[Special Report] 2부 : 보안 위협 / 2012년 ‘더욱 교활하고 정교해진다’

1부 : 보안 위협 / 2011년 보안 사고 APT가 장악하다 2부 : 보안 위협 / 2012년 ‘더욱 교활하고 정교해진다’ 3부 : 네트워크 보안 / 다각화된 보안 이슈에 물 샐 틈 없이 대비하라  4부 : 보안 컨설팅 / 패러다임 변화의 중심에 서다  5부 : 침해사고 / 안티포렌식 기반의 지능형 공격을 경계하라

 

2012년은 정치, 경제 그리고 사회적으로 특히 이슈가 많은 해이다. 따라서 사회 공학 기법을 이용해 사용자로 하여금 메일에 첨부된 파일 또는 웹 브라우저 링크 클릭에 대한 호기심을 유발한 형태의 공격들을 충분히 예상할 수 있다.

앞으로의 사이버 공격은 한층 교활하고 정교해질 것으로 예측된다. 첨부 파일보다는 지역적 특성을 고려한 대중적인 프로그램들에 대한 취약점 공격이 많아질 것이며, 급격한 국내외 정세에 발맞추어 악성코드는 사이버 무기화될 수도 있을 것이다. 그 사례는 이미 스턱스넷(Stuxnet)과 듀큐(Duqu)에 의해 알려졌다. 이러한 악성코드 감염 기법으로는 지능형 타깃 위협(APT)이 사용됐으며 2012년에도 이 공격은 은밀하게, 그리고 광범위하게 발생할 가능성이 높다. 또한 여기에 사용되는 악성코드는 알려진 RAT(Remote Administration Tool) 도구뿐만 아니라 아주 제한적으로만 제작∙동작하는 맞춤형 악성코드가 사용될 가능성이 높아 보인다.

2012년 기업의 보안을 위협할 요인들을 미리 점검해본다.

 

>>2012년 전망

1) APT 공격의 꾸준한 증가

2011년 APT 형태의 공격들이 다수 발생한 데 이어 2012년에도 이러한 형태의 공격은 지속될 것으로 예상된다.

APT 형태의 주된 공격 대상은 소셜 네트워크 서비스 등으로 수집된 개인정보들을 이용하여 목표한 기업이나 단체의 특정 구성원을 대상으로 업무 메일 등으로 위장하는 방식으로 내부 침투를 시도한다. 그러나, 우리나라의 경우 일반적으로 널리 사용되는 소프트웨어의 업데이트 관련 파일들의 변조를 통해 다수의 목표 대상 기업의 직원들이나 특정 산업군에 대한 넓은 범위에서의 공격도 이뤄지고 있다.

이메일로 신뢰할 수 있는 사람으로 위장한 후 취약점이 포함된 전자 문서를 통해 악성코드 감염을 시도하거나, 웹 브라우저의 취약점이 존재하는 웹 사이트로 접속을 유도하는 링크를 본문에 삽입해 악성코드 감염을 시도하는 공격 방식 역시 지속적으로 발견될 것으로 예측된다. 그리고 이러한 기본적인 공격 방식 외에도 기업이나 조직 내부로 상대적으로 반입이 자유로운 스마트폰이나 보안 관리가 어려운 기술 지원 업체의 장비 및 소프트웨어 등을 이용한 내부 침입도 발생할 것으로 예상된다.

 

 

2) 금전적 이윤 획득을 목표로 하는 모바일 악성코드 증가

최근 스마트폰 시장에서 안드로이드 운영체제의 점유율이 증가함에 따라 향후에도 안드로이드 운영체제를 대상으로 한 악성코드가 지속적으로 증가할 것으로 예상된다.

 

2010년이 안드로이드 악성코드 제작과 유포의 가능성에 중점을 두어 제작된 해였다면, 2011년에는 프리미엄 SMS라는 결제 방식을 통해 악성코드 감염으로 금전적 이윤을 획득할 수 있는 방법들을 발견함으로써 대량으로 제작됐던 시기라고 할 수 있다.

