[2019년 보안 위협 결산] 낯익은 위협의 날카로운 반전

올해 초, 2019년을 주도할 트렌드로 언급된 것 중 하나가 ‘뉴트로’였다. 뉴트로는 올해 보안 위협에서도 트렌드였다. 기존의 공격 방식을 사용하되 과거를 그대로 답습하는 것이 아니라 새로운 기법을 이용해 더욱 정교해진 공격이 주를 이뤘기 때문이다. 또 리눅스나 클라우드 등 새로운 인프라에 발 빠르게 대응하는 신속함을 보였다. 전통적인 스팸 메일부터 최근 몇 년 간 대세로 자리 잡은 랜섬웨어, 파일리스, 공급망 공격까지 안랩의 보안 전문가들이 꼽은 2019년 보안 위협 Top 5를 살펴본다.

고전은 언제나 통한다? 고도화된 이메일 공격 증가

‘유행은 돌고 돈다’는 말은 보안 분야에서도 통용된다. 2019년 보안 위협 하나로 악성 메일을 거론하지 않을 수 없기 때문이다. 올해 스팸 메일을 이용한 피싱이나 첨부 파일로 위장한 악성코드 유포가 가장 두드러졌던 것. 그러나 이전과 달리 한층 고도화된 양상을 보였으며, 상대적으로 개인 사용자보다 기업의 피해가 컸다. 기업을 노린 타깃 공격 또는 지능형 위협(Advanced Persistent Threats, APT)이 대부분 스피어피싱에서 시작되면서 이메일 기반 공격에 의한 피해가 심각했다. 기술적으 로도 고도화됐지만 국가 기관을 사칭하거나 이력서, 급여명세서, 송장 등 정교하고 치밀한 콘텐츠로 위장 한 것이 가장 큰 특징이다.

또한 공격자들은 지속적으로 보안 업체의 반응을 살피며 탐지를 따돌리기 위한 변화를 시도했다. 이메일 첨부 파일의 포맷이나 확장자를 다양하게 변경하는 등 공격 성공률을 높이기 위한 시도가 계속되고 있다.

대세는 역시 파일리스(Fileless) 감염 시스템에 파일 형태로 존재하지 않는, 이른바 ‘파일리스(Fileless)’ 방식의 악성코드가 더욱 증가했다. 블루크랩(BlueCrab) 랜섬웨어와 메그니베르 (Magniber) 랜섬웨어, 그리고 SMB 취약점을 이용한 마이너(Miner, 채굴) 악성코드까지 올해 가장 많이 유포됐던 악성코드 대다수가 파일리스 방식을 이용했다.

파일리스 악성코드는 파워쉘 등 정상 프로세스를 이용하여 외부로부터 악성코드 데이터를 다운받아 정상 프로세스 내에서 실행된다. 악성 쉘코드를 정상 프로세스에 인젝션하는 방식을 이용하기도 한다. 윈도우 레지스트리나 작업 스케줄러에 악성 데이터를 등록하여 파일 없이도 지속적인 악성 행위를 수행하는 경우도 있다.

일반적인 악성코드에 비해 파일리스 방식은 사전 탐지 및 대응이 쉽지 않다. 따라서 정상 프로세스를 포함해 엔드포인트 시스템 상에서 발생하는 모든 행위를 지속적으로 모니터링하고 분석함으로써 위협을 조기에 발견하는, 즉 잠복기(dwell time)를 최소화하는 노력이 필요하다.

양보다 질! 기업 타깃 랜섬웨어 증가

최근 몇 년간 랜섬웨어에 의한 피해가 계속되는 가운데, 올해 들어 뚜렷한 변화가 나타났다. 예전에 비해 랜섬웨어 감염 건수는 감소한 반면 피해 규모는 더욱 커진 것. 공격자들이 불특정 다수의 개인 사용자 대신 기업과 기관에 집중했기 때문이다.

2019년 한 해 동안 세계 곳곳의 기업 및 기관들이 표적형 랜섬웨어(Targeted Ransomware)에 피해를 입었다. 무엇보다 기존과 달리 랜섬웨어가 전형적인 지능형 표적 공격 양상을 보여 대응이 쉽지 않다.

