2024년에도 이어지는 2023년의 위협

안랩이 2023년 5대 사이버 보안 위협 결산과 2024년 5대 사이버 보안 위협 전망을 발표했다. 공격자들은 지역적 분쟁 기반 공격, 공급망 공격, 피싱 등 2023년 감행했던 위협을 멈추지 않고 2024년에도 지속 및 확대할 전망이다.

2023년 위협 결산과 2024년 전망에 관한 내용을 살펴본다. 

2023년 결산 – 온오프라인을 넘나드는 사이버 위협

지난 2023년 가장 주목할만한 사이버 위협의 특징은 러시아-우크라이나, 하마스-이스라엘 등 현실에서의 분쟁이 사이버전으로 이어졌다는 것이다. 또한, 사이버 공격 조직 소탕을 위한 국제적 공조가 확대되었으며, 공격자들은 공격 성공률을 높이기 위해 더욱 교묘한 방법으로 목표 조직 혹은 개인을 공략했다.

2023년 주요 사이버 위협 트렌드는 다음과 같다. 

#1. 현실에서의 갈등이 사이버 공격으로

지난해, 분쟁 지역에서 갈등 혹은 전쟁에 관한 각 지지 세력의 사이버 공격이 다수 발견되었다. 분쟁 지역 간 공격은 크게 러시아-우크라이나, 하마스-이스라엘, 인도-파키스탄 등에서 나타났다. 특정 진영을 지지하는 해킹 그룹들은 상대 세력에 대한 디도스(DDoS) 공격, 웹사이트를 변조하는 디페이스(Deface) 공격, 정보 유출 및 파괴 등을 진행했다. 

해킹 그룹은 목표 조직을 공격하기 위한 사전 작업으로 주변 관계자들의 소셜 미디어를 확인하고, 피싱 공격, 인포스틸러 악성코드 공격 등을 통해 관계자의 크리덴셜(Credential) 정보를 얻어 공격에 활용했다. 공격에는 이메일이 가장 많이 활용되었고, 인터넷에서 다운로드 받은 문서 파일의 매크로 기능이 차단되면서, 매크로를 이용한 공격은 급격히 줄어들고 악성코드 첨부 파일은 CHM 파일이나 LNK 파일로 변경되는 모습을 보였다. 수집된 크리덴셜을 활용해 RDP(Remote Desktop Protocol) 원격 접속을 통한 침입 사례도 다수 발견되었다. 

#2. RaaS 조직에 대한 대응 강화

2023년에는 각국 법 집행기관들이 사이버 범죄 포럼과 블랙 마켓에 대한 대응을 강화하였다. 이러한 노력으로, 일부 운영자를 체포하거나 다크웹 사이트를 폐쇄하기도 했다. 일부 블랙마켓은 운영자의 자발적 은퇴에 따라 폐쇄된 경우도 있었다.

또한, 법 집행기관들은 ‘서비스형 랜섬웨어 (Ransom-as-a-Service, RaaS)’ 조직에 대한 대응을 강화했다. RaaS는 사이버 범죄자가 랜섬웨어 배포 및 관리에 필요한 툴과 서비스를 제공하는 랜섬웨어 비즈니스 모델로 최근 랜섬웨어 공격이 많이 활용되고 있다. 

그 결과, 하이브(Hive), 라그나로커(Ragnar Locker), 블랙캣(BlackCat, 추정) 등 랜섬웨어 갱단의 ‘데이터 유출 사이트(Data Leak Sites, DLS) 및 조직을 폐쇄했고 우크라이나에서 RaaS 조직원 체포와 기소가 다수 이뤄지기도 했다. 체포 작전은 다른 사이버 범죄자들에게 경고 메시지를 보내는 것 뿐만 아니라, 그들의 행동이 국제적인 관심을 받고 있으며 법적인 책임으로 이어진다는 사실을 알리는 계기가 되었다.

#3. 소프트웨어 취약점을 이용한 APT 공격

2023년에는 국내 소프트웨어 취약점을 이용한 공격이 여러 차례 발생했다. 소프트웨어 취약점을 악용한 타깃 공격은 주로 국내 공공기관과 기업을 표적으로 진행되었다. ‘제로데이(Zero-day)’ 공격과 이미 패치가 배포된 상태임에도 불구하고 패치가 적용되지 않은 ‘N-day’ 공격이 모두 확인되었다. 

공격자들은 취약점을 악용하여 악성 파일을 생성하거나 내부 전파를 위한 측면 이동(Lateral Movement)을 시도했다. 이를 통해, 공격 대상의 인프라를 장악하고, 지속적인 모니터링을 수행하거나 기밀 정보를 수집한 후 유출하기도 했다. 

공격 대상을 직접 공격하는 것 외에도, 개발자를 대상으로 개발 관련 소스코드나 라이브러리에 악의적인 기능을 숨겨두거나, 유명 소프트웨어 제작 업체 (예: 3CX)를 해킹해 악성코드를 유포하는 공급망 공격을 감행하기도 했다. 이런 공급망 공격은 사용자 입장에서 예방이 어려운 반면, 한 번이라도 공격이 성공된다면 피해 규모가 걷잡을 수 없이 커진다는 특징이 있다. 

