2016년 상반기 키워드는 랜섬웨어∙표적 공격! 하반기는?

2016년 상반기에는 2015년 전망대로 랜섬웨어의 종류와 양이 기하급수적으로 증가하여 수많은 피해를 발생시켰다. 표적 공격 및 적대적 공격자들에 의한 사회기반시설 대상 공격도 끊이지 않았다. 또한 익스플로잇 킷(Exploit kit, EK)에 멀버타이징(Malvertising) 수법이 결합되면서, 불특정 다수를 대상으로 하는 대규모 악성코드 감염에 적극 활용되고 있다. 모바일 쪽으로는 루트 권한을 악용하는 악성 앱이 2015년 하반기 대비 400% 증가하는 양상을 보였다.

하반기에는 상반기에 이어 랜섬웨어 위협과 사회기반시설을 노린 사이버 테러, 표적 공격 등이 지속될 전망이다. 또한 블랙마켓에 기반한 악성코드 서비스(Malware-as-a-Service)의 활성화로 인해 향후 사이버 공격의 범위와 스펙트럼이 점점 다양해질 것이며, 핀테크 서비스에 대한 모바일 보안 위협이 나타날 것으로 예측된다.

이 글에서는 안랩의 글로벌 보안 대응조직인 ASEC(AhnLab Security Emergency response Center) 전문가들이 선정한 2016년 상반기 보안 위협 Top 5와 하반기 전망 Top 5를 각각 소개한다.  

2016 상반기 위협 Top 5

01 랜섬웨어의 기하급수적인 증가

상반기에는 랜섬웨어의 종류와 양이 기하급수적으로 증가했고, 수많은 피해를 발생시켰다. 고유한 개성을 지닌 랜섬웨어가 다양하게 발견되었고, RaaS(Ransomware-as-a-Service)의 등장이 이들의 유포를 활성화시키는 역할을 한 것으로 보인다. 또한, 활발하게 활동하던 테슬라크립트(TeslaCrypt)가 갑자기 활동을 종료하자마자 크립트엑스엑스엑스(CryptXXX)가 국내 유명 커뮤니티 사이트를 통해 유포되면서 큰 피해를 가져왔다. 그 외에도 MBR(Master Boot Record)을 암호화하는 페트야(PETYA), 의료기관을 노리는 삼삼(SamSam), 인질 파일을 한 시간에 하나씩 삭제하는 직쏘(JigSaw), 음성으로 랜섬웨어 감염 사실을 알려주는 서버(혹은 케르베르, CERBER), 스팸 메일로 전세계를 휩쓴 록키(Locky), USB를 통해 전파되는 지크립토(ZCryptor) 등이 상반기를 대표한다. 플래시(Flash), 실버라이트(Silverlight) 등의 소프트웨어 취약점을 악용하는 익스플로잇 킷을 통한 유포가 증가세를 보이고 있다. 이는 사용자도 모르게 감염시키는 드라이브 바이 다운로드(Drive-by-download)를 통해 감염 성공률을 높이고 최대한의 수익을 추구하기 때문인 것으로 판단된다. 국가와 지역을 가리지 않고 전세계에서 동시다발적으로 발견되는 것 또한 맥락을 같이 한다.

국내에서는 테슬라크립트, 록키, 서버, 크립트엑스엑스엑스 등의 감염 빈도가 두드러졌다. 안랩을 포함한 보안 업체들은 랜섬웨어 차단을 위한 진단을 강화하고, 사전에 탐지하고 차단할 수 있는 기능을 추가하면서 지속적인 대응을 이어가고 있다.

02 은밀하고 끊임없이 지속되는 표적 공격의 위협

표적 공격은 공격 대상이 한정되어 있고 은밀하게 진행되어 사전에 알아내는 것이 상당히 어렵다. 그러나 표적 공격의 위협은 현재에도 계속 되고 있다. 올해 초 북한의 4차 핵 실험 이후 정부 부처와 국가 기관을 사칭한 메일이 발견됐다. 곧 이어 보안 업체의 인증서가 유출되었고, DRM 솔루션을 변조한 악성코드가 유포된 사례도 있었다. 또한 국내 항공사와 군수업체가 해킹되어 내부 정보가 유출되었고, 군 관련 홈페이지가 해킹되어 서비스가 중지된 사례도 있었다. 해외에서도 표적 공격의 위협은 지속되었다. 우크라이나 정전 사태는 발전소를 공격한 블랙에너지(Black Energy) 악성코드로 인한 것이고, 주요 국가의 금융과 보험 서비스를 주요 목표로 하는 레이튼트봇(LatentBot) 공격도 발견되었다.