2019년 상반기까지 국내 기업에 많은 피해를 입혔던 클롭(Clop)이 대표적인 기업 타깃형 랜섬웨어라 할 수 있다. 공격자는 이메일을 보내 사용자의 시스템이 기업 환경인지 확인한다. 기업이나 기관인 것이 확인되면 Ammyy 해킹툴이나 미미카츠 등 다양한 공격 도구를 사용해 내부 시스템을 장악한다. 이후 정보를 유출하거나 랜섬웨어 감염의 내부 확산을 통해 거액의 금액을 요구한다. 

빈틈을 파고든다! 패치 적용되지 않은 시스템 공격

‘취약점을 이용한 악성코드 공격’이라면 대개 발견된 지 얼마 안되어 패치가 제공되지 않은 ‘제로데이(Zeroday) 공격’을 떠올린다. 그러나 실제로는 이미 보안 패치가 제공된, 알려진 취약점을 이용한 공격이 대다수다. 심지어 몇 년 전에 패치가 제공된 취약점을 이용한 공격도 여전히 성공을 거두고 있다. 올해 국내외에서 빈번하게 발생한 SMB(Server Message Block) 취약점 공격이 대표적이다.

이터널블루(MS17-010) 등 취약점 외에도 국내에서는 한컴오피스의 EPS(Encapsulated PostScript) 취약점(CVE-2017-8291), VB 스크립트 취약점(CVE-2018-8174) 등을 이용한 악성코드가 빈번하게 등장했다. 또 윈도우 시스템의 정상 기능 중 하나로 원격 연결에 사용되는 RDP(Remote Desktop Protocol)와 관련된 공격도 지속적으로 발견되고 있다. RDP 취약점인 블루킵(BlueKeep, CVE-2019-0708)이 대표적이다.

이처럼 알려진 취약점을 노린 공격이 계속되는 이유는 업무 연속성이나 서비스 운영 등의 이유로 보안 패치 적용을 미루는 기업과 기관들이 많기 때문이다. 패치 관리를 하는 기업과 기관에서도 일부 시스템은 제외 또는 누락되어 위협의 내부 확산 경로로 이용되기도 한다.

윈도우 시스템에 비해 리눅스 서버나 PC는 상대적으로 패치 관리나 안티바이러스 운영에 소홀한 경우도 있다. 공격자들은 당연히 이 허점을 파고들기 마련이다. 실제로, 올해 암호화폐를 채굴하는 마이너 악성코드는 기업의 윈도우 서버뿐만 아니라 리눅스 서버를 공격했으며, 네트워크 전파 기능까지 탑재해 내부 확산과 시스템 장애를 야기하는 사례가 잇따랐다.

모바일 앱까지 점령한 공급망 공격

최근 몇 년 간 공급망(Supply chain) 공격에 대한 우려가 제기되어 왔다. 이제 공급망 공격이 모바일 앱 생태계까지 확실하게 파고들었다.

과거에는 악성 앱 제작자가 직접 악성 앱을 제작하고 배포하는 것이 일반적이었다. 그러나 2019년 구글 플레이(Google Play)를 통해 전파된 악성 앱 중 대다수는 정상 앱 제작자의 손을 거쳤다. 공격자가 악의적인 기능을 포함해 제작한 SDK를 정상 앱 제작자가 사용 하는 방식으로 악성 앱이 유포된 것이다. 악성 SDK를 사용한 정상 앱은 앱 제작자가 전혀 의도하지 않은 악의적인 기능을 수행한다. 앱의 목적이나 동작 방식과 무관한 사용자의 연락처 정보 유출을 비롯해 다른 앱 설치를 유도하는 광고 노출, 심지어 사용자 몰래 구독형 유료 서비스에 가입하는 등이다.

이러한 최신 악성 앱은 악의적인 기능이 동작하기 전까지 발견이 쉽지 않다는 점에서 기존 악성 앱과 사뭇 다르다. 무엇보다 모바일 공급망 공격에 의한 악성 앱 유포는 단시간에 다수의 피해자를 양산한다. 2019년 8월, 국내에서도 악의적인 광고 SDK가 포함된 캠스캐너앱이 설치된 스마트폰이 3만대 이상으로 확인됐다.​