#4. 2FA 인증을 악용한 자금 탈취 악성 앱 증가

과거 공격자들은 보이스피싱 앱을 통해 피해자를 협박해 자금을 보내도록 하는 형태로 자금을 탈취했다. 하지만, 최근에는 금융 앱의 2FA(2 Factor Authentication) 인증 로그인을 우회하는 악성 앱을 통해 피해자의 자금을 직접 탈취하는 모습을 보이고 있다. 

최근 금융 서비스는 로그인 시 금융사에서 보안코드를 전송하면 해당 보안코드를 입력해 인증하고 서비스를 이용하는 방식으로 구성되어 있다. 악성 앱은 메시지 상태를 감시해 수신되는 인증코드를 탈취하고 탈취한 인증코드를 활용해 피해자의 금융 서비스에 접속한다. 메시지를 감시하고 탈취하는 대표적인 악성 앱인 SMS 스틸러(Trojan/SMSstealer)는 국내 택배회사, 지인 사칭 청첩장 또는 부고장 등 실생활과 관련된 주제로 스미싱(Smishing) 메시지를 통해 유포되며, 사용자를 속여 악성 앱을 모바일 기기에 설치하도록 한다. 

#5. 매그니베르 랜섬웨어 유포 중단

지난 수 년간 악명 높은 랜섬웨어 중 하나였던 매그니베르(Magniber) 랜섬웨어는 2017년부터 한국 인터넷 사용자를 공격 대상으로 삼았으며 2021년에는 전 세계적으로 공격을 감행하기도 했다. 매그니베르 랜섬웨어는 웹 사이트 광고에 악성 스크립트를 삽입하여 보안 취약점이 있는 시스템에 악성코드를 감염시키는 '멀버타이징(Malvertising)' 기법을 사용해왔다. 최근에는 사용자가 다운로드한 악성코드를 실행하도록 유도하여 랜섬웨어에 감염시키기도 했다.

지난 6년간 활발하게 활동했던 매그니베르 랜섬웨어는 2023년 하반기부터 유포를 중단한 것으로 나타났다. 하지만, 감염 파일에 대한 복호화 방법은 아직 알려지지 않은 상태이다.

2024년 전망 – 2023의 위협이 2024로

안랩이 전망한 2024년 5대 보안위협은 ▲적대세력 간 사이버 공격 및 핵티비스트 활동 증가 ▲RaaS(서비스형 랜섬웨어)조직의 변화 가속화 ▲가상화 플랫폼을 노리는 랜섬웨어 활개 ▲금전 및 개인정보를 노린 안드로이드 악성 앱의 확산 ▲암호화폐 탈취목적 개인 지갑을 노린 공격 심화다.

[그림] 2024 5대 사이버 보안 위협 전망

1. 적대세력 간 사이버 공격 및 핵티비스트 활동 증가

전 세계적으로 이념, 종교, 이권 등 여러 가지 요인으로 인한 갈등이 심화하는 가운데, 적대 세력 간 사이버 공격은 내년에도 계속해서 증가할 것으로 전망된다. 이들은 목적을 달성하기 위해 다양한 방법을 쓸 것으로 예상된다. 선전•선동(Propaganda, 프로파간다)를 목적으로 딥페이크 기술을 활용해 가짜 뉴스를 생산하거나, 과거에 유출된 내용을 새로운 해킹 결과물이라고 허위로 주장할 수 있다. 특히, 국가 배후 공격 그룹의 경우 적대 세력의 정보를 빼내기 위한 활동뿐 아니라 전력 등 인프라 장애를 노린 공격도 시도할 수 있다. 이를 위해 공격자는 타깃을 직접 공격하는 방법 외에 상대적으로 보안 관리가 취약한 (적대세력의)협력 업체 등을 공격하는 ‘공급망 공격’을 시도할 것으로 예상된다.

같은 맥락에서 ‘핵티비스트’ 활동도 증가할 것으로 예상된다. 핵티비스트는 해커(hacker)와 행동주의자(activist)를 합친 말로, 인터넷에서 해킹을 투쟁 수단으로 하는 활동가를 지칭한다. 이들은 정치나 이념적인 목적을 달성하기위해 인공지능(AI)을 이용해 손쉽게 딥페이크 음성 및 영상을 제작해 대량 유통할 것으로 예상된다. 경우에 따라 이들은 특정 국가로부터 자금을 지원받거나 조직화될 수도 있다. 

2. RaaS 조직의 변화 가속화

사이버 범죄 포럼과 블랙마켓에 대한 법 집행기관의 대응이 계속해서 강화되는 가운데, 개인과 조직을 불문하고 많은 피해를 발생시키고 있는 RaaS 조직에 대한 국제적 협력 및 대응은 2024년에도 계속 확대될 것으로 예상된다.