금전적 이윤을 획득하기 위한 방법들이 발견되자 안드로이드 악성코드들이 대량으로 제작됨과 동시에 감염의 효율성을 높이기 위해 과거 일반 윈도우 시스템을 대상으로 퍼졌던 악성코드들의 감염 기법들이 자연스럽게 사용되는 현상들이 발생할 것으로 예측된다.

이러한 감염 기법들로는 스마트폰 내부에서 자신을 숨기기 위한 은폐 기법과 안드로이드 운영체제에 존재하는 취약점을 악용한 루트 권한 탈취를 들 수 있다. 그리고, 사회 공학 기법을 악용해 웹 사이트를 통해 안드로이드 악성코드를 다운로드하도록 유도하거나 모바일 웹 브라우저에 존재하는 취약점을 활용해 안드로이드 악성코드가 자동으로 감염되는 기법들이 발생할 것으로 예측된다. 이외에도 금전적 이윤 획득을 위해 안드로이드 스마트폰에 설치된 인터넷 뱅킹 앱이나 온라인 쇼핑 관련 앱 등에서 개인 금융 정보나 신용카드 정보들을 탈취하는 기법에 대해서도 주의를 기울여야 할 것이다.

 

 

3) SNS 통한 보안 위협 증가

소셜 네트워크 서비스(SNS, Social Network Service)는 잘 구축된 서비스 인프라를 이용해 자신의 생각이나 정보를 전 세계 사람들과 빠르게 공유하고 의견 교환 및 소통의 창구로 사용할 수 있기 때문에 전 세계적으로 선풍적인 인기를 끌고 있다. SNS가 우리 생활에 끼치는 영향은 매우 크다고 할 수 있다. 따라서 SNS를 악용한 사례도 점차 늘고 있다.

SNS에서 글자 수의 제한을 극복하기 위해서 사용되는 단축 URL(URL Shortening)은 원본 URL이 함축돼 상대방에게 보여지기 때문에 악성코드 다운로드 및 실행을 유도하거나 피싱(Phishing) 사이트로 연결하여 개인정보를 탈취할 수 있다.

2012년에도 2011년과 마찬가지로 SNS의 악용 사례들이 SNS 사용자들을 끊임없이 괴롭힐 것이고 SNS 단축 URL 서비스의 악용 사례와 함께 APT 공격이 결합된 형태도 발생할 수 있을 것으로 예상된다.

 

 

4) 사이버 범죄와 핵티비즘 활동의 증가

핵티비즘(Hacktivism)은 정치적인 또는 사회적인 목적을 이루기 위해 시스템들을 해킹하거나 분산 서비스 거부(DDoS, Distributed Denial-of-Service) 공격을 시도하는 행위들이다. 이러한 핵티비즘 활동의 대표적인 조직으로는 2011년 자신들의 정치적인 견해를 밝히기 위해 많은 시스템들을 해킹했던 어노니머스(Anonymous)를 들 수 있다.

이러한 핵티비즘 활동은 2012년에는 특히 많이 발생할 것으로 예측된다. 2012년에는 우리나라의 대통령 및 국회의원 선거와 함께 미국의 대통령 선거, 러시아의 대통령 선거 등 전 세계적으로 이슈가 될 가능성이 높은 정치적인 활동들이 다수 예정돼 있다. 이를 자신의 정치적인 견해나 의사를 표출하기 위한 수단으로 활용하기 위해 웹 사이트 해킹이나 DDoS 공격을 이용하는 핵티비즘 활동들이 자주 발생할 것으로 예측할 수 있다. 이러한 공격들에 의해 직•간접적으로 국가 기관이 개입함으로써 국가 간 사이버 전으로 확대되는 상황이 발생할 수도 있다.

2011년에 발생한 APT 형태의 공격 방식과 기법 등을 보았을 때, 2012년에는 블랙 마켓(Black Market)을 통한 공개적인 금전 거래 형태에서 벗어나 주문형 제작 방식으로 취약점과 악성코드들을 판매하고 유지 보수를 위한 관리 서비스를 제공하는 소프트웨어 판매 서비스 형태의 방식으로 심화될 것으로 예측된다.

