중소기업에 대한 해커들의 관심이 점점 진해지고 있다. 가져갈 것이 없어 방어하지 않아도 된다는 중소기업들의 논리는 더 이상 통하지 않는다.
[보안뉴스 문가용 기자] 아주 간단한 피싱 캠페인이 전 세계로 빠르게 퍼져나가는 중이라는 경고가 나왔다. 중소기업들 사이에서 인기가 높은 협업 도구인 짐브라 콜라보레이션(Zimbra Collaboration)의 사용자들을 노리는 캠페인이다. 이미 수십 개 국가 수백 개 기업에서 공격 시도가 발견되고 있다고 한다.
짐브라는 협업을 위한 각종 소프트웨어들로 구성된 일종의 소프트웨어 스위트다. 이메일 서버와 웹 클라이언트도 포함되어 있다. 전통의 오피스 및 협업 스위트들에 대한 저렴한 대체재로서 널리 사용된다. 일종의 틈새 시장을 공략한 제품인 건데, 작은 규모의 조직들 사이에서 인기가 높다.
인기가 높다는 것은 해커들의 공략 대상이 된다는 뜻이고, 실제로 짐브라의 제품들은 끊임없이 보안 사고에 연루되거나, 공격 시도에 시달린다. 올해만 하더라도 원격 코드 실행 취약점이 발견되는가 하면 XSS 제로데이 취약점이 발굴되기도 했었다. 북한의 해킹 조직은 짐브라를 통해 정보를 탈취하려는 캠페인을 벌이기도 했었다.
보안 업체 이셋(ESET)에 의하면 2023년 4월부터 정체가 다 밝혀지지 않은 한 공격 단체가 짐브라 계정에 대한 접속 권한을 탈취하기 위한 목적으로 피싱 이메일을 대거 흩뿌리기 시작했다고 한다. 짐브라의 주요 고객층인 중소기업들이 주요 표적이었으나, 일부 정부 및 공공 기관들이 휘말려들기도 했다고 한다.
이셋의 수석 멀웨어 연구원인 안톤 체레파노프(Anton Cherepanov)는 “전 세계 수백~수천 개의 조직들이 이 캠페인에 노출되어 왔다”며 “정확한 공격 성공률이나 피해 규모를 집계하는 게 지금 시점에서는 까다롭다”고 말한다.
짐브라 사용자들을 겨냥한 피싱
이번 캠페인은 늘 똑같은 방식으로 시작한다. 우리가 흔히 보는 그런 피싱 메일을 만드는 것에서부터 시작하기 때문이다. 이 피싱 메일은 짐브라에서 직접 만들어 보낸 것처럼 꾸며져 있다. “서버 업데이트를 해야 한다거나, 계정 비활성화를 잠시 해야 한다거나, 보안 서비스 점검이 있다거나 하는 식으로 뭔가 긴급한 분위기를 조성하는 메일들입니다. 제목은 ‘짐브라 보안 팀에서 보냅니다’는 식일 때가 많고요.”
메일을 열면 “7월 3일부터 서비스 업데이트를 위해 짐브라 웹 클라이언트의 로그인 페이지가 바뀐다”는 안내가 나오며, “자동 비활성화를 통해 접근이 막히지 않도록 미리 접속해 두라”는 권장 사항들도 포함되어 있다. 또한 메일 하단에는 “짐브라 사장 - 관리부”라는 서명까지 첨부되어 있다. 메일에는 파일이 첨부되어 있는데, HTML 파일이다. 열면 가짜 짐브라 로그인 페이지로 접속된다.
고객들에 미치는 영향
가짜 로그인 페이지에 속아 비밀번호를 입력하게 되면, 해당 정보는 공격자들이 관리하는 서버로 전송된다. “만약 여기에 속아 비밀번호를 넘긴 사람이 짐브라 관리자 계정의 소유자라면 사태는 꽤나 심각해질 수 있습니다. 피해자의 서버 깊숙한 곳에까지 공격자가 침투하여 백도어를 심어두거나 보안 설정을 건드려 추가 공격을 이어갈 수도 있고요. 관리자 계정에 묶여 있는 다른 짐브라 계정에도 어느 정도 접근이 가능하게 됩니다.”
현재까지 이 캠페인에 가장 많은 피해를 입은 국가는 폴란드다. 그 다음은 에콰도르와 이탈리아다. 이 세 국가보다 규모가 어느 정도는 작지만 멕시코, 카자흐스탄, 네덜란드에서도 피해 기업들이 나타나는 중이다. 피해자들 사이에서는 짐브라를 사용하고 있었다는 점 외에 그 어떤 공통점도 존재하지 않는다고 한다. “짐브라를 사용할 때 강력한 비밀번호를 설정하고, 다중 인증 체제를 갖추는 등 전통적인 보안 실천 사항을 지키는 게 중요합니다.”
3줄 요약
1. 중소기업들 사이에서 인기 높은 오피스 스위트인 짐브라.
2. 그 짐브라를 노리는 피싱 캠페인, 4월부터 시작된 듯.