폰 스톰(Pawn Storm) 또는 소퍼시(Sofacy)로 알려진 조직이 미국 외교부, 민주당 등을 공격했다. 표적 공격은 공격 조직의 범죄 수익이 목표일 수 있지만 정치, 군사, 경제, 외교 등의 갈등 상황에서 우위를 점하기 위한 목적인 경우도 있다. 표적 공격을 위해서는 공격 대상을 선별하고, 선별된 대상에 대한 정보를 사전에 파악하는 것이 중요하다. 최근 트위터(Twitter), 텀블러(Tumblr), 링크드인(LinkedIn), 마이스페이스(MySpace), 깃허브(GitHub) 등의 계정 정보가 대량으로 유출되었는데, 이러한 개인정보 유출 사고는 공격자들이 공격 대상을 물색하거나 사전 정보를 수집하기에 아주 좋은 기회가 될 수 있으므로 지속적인 주의가 요구된다.

03 사회기반시설에 대한 다양한 공격 발생

사회기반시설에 대한 공격은 주로 적대적 공격자들에 의해 시도되고 있다. 2015년 12월 발생한 우크라이나 정전과 2016년 2월 방글라데시중앙은행의 1천억 원 도난은 사이버 공격으로 밝혀졌다. 특히 방글라데시중앙은행 건은 국제은행간통신협회(SWIFT) 시스템에 대한 공격으로, 베트남과 필리핀, 우크라이나 등에서도 SWIFT 시스템에 대한 공격이 발견되었다. 이러한 전력과 금융 시스템에 대한 공격을 비교해 봤을 때, 올 초 국내에서 발생한 교통 안내 시스템 해킹은 장난에 가까울 정도다. 그리고 철도 시스템 같은 교통시설과 상수도, 댐 등을 노린 공격 시도도 있었다.

국가 기반시설 시스템은 일반적으로 보안이 잘 되어 있으리라 믿고 있는 경우가 많다. 그러나 올해 발생한 여러 사건들과 독일 원자력 발전소에서 구형 악성코드가 뒤늦게 발견된 점 등을 보면 보안 허점은 항상 존재한다는 것을 알 수 있다. 국가 기반시설은 사회적 영향이 크고 나아가 국민의 안전과도 밀접한 관련이 있기 때문에, 국가는 편의성과 인프라의 안정성, 그리고 보안성에 대한 적절한 균형을 찾는 것이 필요하다.

04 ‘멀버타이징’과 ‘웹 익스플로잇 킷'의 양 날개를 달다

익스플로잇 킷이 랜섬웨어 시장 활성화에 따라 대량 감염을 위한 수단으로 적극 활용되면서 다양한 익스플로잇 킷(EK)이 등장했다. 2016년 상반기까지 위세를 떨치던 앵글러(Angler) EK와 뉴클리어(Nuclear) EK의 활동은 종료되었으나 매그니튜드(Magnitude) EK, 뉴트리노(Neutrino) EK, 리그(RIG) EK, 썬다운(Sundown) EK 등 다양한 EK가 활발하게 활동하고 있다.

또한 EK를 통한 악성코드의 유포에 멀버타이징 수법이 결합되었다. 멀버타이징은 애드웨어(Adware)의 네트워크 또는 사이트의 광고 배너를 활용하며, 특히 광고 업체의 서버를 통해 제공되는 광고 배너를 통해 EK의 다단계 리다이렉션(Redirection)을 악용한다. 이러한 점으로 인해 불특정 다수를 대상으로 하는 대규모 감염을 발생시키고, 유포지를 찾더라도 차단하기 어려운 상황이 증가하고 있다. 상반기 취약점을 통해 배포되는 악성코드 상당수는 금전적 이윤을 추구하는 랜섬웨어와 파밍(Pharming)으로 양분화된 양상을 보였지만, 랜섬웨어의 전세계적인 유포로 인해 파밍은 큰 주목을 받지 못했다. 랜섬웨어는 가상 화폐인 비트코인을 노리면서 유럽을 중심으로 활동하고 있고, 파밍은 동아시아를 중심으로 계좌 정보를 탈취하며 실제 화폐를 탈취하는 특징을 보이고 있다.

