[Threat Analysis] 보안 위협, 대담한 범죄 경향이 뚜렷해졌다

2011년 상반기 10대 보안 위협 트렌드

안철수연구소가 ‘2011년 상반기 10대 보안 위협 트렌드’를 발표했다. 올해 상반기 주요 이슈는 ▶기업 대상 악의적 해킹 시도 증가 ▶더욱 대담해진 온라인 뱅킹 해킹 ▶모바일 악성코드 기승 ▶SNS로 유포되는 악성코드 급증 ▶진짜 백신으로 위장한 가짜 백신 등장 ▶윈도우 시스템 파일을 패치하는 악성코드 증가 ▶악성코드 첨부 메일 증가 ▶웹 애플리케이션 취약점 악용한 악성코드 증가 ▶맥 OS 겨냥한 악성코드 본격화 ▶온라인 게임 해킹 툴 기법 지능화 등이다. 각 이슈에 대해 자세히 살펴보자.

1. 기업들을 대상으로 한 악의적인 해킹 시도 증가

2011년 상반기에는 기업을 대상으로 한 악의적인 해킹 시도가 증가했다. 글로벌 에너지 업체의 기밀 정보를 탈취하려는 나이트드래곤(Night Dragon) 위협, EMC/RSA에서 발생한 OTP(One Time Password) 관련 기업 기밀 위협 등이 대표적이다.

국내에서도 현대캐피탈과 농협을 대상으로 한 악의적인 해킹이 언론을 통해 알려져 사회적인 큰 문제가 제기되었다.

이러한 기업 대상의 해킹 시도는 그 피해가 과거에 비해 매우 크다. 또한 금전적인 댓가 이외에도 자신들의 주장을 관철시키기 위해 해킹을 시도하는 핵티비즘(Hacktivism)적인 성격으로까지 다양화되고 있다는 것이 특징이다.

2. 더욱 대담해진 온라인 뱅킹 해킹

온라인 뱅킹(Online Banking) 중에 전송되는 금융 정보를 탈취하는 악성코드는 올해도 지속적으로
발견되고 있다. 이는 단순한 악성코드 제작 형태 중 하나라기 보다는 금전을 목적으로 한 심각한 사이버 범죄의 형태로 발전하고 있다. 

국내의 경우 3월 온라인 뱅킹을 지원하는 농협 웹 사이트와 동일하게 만들어진 피싱 웹 사이트가 발견되었다. 해당 피싱 웹 사이트는 실제 웹 사이트와 유사한 명칭의 도메인을 사용하였으며, 로그인 시에는 온라인 뱅킹에 필요한 대부분의 정보를 입력하도록 유도하고 있다. 그리고 5월 온라인 뱅킹을 지원하는 국내 대부분의 은행 웹 사이트들을 대상으로 한 뱅커(Banker) 트로이목마가 발견되었다. 뱅커는 온라인 뱅킹 시에 사용되는 금융 정보들을 외부로 유출하여 탈취한 금융 정보를 악용할 목적으로 제작되었다.

그 외에 해외에서는 2010년에도 많은 금융 보안 사고를 유발하였던 제우스(Zeus) 트로이목마 변형들의 제작이 가능한 소스코드가 5월 유출되었다.

악성코드 제작이 이제 온라인 게임에서 사용하는 아이템 탈취를 통해 현금화하는 방식에서 탈피하여 실질적인 금전 탈취가 가능한 온라인 뱅킹을 대상으로 제작되는 사이버 범죄의 성격을 띠고 있다. 따라서 온라인 뱅킹을 자주 이용하는 PC에서는 좀더 세밀한 보안 설정과 관리가 필요하다. 또한 온라인 뱅킹에 사용되는 암호는 주기적으로 변경함과 동시에 공인 인증서 관리에 특별한 주의를 기울여야 한다.

3. 모바일 악성코드의 급격한 증가

올해 상반기 안드로이드(Android)용 악성코드가 급증했다.
3월에는 사용자 모르게 강제로 루트(Root) 권한을 획득하는 루팅(Rooting)을 수행하는 Zft, 5월에는 사용자의 통화목록과 문자 내역 그리고 웹 사이트 방문 기록 등을 탈취하는 키드로거(KidLogger)가 발견되었다. 그리고 6월에는 악성코드 제작자에 의해 안드로이드 스마트폰을 원격에서 제어할 수 있는 드로이드쿵후(DroidKungFu)도 발견되었다.

