친러시아 핵티비스트 디도스 공격 도구 ‘디도시아’... 탐지 회피 등 기술 고도화
핵티비스트 활동 홍보, 소셜 미디어로 활동 유도하고 암호화폐로 보상
기관·기업, 홈페이지와 주요 시스템 보안 강화하고 이메일·백업·SW업데이트 관리 필요
[보안뉴스 박은주 기자] 2024년 11월 친러시아 성향의 해킹그룹이 국방부·서울중앙지방법원 및 법원 대다수 사이트 등 국내 주요 정부기관 웹사이트를 대상으로 디도스 공격을 시도했다. 우리나라의 우크라이나 무기 지원 발언 등을 빌미로 사이버공격이 감행된 것이다.
안랩 시큐리티 인텔리전스 센터(이하 ASEC)의 분석에 따르면 해당 핵티비스트들 활동의 특징은 자동화된 디도스(DDoS) 봇을 활용한다는 점이다. 디도시아(DDoSia)와 같은 봇을 통해 개인 사용자도 공격에 참여할 수 있도록 장려하고 있다. 공격자가 운영하는 텔레그램 채널은 수만 명의 구독자를 보유하고 있다. 소셜 미디어를 적극적으로 활용해 핵티비스트 활동을 홍보하고 공격 목표와 진행 상황을 실시간으로 공유한다. 이 외에도 참여자는 공격 성공 시 암호화폐로 보상받는 구조를 이루고 있어 더 많은 사람이 공격에 동참하고 있다.
ASEC은 디도시아가 텔레그램 채널에서 내려받은 ‘client_id.txt’를 동일 경로에 두고 실행하는 방식으로 동작한다고 분석했다. 바이너리 내부에 포함된 명령제어(C&C) 서버 주소가 사용되고, C&C 서버 주소는 지속해서 바뀌어 접속이 불가능할 경우 텔레그램에서 공격자에게 새로운 IP 주소를 받아야 한다.
디도시아가 실행되면 먼저 인증 단계를 거쳐야 한다. client_id.txt 파일을 기반으로 시스템의 기본 정보를 수집한 후 공격자에게 전송한다. 이때 URL은 ‘/client/login’이 사용되며 시스템 정보는 암호화돼 있다. 이후 C&C 서버로부터 타임스탬프(Timestamp)를 받고, 이를 기반으로 다시 C&C 서버에 접속해 공격 대상 목록을 받는다. 이때 사용되는 URL은 ‘/client/get_targets’이다. 마지막으로 공격 현황도 ‘/set_attack_count’ URL을 통해 주기적으로 C&C 서버에 전송한다.
디도시아 공격 도구는 C&C 서버로부터 HTTP, HTTP/2, TCP, nginx_loris 방식의 명령을 전달받는다. 최신 Go 언어 버전에서는 HTTP와 HTTP/2만 지원하며 TCP와 nginx_loris는 제외된다. 과거 파이썬(Python)으로 개발된 버전에서 TCP SYN Flood 기법을 지원했던 점을 고려하면, 다른 버전에서는 이를 다시 지원할 가능성이 있다. 또한, 보안 제품의 탐지를 우회하기 위해 HTTP 요청 시 User-Agent를 랜덤하게 설정해 전송하는 방식도 특징으로 꼽힌다. 디도시아가 점점 더 정교하고 탐지 회피 능력을 갖춘 공격 도구로 발전하고 있는 셈이다.
친러시아 해킹그룹 등 국제정세 불안정에 따라 우리나라에 대한 사이버 위협이 증가하고 있다. 정치적 메시지를 담은 사이버 공격으로 서비스를 방해해 사회적 혼란을 일으키고, 군사적 충돌 상황에서 사이버 공간 제어를 통해 큰 피해를 입힐 수 있다.
이렇듯 우리나라를 타깃으로 한 사이버 위협이 증가하고 있어 기관과 기업의 철저한 보안 강화가 요구되고 있다. 외부 접속 관리 및 백업 관리를 철저히 하고 자사 홈페이지와 주요 시스템에 대한 모니터링 강화 및 자동 업데이트를 통해 운영체제 및 SW를 최신 상태로 유지해야 한다.
