.jpg)
.jpg)
해커조직이 여러 익스플로잇 킷 사용하는 과정에서 줄었을 수도
[보안뉴스 김지언] 해외에서만 발견되던 리그 익스플로잇 킷(이하 리그킷)을 활용한 악성코드 유포사례가 지난 8월 26일부터 국내에도 보고되면서 국내 보안업계에 비상이 걸렸다. 리그킷은 국내에선 처음 보고된데다 난독화 부분이 강화돼 여타 보안취약점 공격방식에 비해 분석이 까다롭기 때문이다.
|
|
|
▲ 국내에 상륙해 폭풍처럼 휘몰아치던 리그킷 공격, 왜 갑자기 줄어들었을까? |
그러나 국내를 타깃으로 발생한 리그킷 악용 공격은 8월 31일부터 점차 줄어들며 9월 3일을 기점으로 급감했다. 이에 해커들이 타 익스플로잇 킷에 비해 강력한 신규 공격 도구를 지속적으로 사용하지 않는 이유에 대한 의문이 제기됐다.
이와 관련 이스트소프트 문종현 부장은 리그킷 활용을 위해서는 리그킷 판매 해커에게 유료로 구매해야 한다는 점을 들었다.
문 부장은 “국내에 리그킷을 이용해 악성코드를 유포한 조직은 언더그라운드 해킹도구 판매 사이트에서 리그킷을 유료로 구매한 것으로 보인다”며 “리그킷은 언더그라운드 사이트 별로 금액 차이가 있지만 1일에는 30(or 60)달러, 1주일에는 150(or 300)달러, 1달에는 500달러 정도로 판매되고 있다”고 밝혔다.
하우리 최상명 센터장은 리그킷을 통해 국내에 악성코드를 유포한 조직이 리그킷 이후 스윗오렌지 익스플로잇 킷으로 갈아탔다는 점을 들며 또다른 가능성을 제기했다.
스윗오렌지 익스플로잇 킷이 리그킷보다는 저렴하지만 가격면에서 크게 차이가 나지 않는다는 점에서다.
이와 관련 최 센터장은 “이번에 리그킷을 사용해 국내 사용자들의 PC에 악성코드를 유포한 일당은 2011년부터 지속적으로 국내 사용자들의 금융정보를 갈취하기 위해 파밍 공격용 악성코드를 유포했다”며 “다양한 유포도구를 사용해 보다가 가장 적합한 것으로 바꾸기 위해 리그킷 사용을 줄였을 가능성이 있다”고 전했다.
스윗오렌지 익스플로잇 킷은 CK VIP 익스플로잇 킷 등 기존에 발견된 타 익스플로잇 킷에 비해서는 보안업체의 탐지를 우회하기 쉽다는 장점이 있다. 최종 악성코드 유포지에서 유포되는 악성코드는 정상 감염경로를 거친 IP에서만 10분 가량 다운로드할 수 있기 때문이다. 따라서 보안업체에 악성코드 신고가 들어가더라도 정상 감염경로를 거친 IP가 아니거나 정상 감염경로를 거친 IP라고 할지라도 시간이 만료되면 악성코드 샘플을 확보하기가 어렵다.
이번에 국내에서 발견된 리그킷은 다수의 취약점을 이용해 사용자 PC를 악성코드에 감염시키는 익스플로잇 킷(보안취약점을 이용한 악성코드 유포 도구) 중 하나다. 리그킷은 국내에서 사용됐던 타 익스플로잇 킷과는 달리 인터넷 익스플로러, 어도비 플래시 플레이어, 오라클 자바 외에도 마이크로소프트 실버라이트의 취약점을 사용하는 것이 특징이다.
기존에 사용하던 익스플로잇 킷은 난독화된 코드의 복호화 과정이 자바스크립트(JavaScript)로 되어 있어 비교적 쉽게 코드 분석이 가능했으나, 리그킷은 그 과정이 PHP로 되어 있어 코드 분석이 어렵고, 공격자가 지정한 특정값(PHPSSESID)을 다른 페이지에서 확인한 후 최종 악성코드를 유포하는 방식을 취하고 있다.
국내에서 리그킷을 통해 유포된 악성코드는 파밍을 통한 금융정보 탈취, 비트코인 마이너 설치를 통한 비트코인 채굴, SSL 중간자 공격이 가능한 프록시 설치를 통한 SSL 보호 구간에서도 계정 탈취 등이 가능했다.
이를 통한 감염을 막기 위해 사용자는 자바, 어도비 플래쉬 플레이어, 인터넷 익스플로러, 실버라이트 등을 항상 최신 버전으로 업데이트해야 한다. 또 백신을 최신 버전으로 업데이트해 주기적으로 검사하고, 최근 출시되고 있는 취약점 공격 사전 차단 솔루션을 설치해 함께 사용한다면 피해를 줄일 수 있다.
한편, 현재까지 전세계적으로 알려진 익스플로잇 킷의 종류는 약 150여종으로 알려져 있다.
[김지언 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김지언기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
