Home > 전체기사
두쿠 2.0의 정체 일부 : 디지털 인증서 도둑
  |  입력 : 2015-06-16 15:38
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기

인증서 훔쳐 사용함으로써 합법 펌웨어 업그레이드로 가장

ICS/SCADA 관련 모듈에 많은 비밀 숨어 있어


[보안뉴스 문가용] 두쿠 2.0이란 신무기를 장착한 채 정보보안 업계에 갑자기 모습을 드러낸 해커들이 합법적인 디지털 인증서를 훔쳐서 사용한 것이 드러났다. 그것도 세계 최대 규모의 전자장비 생산자로부터 말이다. 누구나 알만한 곳으로부터 훔친 인증서가 있어서 조용히 시스템에 잠입해 할 일을 할 수 있었다는 게 최근 두쿠 2.0에 대한 분석결과다.


카스퍼스키 글로벌 연구 및 분석 팀을 총괄하고 있는 코스틴 라이우(Costin Raiu)는 현재 진행되고 있는 이란 핵 협상과 관련이 있는 기관 및 정부를 겨냥한 사이버 스파이 행위의 전모를 파악할 만한 거대한 퍼즐조각을 발견했다고 어제 발표했다. 당연히 이 퍼즐조각은 최근 비슷한 공격을 받은 카스퍼스키에게도 중요한 것이다.


다시 한 번 두쿠 2.0에 대해 간략히 짚고 넘어가자면, 두쿠 2.0은 새롭게 등장한 신개념 멀웨어로 시스템의 메모리에만 자리 잡고 있고 하드웨어 공간은 조금도 사용하지 않는다. 즉 리부팅과 동시에 시스템에서 사라진다는 소리인데 그러면서도 겨냥한 시스템이나 네트워크에 자유롭게 드나들 수 있기도 하다. 가볍고 흔적은 단 1 바이트도 안 남기면서 언제나 피해자 시스템에 침투가 가능한 이 멀웨어가 어떻게 성립 가능할까?


라이우에 따르면 해커들은 중국의 폭스콘 테크놀로지 그룹(Foxconn Technology Group)이라는, 세계 최대의 전자장비 생산 업체이자 애플의 아이폰, 아이패드를 비롯해 MS, 에이서, 아마존, 블랙베리, 시스코, 델, 구글, HP, 모토롤라, 소니의 제품을 생산하는 기업의 ‘공식적’이며 ‘합법적’인 인증이 담긴 악성 드라이버를 설치한다.


이 드라이버는 방화벽, 게이트웨이 등 인터넷 트래픽과 직접 마찰을 일으키는 서버들에 설치가 되며, 폭스콘의 인증서를 가지고 있기에 대부분 시스템으로부터 무리 없이 통과 허락을 받는다. 그 시스템이 보기에는 폭스콘 제품의 공식 펌웨어 업데이트 중 하나이기 때문이다. 그렇게 침투에 성공하고 메모리에 자리를 잡으면 그때부터는 기존 멀웨어들의 C&C 작업이 시작된다.


“수사를 진행하면서 해커들이 멀웨어에 지속성 더하기 위해 사용한 64비트 드라이버를 발견할 수 있었습니다.” 이런 방식으로 최초 설치부터 C&C 운영을 하니 로그 활동 역시 은폐시킬 수 있었다는 게 라이우의 설명이다. 이는 이전 버전의 두쿠가 차용했던 방식과 동일하다. 두쿠 1.0이라면 그 유명한 스턱스넷의 조상뻘로 여겨지는 멀웨어다. 당시 두쿠 역시 합법적인 디지털 인증서를 훔쳐서 사용했는데, 리얼텍(Realtek)과 제이마이크론(Jmicron)이 그 희생양이었다.


라이우는 “폭스콘이 희생양이었는지 후원자였는지는 정확히 판단할 수가 없지만 일단 이 같은 사실을 회사 측에 알리긴 했다”며 “베리사인(Verisign)에도 같은 내용을 통보했다”고 밝혔다. 현재 베리사인은 폭스콘의 인증서를 폐지하고 있다.


이처럼 합법적인 인증서를 활용하는 해킹 수법은 여러 방어 솔루션을 우회하는 방법이 다양해지고 있음을 보여준다. “드라이버는 게이트웨이를 가동하는 기계들로 향하거나 기계들로부터 나오는 네트워크 흐름의 방향을 바꿉니다. 이 드라이버와 연결하려면 공격자는 네트워크에 근간한 메커니즘을 사용해 게이트웨이에 ‘노크’를 해야 하는데, 이때 사용되는 키워드가 몇 가지 있습니다. 그중 몇 가지를 이번에 발견할 수 있었는데, 바로 romanian.antihacker와 ugli.gorilla였습니다.”


경악스러운 사실은 해커들이 같은 인증서를 한 번 이상 사용하지 않는다는 것이다. 즉 이들에겐 이미 훔친 디지털 인증서가 수두룩하게 많다는 뜻도 된다. “해커의 수중에 인증서가 다량 있다면, 해킹이 굉장히 편해지죠.”


한편 카스퍼스키는 이뿐 아니라 아시아 태평양 지역에서 ICS/SCADA 하드웨어 관련 사업을 운영하는 기업에서 두쿠 2.0 감염의 흔적을 발견했다. “해커들은 아태 지역의 하드웨어 생산자들에게도 관심이 있는 것으로 보입니다.” 하지만 카스퍼스키 측은 해당 기업의 이름을 정확하게 밝히지는 않았다.


