[Special Report] 끝 모르는 사이버 공격 ‘다양화•고도화•가속화’

2013년 보안 위협 동향_공격도, 방어도 ‘업그레이드’

    1. 대규모 APT 보안 사고 ‘동시다발적 피해’

2013년 3월 20일 금융사와 방송사를 대상으로 한 대규모 공격(안랩 진단명 Trojan/Win32(64).XwDoor), 석 달 뒤인 6월 25일 정부와 공공기관에 대한 DDoS 공격(안랩 진단명 Trojan/Win32(64).Ddkr)은 사회적으로 큰 파장을 일으킨 보안 사고였다. 이 공격들은 좀비 PC를 이용했던 지난 2009년 7·7 DDoS나 2011년 3·4 DDoS와는 달리, APT 유형의 공격이 국내 기반 시설에 동시다발적 피해를 준 사례로 꼽힌다.

이전에는 불특정 다수에 대한 무차별적인 악성코드의 유포 형태가 많았다. 하지만 최근에는 특정 프로그램의 업데이트 기능 취약점, 웹 취약점, 스피어피싱 이메일, 혹은 장시간 분석을 통한 내부 인프라 공격 등의 기법이 활용되고 있다.

특히 2013년 6월 25일 공격은, 3월 20일 공격 이후 취해진 민관 합동 조사단과 보안 업체의 조치에 대응하여 MBR 삭제 및 MBR 코드 수정, 5.3MB에서 524KB로 데이터 영역 삭제 간격의 축소, 계정 암호 변경 등 분석과 복구가 어렵도록 단기간 내 악성코드를 업그레이드하는 기민함을 보여주었다. 이 같은 APT와 안티포렌식(Anti Forensics) 혼합 공격 기법의 사용에 따라, 2013년은 디지털 포렌식(Digital Forensics) 기법과 포렌식 준비도(Forensics readiness)의 필요성이 어느 때보다 증대된 한 해였다.

2. 치밀한 APT 공격 그룹 ‘국제적 규모’

2013년 국내 APT 공격은, 특정 국가와 기관의 지원을 받아 국내 국방 기술이나 제조 관련 기업의 첨단 기술 유출을 목적으로 하는 것과 게임 소스 및 인프라 구축 기술 유출을 목적으로 하는 활동이 활발했다.

국내에서 활동 중인 APT 공격 그룹은 다음과 같은 특징을 보였다.

1)  외부 업데이트 서버 또는 서드파티 제품을 통한 내부 네트워크 침투

2)  특정 산업군에서 업무상 필요한 웹사이트를 수정하여, 해당 사이트로 접속할 때 악성코드에 감염되는 워터링홀(Watering-Hole) 기법을 사용하여 기업 다수에 동시 침투

3) 안티포렌식 기능 적용, MBR 코드 패치와 메모리에 로드된 뒤 삭제되는 기능을 갖는 악성코드를 제작해 보안 프로그램의 진단·치료 시 생존율 높임

4) 기업에서 주로 사용하는 AD(Active Directory) 서버를 공격해 도메인 간 이동, 기업 내 PC 복구를 위해 자체 제작한 복구 CD의 비활성화 처리가 되지 않은 마스터 계정과 암호, 키로거, 패스더해시(Pass The Hash) 공격 기법 등을 이용하여 탈취된 인증을 통해 내부 자원에 자유로이 접근 및 작업 수행

5) 공격을 통해 획득한 인증서를 즉각적으로 다른 기업 공격에 사용 및 공격 그룹별로 다른 악성코드 사용

6) 피해 기업의 대응에 즉각적인 반응(주요 악성코드의 기능 변경, 침해 대상 변경, 재작성된 스피어피싱 메일을 통한 침해 대상 확대)

7) 공격 대상의 내부 메일, 유출 정보 독해 및 위조할 수 있는 한국어에 능통한 인력 활용

이와 같은 APT 공격 기법을 사용하는 국제적 사이버 산업스파이 그룹은 공격 목적에 따라 국가, 군사 기관이나 범죄 집단의 지원을 받고 있는 것으로 추정되며 다국어에 대한 처리가 가능한 인력으로 구성되어 있다. 풍부한 자본과 체계적인 공격조 구성, 기술력을 바탕으로 여러 국가의 고급 정보를 유출하는 것뿐만 아니라 유출된 인증서, 침해된 서버를 이용하여 지속적인 국내외 공격을 수행하고 있다.   

3. 스미싱 모바일 악성코드 ‘폭발적 증가’

2012년 30여 건에 불과했던 스미싱 악성코드는 2013년에는 11월까지만 4868건이 확인되었다. 

