솔라윈즈 사태를 일으켰던 러시아의 APT29가 이번에는 팀시티라는 소프트웨어 개발 플랫폼을 노리기 시작했다. 이들의 계획이 성공한다면 제2의 솔라윈즈 사태가 벌어질 수 있다.
[보안뉴스 문가용 기자] 악명 높은 러시아의 APT 조직인 APT29가 최근 새로운 취약점을 활발히 익스플로잇 하는 중이라는 고발이 나왔다. APT29는 2020년 솔라윈즈(SolardWinds) 사태를 일으킨 장본인들로, 최근에는 젯브레인즈 팀시티(JetBrains TeamCity)라는 소프트웨어의 초고위험도 취약점을 적극 노리는 중이라고 한다. 공격을 성공시킬 경우 솔라윈즈 사태 때와 마찬가지로 거대한 공급망 공격을 실시하게 된다고 미국의 CISA, FBI, NSA가 경고했다.
APT29는 코지베어(CozyBear), 듀크스(Dukes), 미드나이트블리자드(Midnight Blizzard), 노벨륨(Nobelium)이라는 이름으로도 불린다. 이들이 공략하고 있는 팀시티의 취약점은 CVE-2023-42793으로 원격 코드 실행을 가능하게 하며 CVSS 기준 9.8점을 받았을 정도로 심각하다. 개발사인 젯브레인즈 측에서 9월에 패치를 발표했고, 보안 업체 라피드7(Rapid7)이 개념 증명용 코드를 공개하면서 대대적으로 알려졌다.
팀시티는 일종의 소프트웨어 개발 생애주기 관리 도구이자 플랫폼으로, 이곳에는 온갖 소스코드와 서명을 위한 인증서들까지 전부 저장되어 있다. 침해에 성공할 경우 공격자들은 매우 가치가 높은 데이터에 접근할 수 있게 되는데, 그것이 전부가 아니다. 개발되고 있는 소프트웨어 자체를 조작할 수 있게 되며, 그 소프트웨어가 사용자들에게 배포되는 단계에도 개입할 수 있다. 그러므로 소프트웨어 공급망에 개입되어 있는 모든 사람들에게 영향을 줄 수 있다.
“개발 플랫폼을 침해한 것이므로 공격자가 악성 업데이트 형태로 멀웨어를 유포할 수도 있습니다. 예를 들어 백도어를 업데이트처럼 내보내면 피해자들은 의심하지 못한 채 업데이트를 적용할 것이고, 그러면 수많은 장비들에 백도어가 설치되는 효과를 공격자는 가져갈 수 있게 됩니다. 조용히 작동하는 멀웨어를 유포시킨다면 피해자는 공격이 실행되고 있다는 걸 영원히 모를 수도 있습니다.” 세 기관이 경고한 내용이다.
단번에 복구하기 쉽지 않아
솔라윈즈 사태를 다시 복기하자면 APT29는 솔라윈즈의 업데이트 배포 채널을 장악하여 자신들이 사용하는 멀웨어를 마치 솔라윈즈 업데이트인 것처럼 뿌렸다. 공격은 매우 효율적이었고, 한 번에 수많은 기업들이 멀웨어에 감염됐다. 약 1만 8천여 조직이 이 한 번의 공격에 감염된 것으로 알려져 있다. 공격자들은 이 중 자신들의 목적이 좀 더 부합한 피해자들을 골라서 두 번째 공격을 이어갔고, 이 과정에서 MS와 파이어아이(FireEye) 등 주요 기업들도 피해를 입었다.
이번 팀시티 사태의 경우도 이와 비슷한 일이 벌어질 가능성이 존재한다. 하지만 아직까지 상황이 그렇게까지 발전하지는 않았다. “APT29는 러시아의 해외 첩보 총괄 기관인 SVR과 연관이 있습니다. 즉 솔라윈즈 사태 때와 비슷한 공격을 이어간다고 하더라도 이상하지 않다는 겁니다. 팀시티의 배포망을 통해 이들은 백도어를 심을 수도 있고, 권한을 높일 수도 있으며, 횡적으로 움직이고, 다른 공격 지속성 도구들을 설치할 수도 있습니다.” 세 기관의 경고다.
이런 공격이 실제 실행되었다고 한다면 문제는 패치 한두 개 적용한다고 해서 위협이 사라지는 게 아니라는 것이다. 팀시티의 취약점은 최초의 침투 통로였을 뿐이고, 따라서 팀시티의 보안 패치를 진행한다고 해도 그 최초의 문만 닫힐 뿐 이미 안에 들어와 있는 적들을 청소하지는 못하기 때문이다. 이에 대해서는 젯브레인즈도 경고하고 있다. “패치를 통해 취약점을 해결한다고 해도 공격자들이 미리 들어와 백도어 등을 설치해 두었다면, 그것을 일일이 찾아서 삭제해야 합니다.” 현재 이 취약점에 노출된 팀시트 소프트웨어가 인터넷에 노출된 건 최소 800건 정도 발견되고 있다.
