서버대상으로 하는 새로운 웜타입 백도어 발견!

CMS 대상 공격과 달리 또 다른 서버를 탐색, 악성코드 유포가 특징

[보안뉴스 김경애] 기존 서버를 대상으로 하는 악성코드와 달리 주변 시스템으로 악성코드를 유포하는 새로운 웜타입 백도어(Java.Tomdep)가 발견되어 사용자 및 보안담당자들의 각별한 주의가 요구된다.

▲ Java.Tomdep 유포 과정

시만텍은 최근 Apache Tomcat 운용 서버에서 웜타입의 백도어를 발견했다고 밝혔다. 또한, 기존 웹사이트를 구성하고 있는 콘텐츠를 효율적으로 관리할 수 있도록 도와주는 시스템인 CMS(Contents Management System) 대상 공격과 달리 또 다른 서버를 탐색하고, 악성코드 유포하는 특징이 있다고 덧붙였다.

기존의 서버대상 악성코드는 주로 PHP로 작성되고, Wordpress와 같은 CMS 시스템을 공격해 웹페이지 방문자에 악성코드를 내려 받게 하는 드라이브 바이(Drive-by) 다운로드 또는 악성코드 유포지로 Redirection하기 위해 JavaScript 또는 HTML 코드를 삽입하는 워터 홀(water hole)과 같은 공격 형태였다.

그러나 최근 발견된 공격 형태는 주변 시스템으로 악성코드를 유포하는 새로운 웜타입의 백도어(Java.Tomdep)이다. 특히, 이번에 발견된 악성코드는 Java Servlet 형태로, Apache Tomcat 서버를 공격하는 것뿐만 아니라, 또 다른 Tomcat 서버를 탐색하고 악성코드를 유포해 DDoS 공격 등에 사용되는 형태이다.

이와 관련 시만텍은 “명령·제어(C&C) 서버가 대만과 룩셈부르크에 위치하고 있었으며, 탐지된 서버기반 봇넷은 아직 구축 초기단계로, DDoS 공격을 위해, 규모 확장 중이었다”고 밝혔다.

좀더 자세한 사항은 인터넷진흥원이 제시한 다음 사이트를 참고하면 된다.

http://www.infosecurity-magazine.com/view/35776/symantec-finds-the-early-stages-of-a-serverbased-botnet-build ( 2013.11.22 )

http://news.softpedia.com/news/Apache-Tomcat-Servers-Targeted-by-Self-Replicating-Malware-402549.shtml ( 2013.11.21 )

[김경애 기자(boan3@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)