초기에는 소액 결제 인증 문자를 유출하는 기능으로 시작했으나 최근에는 스마트폰에 설치된 은행 앱의 종류를 식별하고 설치된 은행 앱을 악성 앱으로 교체하는 파밍 형태가 많이 발견되고 있다. 또 보이스피싱과 결합한 악성 앱도 확인되었다. 정부와 보안 업체들은 다양한 방법을 통해 스미싱 악성코드의 피해를 예방하기 위해 노력하고 있으나, 스미싱 악성코드는 꾸준히 발견되고 있으며 스마트폰 사용자의 금전 피해도 계속해서 늘어나고 있다.

4. 관리자 계정 정보를 직접 노리는 악성코드 변형 확산

2013년 초부터 발견된 특정 사이트들의 ‘관리자 계정 정보 탈취 악성코드’의 변형이 IE(Internet Explorer) 제로데이 취약점(CVE-2013-3897)을 이용하여 급속히 국내에 유포되었다. 해당 보안 취약점에 대한 패치가 10월에 발표되었으니 상당히 많은 시스템이 감염된 것으로 추정되고 있다.

확인된 바로는, 국내 특정 CDN(Contents Delivery Network) 업체를 통해서 운영 중인 일부 웹사이트들이 악성코드 배포지로 악용되었다. 악성코드는 취약점 셸 코드부터 백신 무력화 증상이 나타나는데, 이후 다운로드되는 악성코드에도 같은 기능이 존재하여 감염된 시스템에 설치된 보안 프로그램을 무장해제한다.

변형에 따라서 탈취하려는 관리자 계정의 웹사이트 목록은 다르지만, 2013년 10월에 마지막으로 확인된 변형은 무려 95곳의 웹사이트 관리자 계정을 노렸다. 여기에는 언론사와 기업들이 다수 포함되어 있었다. 탈취된 계정을 이용하여 서버를 장악하면 기업 내부에 침투하거나 민감한 정보를 훔쳐낼 수도 있으며, 해당 웹사이트를 악성코드 유포지나 경유지로도 사용할 수 있다.

이 악성코드는 DDoS 증상을 유발하는 것도 확인되었는데, 내부에 존재하는 관리자 계정 탈취 웹사이트와 별도의 특정 도메인들(2013년 10월 발견 변형 기준 19곳)에 대하여 차례로 파일 다운로드 및 실행 기능을 수행하였다. 그러나 실제 파일이 존재하지 않는 경우가 대부분이었고 이는 웹 서버에 부하를 발생시키는 DDoS 증상을 유발하였다.   

5. 국지화되는 소프트웨어 취약점 악용’

악성코드는 교회, 학교, 관공서, 호텔, 택배, 웹하드 등 일상생활에서 손쉽게 접근하는 다수의 국내 웹사이트들에서 더욱 기승을 부렸다.

특히, 어도비(Adobe)의 플래시 플레이어(Flash Player)보다 오라클(Oracle)의 자바(Java)와 마이크로소프트(MS)의 인터넷 익스플로러(IE) 취약점을 이용하는 공격 사례가 더 많았다.

자바는 주요 제품군에 비해 상대적으로 보안 업데이트가 소홀할 수 있기 때문에 웹 공격 툴킷(Web Exploit Toolkit) 같은 경우 버전별 자바 취약점들을 골고루 활용하고 있다. 또한, IE상의 Use-After-Free 취약점은 MS의 보안 업데이트 속에서 매월 빠지지 않고 등장할 정도로 꾸준히 보고되는 취약점이다. 이와 같은 유형인 CVE-2013-3897 취약점은 제로데이 취약점으로 등장하여 대표적인 웹 공격 툴킷 ‘Chinese Kit(CK)’에 포함되어 지금도 활발하게 이용되고 있다.

이러한 웹을 통한 글로벌 제품군을 대상으로 하는 공격 사례 외에도 몇 년 전부터는 국내 소프트웨어의 취약점을 악용하는 사례가 점차 증가하고 있다. 국내의 대표적인 문서 작성 소프트웨어인 ‘아래아한글’에서 보고되는 취약점 수가 눈에 띄게 증가하였고, 스프레드시트 프로그램인 '한셀'에서도 2013년 6월에 처음으로 유사 공격 형태가 발견되었다.   

6. 인터넷 뱅킹 악성코드 ‘금전 피해 확대’

2013년 6월 발견된 온라인 게임핵(OnlineGameHack) 악성코드에서 기존에 없었던 국내 인터넷 뱅킹 사이트에 대한 정보 유출 기능이 확인되었다. 국내 감염자가 많은 온라인 게임핵 악성코드에 인터넷 뱅킹 정보 유출 기능이 추가됨으로써 금전적 피해 규모가 확대되었다.