CVE-2023-42793, 개발자 노리기에 특화된 취약점
APT29만 이 취약점을 특별히 익스플로잇 한다고 생각하면 큰 오산이다. 여러 APT 단체들이 익스플로잇을 시도하고 있다. 10월에는 MS가 일부 북한 APT 단체들이 팀시티의 취약점을 통해 백도어를 심고 있다는 경고를 발표한 적이 있었다. 라자루스(Lazarus)와 안다리엘(Andariel) 등도 이런 활동을 벌이고 있던 것으로 밝혀졌다. 보안 업체 포티넷(Fortinet)도 “여러 공격 단체가 이 취약점을 익스플로잇 하고 있다”고 발표한 적이 있었다.
그럼 어떻게 해야 안전해질 수 있을까? FBI, NSA, CISA는 “제일 먼저는 안전한 버전인 2023.05.4 버전으로 업데이트 하는 것부터 시작해야 한다”고 말한다. “그렇게 침투 경로를 틀어막은 후에는 능동적인 위협 탐지 및 해결 활동을 펼쳐야 합니다. 침해지표들을 활용해 위해한 것들이 네트워크에 숨어 있지는 않은지 확인하고 삭제해주는 절차를 반드시 거쳐야 합니다. 팀시티 서버와 빌드 에이전트 모두가 이런 식으로 검사되어야 안전합니다.”
젯브레인즈도 CVE-2023-42793에 대한 보안 권고문을 발표하며 “인터넷을 통해 접속이 가능한 서버들을 모두 차단한 상태로 패치와 멀웨어 탐지 및 삭제 활동을 진행하라”고 권고했다. 또한 “문제가 발견된 건 윈도 기반 팀시티 환경이지만 리눅스에서도 이런 문제가 없으리라고 장담할 수 없다”고 밝히기도 했다.
3줄 요약
1. 팀시티라는 개발 플랫폼에서 원격 코드 실행 취약점이 발견됨.
2. 익스플로잇에 성공할 경우 솔라윈즈와 같은 사태가 발생할 수 있음.
3. 취약점 패치는 물론 이미 심겨져 있는 멀웨어를 찾아 삭제해야 함.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 악명 높은 러시아의 APT 조직인 APT29가 최근 새로운 취약점을 활발히 익스플로잇 하는 중이라는 고발이 나왔다. APT29는 2020년 솔라윈즈(SolardWinds) 사태를 일으킨 장본인들로, 최근에는 젯브레인즈 팀시티(JetBrains TeamCity)라는 소프트웨어의 초고위험도 취약점을 적극 노리는 중이라고 한다. 공격을 성공시킬 경우 솔라윈즈 사태 때와 마찬가지로 거대한 공급망 공격을 실시하게 된다고 미국의 CISA, FBI, NSA가 경고했다.
[이미지 = gettyimagesbank]
APT29는 코지베어(CozyBear), 듀크스(Dukes), 미드나이트블리자드(Midnight Blizzard), 노벨륨(Nobelium)이라는 이름으로도 불린다. 이들이 공략하고 있는 팀시티의 취약점은 CVE-2023-42793으로 원격 코드 실행을 가능하게 하며 CVSS 기준 9.8점을 받았을 정도로 심각하다. 개발사인 젯브레인즈 측에서 9월에 패치를 발표했고, 보안 업체 라피드7(Rapid7)이 개념 증명용 코드를 공개하면서 대대적으로 알려졌다.
팀시티는 일종의 소프트웨어 개발 생애주기 관리 도구이자 플랫폼으로, 이곳에는 온갖 소스코드와 서명을 위한 인증서들까지 전부 저장되어 있다. 침해에 성공할 경우 공격자들은 매우 가치가 높은 데이터에 접근할 수 있게 되는데, 그것이 전부가 아니다. 개발되고 있는 소프트웨어 자체를 조작할 수 있게 되며, 그 소프트웨어가 사용자들에게 배포되는 단계에도 개입할 수 있다. 그러므로 소프트웨어 공급망에 개입되어 있는 모든 사람들에게 영향을 줄 수 있다.
“개발 플랫폼을 침해한 것이므로 공격자가 악성 업데이트 형태로 멀웨어를 유포할 수도 있습니다. 예를 들어 백도어를 업데이트처럼 내보내면 피해자들은 의심하지 못한 채 업데이트를 적용할 것이고, 그러면 수많은 장비들에 백도어가 설치되는 효과를 공격자는 가져갈 수 있게 됩니다. 조용히 작동하는 멀웨어를 유포시킨다면 피해자는 공격이 실행되고 있다는 걸 영원히 모를 수도 있습니다.” 세 기관이 경고한 내용이다.
