이터들을 다시 RAR로 암호 설정 압축하여 FTP를 이용해 외부에 존재하는 해킹된 제 3의 시스템으로 전송
RSA의 침해 사고를 정리하면 결국 소셜 네트워크 서비스를 이용해 공격 목표에 대한 사전 정보 수집, 사회 공학 기법을 이용해 공격 목표의 악성 코드 감염 그리고 범용적인 소프트웨어의 알려지지 않은 제로데이 취약점 등 이 3 가지 요건들이 주요하게 결합된 형태의 APT 보안 위협으로 볼 수 있다.
그러므로 기업의 보안 관리자 또는 보안을 전담하는 조직에서는 기업 임직원들을 대상으로 사회 공학 기법을 악용한 공격 형태에 대한 주기적인 보안 인식 교육을 제공하고, 기업 내부 네트워크 및 주요 시스템에서 발생하는 이상 징후들을 평소 주의 깊게 관찰해야만 된다.
그리고 다양한 형태의 보안 위협으로 인한 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 전에 주의를 하는 것이 중요하다.
|
1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오피스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.
|
지금까지 APT의 대표적인 사례인 나이트 드래곤과 RSA 침해 사고에 대해 살펴보았다. APT가 특정 대상을 상대로 한 타깃 공격을 펼치기 때문에 해당 피해 기업의 공개 없이는 실체를 파악하기가 힘들다. 또한 IT 인프라와 관련된 모든 기술을 다양하게 사용하기 때문에 공격 자체가 대단히 위력적이다. 이를 방어하기 위해서는 APT 형태의 보안 위협에 대한 이해를 바탕으로 수립된 다층적인 정보 보호 프로세스가 반드시 필요하다.@
- 안철수연구소