이 밖에 탈옥(Jail Break)한 아이폰(iPhone)과 아이패드(iPad)에 설치되어 사용자의 키보드 입력을 가로채는 기능을 수행하는 상용 키로거(Keylogger) 앱(App)도 나타났다.
올해 상반기부터 급격하게 발견되기 시작한 안드로이드 모바일 악성코드는 감염 기법과 동작 방식이 점차 PC용 악성코드와 유사해져 향후 더 심각한 보안 위협이 될 것으로 예측된다.

4. 고도화된 사회 공학 기법으로 소셜 네트워크에서 악성코드 유포

올해부터 본격적으로 SNS(소셜 네트워크 서비스)가 악성코드 유포 경로로 악용되기 시작했다. 많은 사람의 주목을 끌어야 하는 만큼 당연히 사회적 이슈를 이용한 사회공학기법(Social Engineering)이 사용됐다. 일본 대지진 관련 기사나 빈 라덴 사망 관련 동영상을 위장한 사례가 대표적이다.

인적 네트워크를 구축하기 위해 많은 사람들이 이용하는 소셜 네트워크 서비스는 근본적인 구조가 사람들의 신뢰에 있다는 점으로 인해 사회공학기법을 악용한 악성코드와 피싱(Phishing) 같은 보안 위협들에 쉽게 노출 될 수 있다. 따라서 소셜 네트워크 서비스로 전달되는 새로운 사회적인 이슈들이 보안 위협일 수도 있다는 보안 인식이 필요하다.

5. 정상 백신으로 위장한 허위 백신 기승

올해 상반기에도 허위 감염 결과를 보여주고 금전 결제 또는 금융 정보 탈취를 노리는 허위 백신들을 설치하는 악성코드는 지속적으로 유포되었다. 특히, 그 감염 기법과 형태 역시 과거와 다른 새로운 감염 방식들을 이용하고 있다.

1월 해외 유명 백신 중 하나인 AVG와 동일한 사용자 인터페이스와 아이콘을 그대로 도용한 허위 백신이 발견되었다. 또한 4월에는 비트디펜더(BitDefender)의 사용자 인터페이스와 아이콘을 그대로 도용한 허위 백신이 나타났다. 

유포 방식에 있어서도 검색 엔진에서 특정 단어로 검색한 이미지 파일을 클릭하게 될 경우 허위 백신을 설치하는 웹 사이트로 접속을 유도하는 새로운 방식의 블랙햇 SEO 기법을 사용했다. 허위 백신들은 이 기법을 이용해 최대한 많은 PC들을 감염시키고, 정상 백신의 사용자 인터페이스를 도용함으로써 PC 사용자들에게 허위 진단 결과를 신뢰할 수 있는 정보임으로 오인하도록 유도했다.

 

6. 윈도우 시스템 파일을 패치하는 악성코드 증가

2011년 상반기에 유포된 악성코드 중 윈도우 운영체제에 존재하는 정상 시스템 파일을 악의적 목적으로 패치(Patch)하거나 변경하는 악성코드가 급증했다. 윈도우 시스템 파일(imm32.dll, ksuser.dll, midimap.dll, comres.dll 등)을 패치하여 다른 악성코드를 감염시키거나 특정 온라인 게임의 사용자 정보를 탈취하는 악성코드가 다수 발견됐다. 일부 악성코드는 윈도우 시스템 파일뿐 아니라 백신이 사용하는 파일을 삭제 또는 변조하거나 윈도우 서비스를 강제 종료하는 등 보안 제품의 작동을 방해하기도 한다. 이런 유형은 악성코드를 삭제할 경우 시스템 자체를 손상시키므로, 백신의 진단/치료를 어렵게 하려는 목적으로 제작되었다고 볼 수 있다.

7. 악성코드를 첨부하여 악의적인 목적으로 유포된 메일 증가

악성코드를 첨부한 메일의 유포가 올해 2분기를 기점으로 다시 증가했다.
페이스북에서 발송하는 메일로 위장한 사례, UPS나 페덱스(FedEx)와 같은 택배 운송 업체의 메일로 위장한 사례가 대표적이다. 인터넷 쇼핑몰 주문 확인, 신용카드 한도 초과 안내 메일로 위장한 사례도 발견됐다.
이렇게 유포되는 악성코드들 대부분이 해외에서 제작된 허위 백신들을 감염시키기 위해 목적으로 유포되고 있다. 특히 상반기에 발견된 악성코드가 첨부된 악의적인 메일들의 형태는 인터넷의 발달로 인해 많은 사람들이 이용하는 온라인 서비스와 관련된 메일들로 위장한 점을 특징으로 볼 수가 있다.