단번에 복구하기 쉽지 않아
솔라윈즈 사태를 다시 복기하자면 APT29는 솔라윈즈의 업데이트 배포 채널을 장악하여 자신들이 사용하는 멀웨어를 마치 솔라윈즈 업데이트인 것처럼 뿌렸다. 공격은 매우 효율적이었고, 한 번에 수많은 기업들이 멀웨어에 감염됐다. 약 1만 8천여 조직이 이 한 번의 공격에 감염된 것으로 알려져 있다. 공격자들은 이 중 자신들의 목적이 좀 더 부합한 피해자들을 골라서 두 번째 공격을 이어갔고, 이 과정에서 MS와 파이어아이(FireEye) 등 주요 기업들도 피해를 입었다.
이번 팀시티 사태의 경우도 이와 비슷한 일이 벌어질 가능성이 존재한다. 하지만 아직까지 상황이 그렇게까지 발전하지는 않았다. “APT29는 러시아의 해외 첩보 총괄 기관인 SVR과 연관이 있습니다. 즉 솔라윈즈 사태 때와 비슷한 공격을 이어간다고 하더라도 이상하지 않다는 겁니다. 팀시티의 배포망을 통해 이들은 백도어를 심을 수도 있고, 권한을 높일 수도 있으며, 횡적으로 움직이고, 다른 공격 지속성 도구들을 설치할 수도 있습니다.” 세 기관의 경고다.
이런 공격이 실제 실행되었다고 한다면 문제는 패치 한두 개 적용한다고 해서 위협이 사라지는 게 아니라는 것이다. 팀시티의 취약점은 최초의 침투 통로였을 뿐이고, 따라서 팀시티의 보안 패치를 진행한다고 해도 그 최초의 문만 닫힐 뿐 이미 안에 들어와 있는 적들을 청소하지는 못하기 때문이다. 이에 대해서는 젯브레인즈도 경고하고 있다. “패치를 통해 취약점을 해결한다고 해도 공격자들이 미리 들어와 백도어 등을 설치해 두었다면, 그것을 일일이 찾아서 삭제해야 합니다.” 현재 이 취약점에 노출된 팀시트 소프트웨어가 인터넷에 노출된 건 최소 800건 정도 발견되고 있다.
CVE-2023-42793, 개발자 노리기에 특화된 취약점
APT29만 이 취약점을 특별히 익스플로잇 한다고 생각하면 큰 오산이다. 여러 APT 단체들이 익스플로잇을 시도하고 있다. 10월에는 MS가 일부 북한 APT 단체들이 팀시티의 취약점을 통해 백도어를 심고 있다는 경고를 발표한 적이 있었다. 라자루스(Lazarus)와 안다리엘(Andariel) 등도 이런 활동을 벌이고 있던 것으로 밝혀졌다. 보안 업체 포티넷(Fortinet)도 “여러 공격 단체가 이 취약점을 익스플로잇 하고 있다”고 발표한 적이 있었다.
그럼 어떻게 해야 안전해질 수 있을까? FBI, NSA, CISA는 “제일 먼저는 안전한 버전인 2023.05.4 버전으로 업데이트 하는 것부터 시작해야 한다”고 말한다. “그렇게 침투 경로를 틀어막은 후에는 능동적인 위협 탐지 및 해결 활동을 펼쳐야 합니다. 침해지표들을 활용해 위해한 것들이 네트워크에 숨어 있지는 않은지 확인하고 삭제해주는 절차를 반드시 거쳐야 합니다. 팀시티 서버와 빌드 에이전트 모두가 이런 식으로 검사되어야 안전합니다.”
젯브레인즈도 CVE-2023-42793에 대한 보안 권고문을 발표하며 “인터넷을 통해 접속이 가능한 서버들을 모두 차단한 상태로 패치와 멀웨어 탐지 및 삭제 활동을 진행하라”고 권고했다. 또한 “문제가 발견된 건 윈도 기반 팀시티 환경이지만 리눅스에서도 이런 문제가 없으리라고 장담할 수 없다”고 밝히기도 했다.
3줄 요약
1. 팀시티라는 개발 플랫폼에서 원격 코드 실행 취약점이 발견됨.
2. 익스플로잇에 성공할 경우 솔라윈즈와 같은 사태가 발생할 수 있음.
3. 취약점 패치는 물론 이미 심겨져 있는 멀웨어를 찾아 삭제해야 함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-12-24] 
.jpg)