05 루팅 시도 및 루트 권한을 악용하는 악성 앱 증가

2016년 상반기에는 루트 권한을 악용하는 악성 앱들이 많이 발견됐다. 악성 앱들이 루트 권한을 이용하는 이유는 사용자가 앱이 설치되는 것을 인지할 수 없게 하고, 보안 프로그램의 탐지와 삭제를 어렵게 하기 위함이다. 이렇게 설치되는 악성 앱들은 루트 권한을 이용해 개인정보 탈취, 광고 노출, 사용자가 원치 않는 앱을 설치하는 등의 악성 행위를 한다. 2016년 수집된 루팅 악성 앱의 수를 보면 2015년 하반기 대비 약 400% 증가한 수치로, 급격히 증가하는 양상을 보이고 있다. 최근에 발견된 갓리스(Godless) 악성 앱은 안드로이드 운영체제 5.1 버전(Lollipop) 이하에서 루트 권한을 탈취하기 위해 여러 개의 취약점을 악용하는 것으로 확인됐다.

이와 같은 루트 권한 획득을 노리는 악성 앱들은 대부분 중국에서 만들어졌다. 앱 설치와 광고 노출을 통해 얻는 수익이 주 목적인 것으로 추정되며, 앞으로도 꾸준히 증가할 것으로 예상된다.

2016 하반기 위협 전망 Top 5

01 블랙마켓에 기반한 악성코드 서비스(Malware-as-a-Service) 활성화

토르(TOR)를 통한 익명화와 다크 웹 사용이 간편해지면서 사이버 블랙마켓을 통해 악성코드 서비스(Malware-as-a-Service, 이하 MaaS)가 활성화되고 있다. 이는 공급자(Vendor)가​ 사용자가 필요한 것을 서비스화(as-a-Service)하는 특징에 따라, MaaS를 통해 사이버 공격에 활용되는 다양한 서비스들을 제공하는 것을 의미한다. MaaS가 활성화됨에 따라 서비스 제공자 간의 경쟁도 심화되어, 사이버 공격에 필요한 요소들의 가격이 점차 낮아지고 기능과 종류가 다양해지고 있다. MaaS에서는 공격의 핵심이 되는 악성코드를 주문·제작하는 것은 물론이고 유포에 필요한 제로데이 취약점, 난독화 서비스, 익스플로잇 킷, 스팸 네트워크까지 유료로 사용할 수 있다. 사이버 공격이 가능하도록 필요한 요소들을 사 모으기만 하면 되는 것이 흡사 대형마트에서 물건을 고르는 것과 유사하다.

MaaS 형태의 블랙마켓은 사이버 공격 인프라의 유지보수에서 발생하는 기술적인 문제점과 사이버 공격을 기획하고 실행하기 위해 필요한 전문 지식을 모두 위탁하는 형태를 취하는데, 이러한 특징은 공격자가 되기 위한 진입장벽이 낮아졌다는 것을 알려준다. 이러한 이유로 2016년 상반기에 스팸과 익스플로잇 킷을 통한 악성코드 유포가 급증했고, 랜섬웨어가 그 대표적인 사례에 속한다. MaaS를 통해 공격에 필요한 요소들을 여러 형태로 접목 가능하므로 앞으로 발생할 사이버 공격의 범위와 스펙트럼이 점점 다양해질 것으로 보이며, 디도스, 랜섬웨어, 금융 악성코드와 같은 기존의 위협은 물론이고, 내부자 위협, 개인/기업 정보 유출, 표적 공격 등에 많이 악용될 것으로 예측된다.

02 사회기반시설을 노리는 사이버 테러의 위협 지속

사회기반시설에 대한 공격은 일반 해킹보다 성공하기 어렵고, 금융 기관 해킹 외에는 금전적 이익도 생기지 않는다. 그렇지만 성공할 경우 사회적 혼란과 자신들의 선전 효과를 극대화할 수 있다. 특히 사회기반시설에 대한 사이버 테러는 일반적인 테러나 군사적 공격에 비해 추적과 보복이 어렵기 때문에 테러 단체의 테러 행위 또는 국가 단위에서 적성국 공격을 위해 많이 시도된다. 금전적 이득보다 종교적, 정치적 갈등에서 공격의 동기를 찾을 수 있다. 종교적, 정치적 갈등은 쉽게 해결되기 어렵기 때문에 사회기반시설에 대한 공격은 앞으로도 계속될 것으로 예상된다.

대부분의 사회기반시설은 인터넷에 직접적으로 연결하지 않은 망분리 상태로 운영되고 있는 것으로 알려져 있다. 그러나 여전히 인터넷에 연결된 시스템이 존재하고, 시스템을 운용하는 사용자 입장에서 불편함을 이유로 보안 정책을 어기는 경우도 많다. 공격자들은 이러한 취약점을 찾아내기 위해 다양한 방식으로 사회기반시설에 대한 공격을 진행할 것으로 예상된다. 충분하지 못한 사전 예방과 대응은 큰 피해를 발생시킬 수 있기 때문에, 공격을 무력화하거나 피해를 최소화하기 위해 충분하고 꾸준한 사전 예방과 대응을 해야 한다.

