보안 시스템 탐지 회피하는 서버측 다형성 공격 기승

“클라우드 기반의 휴리스틱 탐지 및 평판 보안 기술 도입 필요”

[보안뉴스 호애진] 시만텍은 ‘시만텍 인텔리전스 리포트(Symantec Intelligence Report)’ 2월호를 통해 미 공정거래협회(Better Business Bureau)를 사칭한 신종 사이버 공격들이 잇따르고 있어 주의가 요구된다고 밝혔다.

공격자들은 기업들을 겨냥해 미 공정거래협회에서 보낸 것처럼 위조해 해당 기업을 상대로 소비자 불만이 접수됐으며, 보다 자세한 정보는 첨부파일을 참조하라고 사회공학적 공격기법을 접목한 이메일을 보낸다. 하지만 첨부된 PDF 파일에는 악성 실행파일이 심어져 있거나 악의적 웹사이트로의 방문을 유도하는 URL이 포함돼 있다.

이러한 공격들은 2007년 처음 보고된 공격방식과 비슷한데, 이때도 공격자들은 기업 임원들을 겨냥해 미 공정거래협회에서 보낸 것처럼 위장한 이메일을 발송했다. 최근 공격방식도 2007년 당시처럼 사회 공학적 기법을 이용하고 있다는 점에서 유사하지만 서버측 다형성(Polymorphism) 공격과 같은 보다 진일보한 공격 기법이 동원되고 있어 탐지가 더욱 어렵다.

서버측 다형성 공격을 통해 공격자들은 매번 기존 유형과 조금씩 다른 형태로 공격, 기존 보안 시스템의 탐지를 회피하며, 주로 PHP 스크립트를 이용해 공격자의 웹사이트에서 자동으로 돌연변이 악성 코드를 생성한다.

이러한 공격양상은 그리스 신화에 나오는 바다의 신 프로테우스처럼 매번 모습을 바꾸는 변화무쌍한 속성 때문에 기존 시그니처 기반의 보안 탐지 방식으로는 탐지하기 매우 어렵다. 2012년 2월 탐지된 이메일 기반 악성코드 중 41.1%가 다형성 악성코드 변종이었다.

시만텍은 이전에 알려지지 않은 신종 위협에 신속히 대응할 수 있는 클라우드 기반의 휴리스틱 탐지 기법인 ‘스켑틱(Skeptic)’ 기술을 통해 다형성 악성코드 변종을 효과적으로 탐지하고 있고, 거의 매일 시만텍의 닷클라우드 이메일 서비스를 통해 필터링하고 있다.

하지만 공격자들도 공격 성공률을 높이기 위해 공격전술과 사회 공학적 기법을 수시로 바꾸고 있는 상황이다. 최근 발생한 대표적인 공격사건 가운데는 페덱스, UPS, DHL, 아메리칸 항공 등 잘 알려진 기업을 사칭한 이메일 공격이 포함돼 있다.

시만텍은 본 보고서 작성 시점에서 한번의 공격으로 700건 이상의 악성 이메일이 전송됐음을 확인할 수 있었다. 각 이메일마다 공격 표적이 달랐고, 공격 시간은 30분도 채 걸리지 않았다.

윤광택 시만텍코리아 이사는 “다형성은 말 그대로 매번 기존 위협과 조금씩 다르게 형태를 바꾸는 것으로, 이를 이용해 공격자들은 쉽게 보안 탐지를 피할 수 있다”며, “새로운 악성 프로그램이 정상적인 프로그램에 비해 더 빠른 속도로 생성되는 상황에서 전통적인 보안 시스템의 부족한 부분을 채워줄 수 있는 클라우드 기반의 휴리스틱 탐지기법 및 평판 보안 기술과 같은 상호보완적 기술을 도입할 필요가 있다”고 강조했다.

[호애진 기자(boan5@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)