이에 따라 RaaS 조직도 생태계를 계속 유지하기 위해 다양한 변화를 시도할 것으로 예상된다. 이들은 다크웹 내 포럼과 마켓을 이동하며 이름을 바꾸는 ‘리브랜드’를 가속화할 수 있다. 또 수사기관의 추적을 어렵게 만들고 공격에 실패했을 때 대체 수단으로 사용하기 위해 다른 RaaS 조직이 사용하는 랜섬웨어의 변형을 활용하는 등 일명 ‘다중 랜섬웨어’ 전략을 필 것으로 보인다.

3. 가상화 플랫폼을 노리는 랜섬웨어 활개

최근 클라우드 등 하드웨어 자원을 효율적으로 관리하기 위해 ‘가상화 플랫폼’을 도입하는 기업이 꾸준히 증가하고 있다. 이런 상황에서 기업의 주요 문서나 내부 인프라, 기밀자료들을 탈취하기 위해 ‘가상화 플랫폼’ 서버를 노린 랜섬웨어 공격이 증가할 것으로 보인다. 

특히 시장에서 높은 점유율을 가지고 있는 솔루션은 공격 대상이 될 가능성이 높다. 예를들어 VM웨어의 하이퍼바이저 플랫폼인 ESXi 서버를 표적으로 하는 랜섬웨어는 2020년 처음으로 나타난 이후 그 수량과 변종이 계속해서 증가하고 있다. 그 외에도 Hyper-V, KVM, Xen등 다양한 가상화 플랫폼이 현업에서 활용되고 있는 만큼, 각 영역에서의 랜섬웨어에 대한 대비와 모니터링이 필요하다.

4. 금전 및 개인정보를 노린 안드로이드 악성 앱의 확산

금융 서비스 이용과 사용자의 민감정보가 스마트폰으로 집중되면서 올해 다양한 악성 앱들이 발견됐다. 내년에는 사용자의 금전과 민감정보를 노린 악성 앱이 고도화될 뿐만 아니라 스마트폰을 비롯해 스마트TV, 스마트워치, 스마트홈 등 다양한 플랫폼으로 퍼질 수 있다. 

최근 발견되고 있는 사기 대출 앱은 합법적인 개인 대출 서비스를 제공한다는 명목으로 연락처와 소득 증명서 등의 개인 정보와 은행 계좌 정보와 같은 금융 정보를 수집해 유출한다. 이런 종류의 앱은 피해자가 의심하지 못하도록 모바일 웹사이트를 정교하게 제작하고 공식 구글플레이에서도 발견되는 등 점차 교묘해지고 있다. 이러한 악성앱들은 개인정보 유출, 광고 수익 창출 등을 목적으로 스마트 TV 셋톱박스, 스마트 워치, 스마트홈 등 안드로이드 OS를 기반으로 하는 플랫폼으로 확장해 유포될 것으로 전망된다. 

5. 암호화폐 탈취목적 개인 지갑을 노린 공격 심화

다양한 공격그룹은 거래 내역 추적이 어려운 암호화폐를 탈취하기 위해 사용자 개인 지갑과 블록체인 취약점 등을 꾸준히 공격하고 있다. 암호화폐를 노린 공격은 암호화폐 가격의 급등락에 맞춰 증가와 감소를 반복하는 특징이 있다. 

이런 가운데 2024년 4월경 암호화폐 공급량이 줄어드는 반감기가 다가옴에 따라 암호화폐 자산 전반의 가격이 상승할 것이라는 전망이 나오고 있다. 공격자들은 가치가 높아진 암호화폐를 탈취하기 위해 한동안 주춤했던 암호화폐 탈취 공격을 다시 전개할 것으로 전망된다. 특히, 공격자들은 공격 성공률을 높이기 위해 보안 시스템이 갖춰진 암호화폐 거래소의 해킹보다는 상대적으로 보안이 취약할 수 있는 개인 사용자에 집중할 것으로 보인다.

철저한 보안수칙 준수로 2024년을 안전하게

이 같은 보안 위협을 예방하기 위해서 조직 차원에서는 △조직 내 PC, 운영체제, SW, 웹사이트 등에 대한 수시 보안점검 및 패치 적용 △보안 솔루션∙서비스 활용 및 내부 임직원 보안교육 실시 △관리자 계정에 대한 인증 이력 모니터링 △멀티팩터인증(Multi-Factor Authentication) 도입 등 조직의 환경에 최적화된 대응책을 마련해야 한다.

또한, 개인은 △출처가 불분명한 메일 속 첨부파일∙URL 실행 자제 △콘텐츠∙SW 다운로드는 공식 경로 이용 △SW∙운영체제∙ 인터넷 브라우저 등 최신 보안 패치 적용 △ 로그인 시 비밀번호 외에 이중인증 사용 △백신 최신버전 유지 및 실시간 감시기능 실행 등 보안 수칙을 지켜야 한다.

안랩 시큐리티 인텔리전스 센터(ASEC) 양하영 실장은 “이제 IT기술이 없는 일상을 상상할 수 없을 정도로 디지털 기술은 우리 생활 전반에 녹아있다”며, “반대로 이런 환경은 사이버 범죄자들의 활동 무대이기도 하기 때문에, 디지털 기술의 편리함을 누리기 위해서는 조직과 개인을 막론하고 보안 수칙을 생활 속에서 실천해야 한다”고 말했다.