3. 크리덴셜 가져가고자 하는 게 공격자들의 최종 목표, 각별한 주의 요구됨.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 아주 간단한 피싱 캠페인이 전 세계로 빠르게 퍼져나가는 중이라는 경고가 나왔다. 중소기업들 사이에서 인기가 높은 협업 도구인 짐브라 콜라보레이션(Zimbra Collaboration)의 사용자들을 노리는 캠페인이다. 이미 수십 개 국가 수백 개 기업에서 공격 시도가 발견되고 있다고 한다.
[이미지 = gettyimagesbank]
짐브라는 협업을 위한 각종 소프트웨어들로 구성된 일종의 소프트웨어 스위트다. 이메일 서버와 웹 클라이언트도 포함되어 있다. 전통의 오피스 및 협업 스위트들에 대한 저렴한 대체재로서 널리 사용된다. 일종의 틈새 시장을 공략한 제품인 건데, 작은 규모의 조직들 사이에서 인기가 높다.
인기가 높다는 것은 해커들의 공략 대상이 된다는 뜻이고, 실제로 짐브라의 제품들은 끊임없이 보안 사고에 연루되거나, 공격 시도에 시달린다. 올해만 하더라도 원격 코드 실행 취약점이 발견되는가 하면 XSS 제로데이 취약점이 발굴되기도 했었다. 북한의 해킹 조직은 짐브라를 통해 정보를 탈취하려는 캠페인을 벌이기도 했었다.
보안 업체 이셋(ESET)에 의하면 2023년 4월부터 정체가 다 밝혀지지 않은 한 공격 단체가 짐브라 계정에 대한 접속 권한을 탈취하기 위한 목적으로 피싱 이메일을 대거 흩뿌리기 시작했다고 한다. 짐브라의 주요 고객층인 중소기업들이 주요 표적이었으나, 일부 정부 및 공공 기관들이 휘말려들기도 했다고 한다.
이셋의 수석 멀웨어 연구원인 안톤 체레파노프(Anton Cherepanov)는 “전 세계 수백~수천 개의 조직들이 이 캠페인에 노출되어 왔다”며 “정확한 공격 성공률이나 피해 규모를 집계하는 게 지금 시점에서는 까다롭다”고 말한다.
짐브라 사용자들을 겨냥한 피싱
이번 캠페인은 늘 똑같은 방식으로 시작한다. 우리가 흔히 보는 그런 피싱 메일을 만드는 것에서부터 시작하기 때문이다. 이 피싱 메일은 짐브라에서 직접 만들어 보낸 것처럼 꾸며져 있다. “서버 업데이트를 해야 한다거나, 계정 비활성화를 잠시 해야 한다거나, 보안 서비스 점검이 있다거나 하는 식으로 뭔가 긴급한 분위기를 조성하는 메일들입니다. 제목은 ‘짐브라 보안 팀에서 보냅니다’는 식일 때가 많고요.”
메일을 열면 “7월 3일부터 서비스 업데이트를 위해 짐브라 웹 클라이언트의 로그인 페이지가 바뀐다”는 안내가 나오며, “자동 비활성화를 통해 접근이 막히지 않도록 미리 접속해 두라”는 권장 사항들도 포함되어 있다. 또한 메일 하단에는 “짐브라 사장 - 관리부”라는 서명까지 첨부되어 있다. 메일에는 파일이 첨부되어 있는데, HTML 파일이다. 열면 가짜 짐브라 로그인 페이지로 접속된다.
고객들에 미치는 영향
가짜 로그인 페이지에 속아 비밀번호를 입력하게 되면, 해당 정보는 공격자들이 관리하는 서버로 전송된다. “만약 여기에 속아 비밀번호를 넘긴 사람이 짐브라 관리자 계정의 소유자라면 사태는 꽤나 심각해질 수 있습니다. 피해자의 서버 깊숙한 곳에까지 공격자가 침투하여 백도어를 심어두거나 보안 설정을 건드려 추가 공격을 이어갈 수도 있고요. 관리자 계정에 묶여 있는 다른 짐브라 계정에도 어느 정도 접근이 가능하게 됩니다.”
현재까지 이 캠페인에 가장 많은 피해를 입은 국가는 폴란드다. 그 다음은 에콰도르와 이탈리아다. 이 세 국가보다 규모가 어느 정도는 작지만 멕시코, 카자흐스탄, 네덜란드에서도 피해 기업들이 나타나는 중이다. 피해자들 사이에서는 짐브라를 사용하고 있었다는 점 외에 그 어떤 공통점도 존재하지 않는다고 한다. “짐브라를 사용할 때 강력한 비밀번호를 설정하고, 다중 인증 체제를 갖추는 등 전통적인 보안 실천 사항을 지키는 게 중요합니다.”
3줄 요약
1. 중소기업들 사이에서 인기 높은 오피스 스위트인 짐브라.
2. 그 짐브라를 노리는 피싱 캠페인, 4월부터 시작된 듯.
3. 크리덴셜 가져가고자 하는 게 공격자들의 최종 목표, 각별한 주의 요구됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-08] 