8. 웹 애플리케이션 취약점을 악용한 악성코드 유포 증가

2011년 상반기 악성코드에 의해 악용되었던 취약점들 대부분이 웹 서비스를 이용하기 위해 사용되는 애플리케이션들과 관련되어 있다. 이로 인해 단 기간에 많은 PC들이 악성코드에 감염될 수 있었으며, 특히 2분기에는 보안 패치가 제공되기 전에 발견된 제로 데이(Zero Day) 취약점들 모두가 어도비(Adobe)에서 개발한 플래시 플레이어(Flash Player)에서 발견되었다.

1분기 악성코드에 의해 악용되었던 취약점들은 1월 인터넷 익스플로러(Internet Explorer)의 MS11-003, 2월 윈도우 운영체제와 관련된 MS11-006 취약점과 3월 어도비 플래시 플레이어 취약점인 CVE-2011-0609이 발견되었다.
그러나 2분기에 접어들면서 3월에 발견되었던 어도비 플래시 플레이어 CVE-2011-0609 취약점이 4월에는 PDF 형태로 다시 발견되었으며, 다시 4월에는 어도비 플래시 플레이어의 새로운 CVE-2011-0611 취약점이 발견되고 PDF 형태로도 악용되었다. 그리고 6월에는 또 다른 어도비 플래시 플레이어의 CVE-2011-2110 취약점과 함께 인터넷 익스플로러의 MS11-050 취약점이 악성코드 유포에 악용되었다.

2011년 상반기에는 어도비 플래시 플레이어에 존재하는 취약점들이 특히나 많이 악용되었으며, 해당 취약점들의 악용은 결국 온라인 게임의 사용자 정보를 탈취하는 악성코드들과 함께 윈도우 시스템 파일들을 패치하는 악성코드의 증가라는 악순환을 만들어내고 있다.

그러므로 마이크로소프트(Microsoft)에서 제공하는 보안 패치 외에도 어도비에서 제공하는 보안 패치들에도 관심을 갖고 주기적으로 설치하는 것만이 악성코드 감염을 예방 할 수 있는 근본적인 대응책이라고 할 수 있다.

9. 맥 운영체제를 감염 대상으로 하는 악성코드 증가

현재 발견되고 있는 대부분의 악성코드들이 마이크로소프트에서 개발한 윈도우 운영체제에서 감염되도록 제작되어 있다. 그러나 아이폰과 아이패드 사용자들이 늘어나면서 맥(Mac) 운영체제를 감염대상으로 하는 악성코드도 동반해서 증가하고 있다.

5월 맥 운영체제를 감염 대상으로 허위 백신을 설치하는 악성코드인 맥디펜더(MacDefender)가 다수 발견되었다. 특히 해당 악성코드들은 소셜 네트워크 서비스 중 하나인 트위터를 통해 맥 운영체제 사용자들이 관심을 가질만한 내용으로 위장해 유포되었으며, 윈도우 운영체제에 감염되는 허위 백신들과 동일하게 시스템 전체를 검사하는 듯한 허위 내용과 함께 허위 감염 결과를 보여주는 방식을 가지고 있다.

맥 운영체제에서 동작하는 악성코드 변형들의 유포가 증가하고 있으므로 애플에서 제공하는 보안 패치의 주기적 설치와 함께 맥 운영체제 사용자 역시 악성코드 감염으로부터 주의를 기울일 필요가 있다.

10. 온라인 게임 해킹 툴 기법 지능화

온라인 게임 해킹 분야에 있어서는 비정상적인 방법으로 메모리, 게임 파일, 서버 등에 접근하여 데이터 등을 변조함으로써 게임 플레이를 불공정하게 이끄는 새로운 방식이 많이 적용되는 추세이다. 메모리 조작은 코드 조작에서 데이터 메모리 조작으로, 오토플레이는 키보드/마우스 관련 함수를 이용하는 방식에서 게임의 특정 기능을 수행하는 함수를 직접 호출해 오토플레이를 구현하는 방식으로 변화했다.

한편, 온라인 게임 해킹 툴은 작년 상반기에 1,068개가 발견된 데 비해 올해 상반기에는 총 4050개로 약 300% 늘어났다. 해킹 유형 별로는 메모리 조작이 2,575개로 비중이 가장 높고 오토플레이는 1,274개로 집계됐다. @