이 악성코드에서 사용한 각 인터넷 뱅킹 사이트별 ‘보안 모듈 무력화’ 및 ‘이체 정보 변조’의 기능은 기존의 인터넷 뱅킹 악성코드에서 볼 수 없었던 새로운 기법이다.

‘보안 모듈 무력화’는 각 인터넷 뱅킹 사이트에서 사용하는 보안 모듈 중 인증서 패스워드 및 이체 정보 암호화를 담당하는 부분을 무력화하는 것으로 메모리상의 특정 코드에 대한 패치를 통해 이루어진다. 이 악성코드의 최초 발견 이후 공격 대상 보안 모듈도 지속적으로 추가되었으며, 보안 모듈이 업데이트될 때마다 변경된 코드 패턴에 맞추어 악성코드도 변경되었다.

‘이체 정보 변조’는 2013년 9월부터 새롭게 추가된 기능이다. 정상적인 계좌이체 과정 중에 ‘이체계좌번호’와 ‘이체금액’을 수정해 공격자에게 이체되도록 하였다. 이러한 공격을 위해 악성코드는 인터넷 뱅킹 사이트별로 사용하는 고유한 자바스크립트 패턴 정보를 갖고 있으며, 이 중 이체에 필요한 정보를 변조하여 공격을 시도한다. 이러한 ‘이체 정보 변조’ 공격은 은행 2곳에서만 제한적으로 이루어졌다.

이같은 새로운 공격 방식은 인터넷 뱅킹 시 지정 PC 및 OTP를 사용할 때에도 피해를 줄 수 있다. 또한, 피해를 막기 위해서는 뱅킹 사이트별로 다양한 보안 업체의 모듈들에 대한 업데이트가 필요한데, 이러한 점에서 피해 예방이 쉽지 않은 상황이다.

2가지 형태의 공격에 대한 예방을 위해서 인터넷 뱅킹 사용자는 비정상적으로 은행 거래가 종료(강제 로그아웃)된 경우, 인증서를 갱신하거나 금융기관을 통해 해당 계좌에 대한 거래 중지를 요청하고 악성코드 감염 여부를 확인하는 것이 필요하다. 또한, 이체 후에는 반드시 이체 내용을 확인하여 잘못된 계좌로 이체가 이루어졌는지 점검해야 한다.   

7. 랜섬웨어 고도화

국내에서는 아직 큰 문제가 아니지만, 여러 나라에서 랜섬웨어(Ransomeware) 피해가 발생하고 있다. 랜섬웨어는 시스템 부팅 시 암호를 요구하거나 파일을 암호화해 시스템을 정상적으로 사용하지 못하게 하고 돈을 요구하는 악성코드 종류이다.

랜섬웨어의 시초는 1989년으로 거슬러 올라간다. 1989년 12월 8일부터 12일까지 PC 사이보그사(PC Cyborg Corporation)의 ‘에이즈 정보(AIDS Information)’ 디스켓이 영국, 유럽, 아프리카, 오스트레일리아 등으로 보내졌다. 이 프로그램은 에이즈(AIDS, 후천성면역결핍증)에 대해 다루고 있다고 주장하지만 실제로는 하드디스크의 루트 디렉터리 정보를 암호화하는 트로이목마였다.

현대적 랜섬웨어는 2005년 러시아에서 발견된 Gpcode이다. 당시 랜섬웨어의 상당수는 간단한 암호화 기법을 이용해 악성코드 분석으로 복구 도구를 만들 수 있었다.

2013년 하반기 사용자 사진, 동영상, 문서 등을 암호화하는 크립토락커(cryptolocker)가 여러 나라에서 피해를 일으켰다. 감염되는 순간 암호 해제를 할 수 있는 키를 서버에 생성하고 암호 해제를 위한 돈을 요구한다. 달러, 유로, 비트코인류의 가상화폐 등 다양한 방식으로 지불할 수 있다. 특정 시간에 돈을 입금하지 않거나 사용자가 악성코드 제거를 시도하면 서버에 생성한 키를 파괴해 복구하지 못하도록 만든다.

국내에서는 2011년 중앙아시아 지역에서 제작된 랜섬웨어를 번역기를 이용해 만든 조잡한 한국어판이 발견된 바 있지만, 현재까지 대규모 피해는 확인되지 않고 있다. 그러나 다른 나라에서는 시스템을 사용하지 못하게 하고 협박하는 방식이 널리 이용되고 있다. 국내외 악성코드 제작자와 범죄 조직에서 국내 사용자를 대상으로 한 한국형 랜섬웨어가 등장할 가능성을 배제할 수 없다.