03 랜섬웨어 위협의 증가로 인한 지속적인 피해 증대

랜섬웨어 위협은 상반기와 유사한 양상을 보이며, 더욱 많아질 것으로 보인다. 테슬라크립트, 뉴클리어(Nuclear) EK, 앵글러(Angler) EK가 상반기에 활동을 종료하고, 록키를 유포하는 네커스(Nercus) 봇넷이 잠시 주춤했다. 그러나 최근 들어 네커스 봇넷이 록키와 서버 유포를 재개했고, 활동을 종료한 앵글러(Angler) EK의 자리는 뉴트리노(Neutrino) EK가 빠르게 대체하고 있다. RaaS(Ransomware-as-a-Service)가 활성화되고 랜섬웨어가 거대한 시장을 형성함에 따라, 지금보다 더욱 다양한 랜섬웨어가 출현할 것으로 예상된다. MBR 뿐 아니라 시스템의 다른 영역으로 암호화 대상을 확대할 수 있으며, 의료기관을 노린 삼삼(SamSam)과 같이 제조업을 포함한 다른 산업 분야로 공격 대상을 확대할 가능성도 배제할 수 없다. 최근에는 제로데이 취약점을 악용한 멀버타이징 기법을 통해 대규모 유포를 하는 만큼, 이미 알려진 랜섬웨어라도 더욱 광범위하게 활동하며 피해를 발생시킬 수 있다.

최근 브렉시트(Brexit) 사태로 인해 비트코인의 가격이 급등한 만큼, 비트코인을 요구하는 랜섬웨어의 활동이 더욱 활발해질 것으로 보인다. 특히 보안 업체들의 적극적인 대응을 우회하기 위한 다양한 기능들을 추가적으로 도입할 것으로 예상된다.

04 내부에서 신뢰하는 공용 소프트웨어를 이용한 표적 공격

그 동안 국내에서 발견된 표적 공격 사례들을 살펴보면, 공격에 사용된 악성코드들은 주로 중앙 관리 솔루션과 웹, 이메일 등을 통해 유포되는 방식을 보였다. 그러나 앞으로는 내부에서 사용하는 공용 소프트웨어를 통한 유포로 범위가 확장될 것으로 예상된다. 2016년 초 발생한 보안 업체와 전사적자원관리(ERP) 업체의 디지털 서명 도용 사건은 공격자가 탈취한 인증서로 서명된 악성 프로그램을 제작하였고, 보안 업체의 DRM(Digital Rights Management) 솔루션 변조 사건은 내부에서 사용하는 보안 프로그램을 악용하여 공격한 것이다. 기업 내부에서 공용으로 사용하는 소프트웨어와 운영서버로 공격 범위를 한정하여 유포함으로써 장기간 잠복할 수 있었다. 일반적으로 내부 배포 서버와 이를 통해 관리하는 공용 소프트웨어는 내부망을 통해서 관리되기 때문에, 사용자들이 별다른 의심을 하지 않는 신뢰 구간으로 여겨져 왔다. 이와 같이 유출된 인증서로 인해 변조된 공용 소프트웨어를 내부 배포 서버를 통해 배포하는 방식으로 네트워크의 신뢰 구간을 이용하여 공격하면, 관리자와 사용자들의 의심을 사지 않고 다수의 시스템을 장악할 수 있기 때문에 발견이 힘들고 그 피해도 클 수 밖에 없다. 앞으로 이러한 공용 소프트웨어의 신뢰 구간을 이용한 공격 방식이 점차 증가할 것으로 예상되기 때문에 꾸준한 주의가 요구된다.

05 핀테크 서비스에 대한 모바일 보안 위협 등장 

핀테크 서비스가 늘어남에 따라 관련 금융 정보를 노리는 악성 앱들이 등장할 것으로 보인다. 2014년 말, 핀테크가 화두가 되고 다양한 모바일 간편 결제 서비스가 소개되었다. 최근에는 단말 제조사에서 서비스하는 모바일 간편 결제와 애플리케이션을 이용한 간편 결제 서비스들이 폭넓게 사용되고 있다. 이러한 결제 서비스를 악용하여 금전적 이득을 취하려는 악성 앱들이 등장할 가능성이 있다. 과거에도 모바일 소액 결제를 노리는 악성 앱들이 있었고, 지금도 모바일 뱅킹 애플리케이션으로 사칭하여 개인 금융 정보를 탈취하는 악성 앱들이 계속해서 나타나고 있다. 간편 결제 등 핀테크 서비스가 사회 전반으로 확대된만큼 관련 위협이 나타날 것으로 보인다.