[박은주 기자(boan5@boannews.com)]
핵티비스트 활동 홍보, 소셜 미디어로 활동 유도하고 암호화폐로 보상
기관·기업, 홈페이지와 주요 시스템 보안 강화하고 이메일·백업·SW업데이트 관리 필요
[보안뉴스 박은주 기자] 2024년 11월 친러시아 성향의 해킹그룹이 국방부·서울중앙지방법원 및 법원 대다수 사이트 등 국내 주요 정부기관 웹사이트를 대상으로 디도스 공격을 시도했다. 우리나라의 우크라이나 무기 지원 발언 등을 빌미로 사이버공격이 감행된 것이다.
▲디도시아 공격 흐름도[자료=ASEC]
안랩 시큐리티 인텔리전스 센터(이하 ASEC)의 분석에 따르면 해당 핵티비스트들 활동의 특징은 자동화된 디도스(DDoS) 봇을 활용한다는 점이다. 디도시아(DDoSia)와 같은 봇을 통해 개인 사용자도 공격에 참여할 수 있도록 장려하고 있다. 공격자가 운영하는 텔레그램 채널은 수만 명의 구독자를 보유하고 있다. 소셜 미디어를 적극적으로 활용해 핵티비스트 활동을 홍보하고 공격 목표와 진행 상황을 실시간으로 공유한다. 이 외에도 참여자는 공격 성공 시 암호화폐로 보상받는 구조를 이루고 있어 더 많은 사람이 공격에 동참하고 있다.
▲인증 과정의 패킷[자료=ASEC]
ASEC은 디도시아가 텔레그램 채널에서 내려받은 ‘client_id.txt’를 동일 경로에 두고 실행하는 방식으로 동작한다고 분석했다. 바이너리 내부에 포함된 명령제어(C&C) 서버 주소가 사용되고, C&C 서버 주소는 지속해서 바뀌어 접속이 불가능할 경우 텔레그램에서 공격자에게 새로운 IP 주소를 받아야 한다.
디도시아가 실행되면 먼저 인증 단계를 거쳐야 한다. client_id.txt 파일을 기반으로 시스템의 기본 정보를 수집한 후 공격자에게 전송한다. 이때 URL은 ‘/client/login’이 사용되며 시스템 정보는 암호화돼 있다. 이후 C&C 서버로부터 타임스탬프(Timestamp)를 받고, 이를 기반으로 다시 C&C 서버에 접속해 공격 대상 목록을 받는다. 이때 사용되는 URL은 ‘/client/get_targets’이다. 마지막으로 공격 현황도 ‘/set_attack_count’ URL을 통해 주기적으로 C&C 서버에 전송한다.
▲복호화된 공격 대상 목록[자료=ASEC]
디도시아 공격 도구는 C&C 서버로부터 HTTP, HTTP/2, TCP, nginx_loris 방식의 명령을 전달받는다. 최신 Go 언어 버전에서는 HTTP와 HTTP/2만 지원하며 TCP와 nginx_loris는 제외된다. 과거 파이썬(Python)으로 개발된 버전에서 TCP SYN Flood 기법을 지원했던 점을 고려하면, 다른 버전에서는 이를 다시 지원할 가능성이 있다. 또한, 보안 제품의 탐지를 우회하기 위해 HTTP 요청 시 User-Agent를 랜덤하게 설정해 전송하는 방식도 특징으로 꼽힌다. 디도시아가 점점 더 정교하고 탐지 회피 능력을 갖춘 공격 도구로 발전하고 있는 셈이다.
친러시아 해킹그룹 등 국제정세 불안정에 따라 우리나라에 대한 사이버 위협이 증가하고 있다. 정치적 메시지를 담은 사이버 공격으로 서비스를 방해해 사회적 혼란을 일으키고, 군사적 충돌 상황에서 사이버 공간 제어를 통해 큰 피해를 입힐 수 있다.
이렇듯 우리나라를 타깃으로 한 사이버 위협이 증가하고 있어 기관과 기업의 철저한 보안 강화가 요구되고 있다. 외부 접속 관리 및 백업 관리를 철저히 하고 자사 홈페이지와 주요 시스템에 대한 모니터링 강화 및 자동 업데이트를 통해 운영체제 및 SW를 최신 상태로 유지해야 한다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-11-14] 
.jpg)
.jpg)
.jpg)