 
5) 클라우드와 가상화 환경에 대한 공격 본격화

최근에는 가상화 기술을 기반으로 대용량의 신속하고 효율적인 비즈니스 모델을 창출하려는 기업들이 증가하고 있다. 해외의 아마존(Amazon) 클라우드(Cloud) 서비스와 같이 국내 기업에서도 다양한 가상화 및 클라우드 서비스를 본격적으로 시작했고, 금융권을 비롯한 SMB(Small Medium Business) 업체까지 비용 절감과 관리의 효율성을 위해 가상 환경을 적극적으로 적용해가는 분위기이다. 그러나 가상화와 클라우드 서비스는 자원 활용의 극대화라는 장점을 제공하지만, 해당 서비스들이 악용될 경우에는 또 하나의 보안 위협이 될 수 있다.

2011년에는 대표적인 가상화 제품군인 VM웨어와 시트릭스와 관련된 보안 취약점들도 자주 발표되었으며, 실제 금융 정보 탈취를 위한 스파이아이(SpyEye) 악성코드가 아마존 클라우드 서비스를 악용해 배포됐던 사례도 있었다.

기존 시스템들과 달리 가상화 환경에서는 하나의 물리적인 자원 영역이 통합 사용됨으로써 해당 시스템이 공격받을 경우, 다수의 가상 시스템들에 대한 서비스 거부 상태를 일으키거나 접근 및 통제에 대한 권한이 탈취될 수 있다. 그리고, 잘 구축된 가상 시스템들을 악용하면 손쉽게 C&C(Command and Control) 서버와 대량의 좀비 PC를 양산할 수 있어 공격자들에게는 매력적인 공격 목표가 될 것이다.

따라서, 2012년에는 가상화 및 클라우드 서비스의 본격화와 발맞추어 다양한 공격들이 시도될 것으로 예상된다.

 

 

6) 네트워크로 연결 가능한 임베디드 시스템에 대한 공격 시도

국내에 최초의 안드로이드폰이 선보인 지 2년이 지났다. 안드로이드폰과 아이폰은 국내에서 스마트폰의 견인차 역할을 해왔으며, 작은 기기 안에서 컴퓨터를 대체할 만큼의 많은 일들이 일어났다. 이러한 기기들의 공통점은 언제든지 네트워크에 연결돼 있다는 점이며, 이것은 사용자의 작은 손바닥을 벗어나 주변의 다른 기기들에까지 영향을 미치게 될 것이다. 이러한 네트워크에 연결되는 임베디드 소프트웨어가 탑재된 기기들에 대한 보안 위협이 더욱 늘어날 것으로 예측된다.

특히 가전제품과 자동차, 의료기기 등에 탑재되는 임베디드 소프트웨어에 있어 보안 문제는 재산은 물론이고 생명을 위협할 수 있는 치명적인 결과로 직결될 수 있다. 그리고 점점 많은 기기들이 인터넷에 연결될 수 있는 기능을 가지고 출시되지만 정작 설계와 개발의 단계에서 보안이 충분히 고려되는 지는 의문이다. 특히 가전제품들의 경우 교체주기가 다른 기기들과 비교해 상대적으로 긴 편이고, 실생활에 밀접하게 연관되어 사용되므로 지속적인 공격에 노출될 가능성이 높다.

실제 일본에서 인터넷 접속이 가능한 DVD 리코더(Recorder)가 프록시(Proxy)로 동작하여 해커들이 이를 악용한 공격 사례가 있었다.

단순 반복 작업만을 담당했던 임베디드 시스템들이 네트워크에 연결되면서 의도하지 않았던 해킹 또는 서비스 거부 공격 등을 받을 가능성이 점차 늘고 있다. 네트워크로 연결 가능한 임베디드 시스템들에 대한 공격 시도는 2012년도부터 본격화될 구글과 애플에서 출시할 스마트 TV와 스마트 가전제품들이 증가함에 따라 그 가능성이 점점 증가할 것으로 예측된다.@