게다가 두쿠 2.0의 한 모듈에서는 ICS/SCADA와의 연관성이 발견되기도 했다. 한 파일이름에 HMI(human machine interface)이라는 약자가 있었던 것이다. 그러나 두쿠 2.0이 정확히 ICS/SCADA의 어떤 부분 혹은 어떤 취약점을 노리는지, 어떤 기능을 가지고 있는지, 어떤 목적 아래 움직이는지는 여전히 수사 중에 놓여있다.


또한 여전히 해커들이 정확히 노린 바가 무엇인지는 밝혀지지 않고 있다. 또한 스턱스넷과의 정확한 연관성도 아직은 드러난 바가 없다. “그렇기 때문에 이 HMI 이름이 있던 모듈의 존재가 더 기이한 겁니다. 이 모듈에 대한 분석이 완료되고 정확한 결론을 얻게 되면 두쿠 2.0에 대해 많은 것을 알게 되리라고 봅니다. 해커들의 동기와 목적, 작동원리 등을 말이죠.”


또한 두쿠 2.0부터는 정보보안 업체 역시 공격의 범위 안에 들어간 것이나 다름이 없게 되었다. 시장의 판도 자체가 바뀐 것이다. 이는 곧 방어의 본거지 혹은 방어기술의 진원지로의 직접 타격이 시작되었다는 뜻이다. 정보보안을 간판에 내건 기업들은 이제 스스로가 안전함을 증명해야 된다.

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]


<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>

  •  
  • 1
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
IBM 파워비즈 배너 2019년2월8일~2020년2월7일까지/7월25일 수정위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
2019년 국정감사에서 가장 중점적으로 다뤄야 할 보안이슈는 무엇이라고 보시나요?
잇따른 개인정보 유출사고
드론 테러 대응 대책
보안 관련 법 체계, 제도 정비
국가 사이버안보 거버넌스(보안 콘트롤타워) 정립
국가 차원의 사이버테러 대응 방안
스마트시티에서의 보안위협 대응
https 접속 차단 정책
국가핵심기술 및 기업 기밀 보호 방안
기타(댓글로)
      

유니뷰코리아
CCTV / 영상보안

인콘
통합관제 / 소방방재

현대틸스
팬틸트 / 카메라

아이디스
DVR / IP / VMS

시큐인포
CCTV / NVR

한화테크윈
CCTV 카메라 / 영상감시

Videotec
PTZ 카메라

대명코퍼레이션
DVR / IP카메라

티제이원
영상 보안 / 출입 통제

하이크비전 코리아
CCTV / IP / NVR

원우이엔지
줌카메라

도마카바코리아
시큐리티 게이트

다후아 코리아
CCTV / DVR

씨앤비텍
통합보안솔루션

지케이테코
출입통제 / 얼굴인식

아이디스
DVR / IP / VMS

한국하니웰
CCTV / DVR

이화트론
DVR / IP / CCTV

경인씨엔에스
CCTV / 자동복구장치

테크스피어
손혈관 / 차량하부 검색기

비전정보통신
IP카메라 / VMS / 폴

슈프리마
출입통제 / 얼굴인식

동양유니텍
IR PTZ 카메라

트루엔
IP 카메라

링크플로우
이동형 CCTV 솔루션

보쉬시큐리티시스템즈
CCTV / 영상보안

엔토스정보통신
DVR / NVR / CCTV

CCTV협동조합
CCTV

아이티엑스엠투엠
DVR / NVR / IP CAMERA

디비시스
CCTV토탈솔루션

씨오피코리아
CCTV 영상 전송장비

테크어헤드
얼굴인식 소프트웨어

씨엠아이텍
근태관리 소프트웨어 / 홍채 스케너

구네보코리아
보안게이트

다민정보산업
기업형 스토리지

에스카
CCTV / 영상개선

이스트시큐리티
엔트포인트 보안

신우테크
팬틸드 / 하우징

에프에스네트웍스
스피드 돔 카메라

엔클라우드
VMS / 스위치

케이제이테크
지문 / 얼굴 출입 통제기

알에프코리아
무선 브릿지 / AP

사라다
지능형 객체 인식 시스템

일산정밀
CCTV / 부품 / 윈도우

엘림광통신
광전송링크

티에스아이솔루션
출입 통제 솔루션

창우
폴대

퍼시픽솔루션
IP 카메라 / DVR

새눈
CCTV 상태관리 솔루션

이노뎁
VMS

케이티앤씨
CCTV / 모듈 / 도어락

아이유플러스
레이더 / 카메라

진명아이앤씨
CCTV / 카메라

브이유텍
플랫폼 기반 통합 NVR

아이엔아이
울타리 침입 감지 시스템

두레옵트로닉스
카메라 렌즈

이후커뮤니케이션
CCTV / DVR

DK솔루션
메트릭스 / 망전송시스템

옵티언스

대산시큐리티
CCTV 폴 / 함체 / 랙

포커스에이치앤에스
지능형 / 카메라

휴컴스
PTZ 카메라 / 줌카메라

더케이
투광기 / 차량번호인식

유진시스템코리아
팬틸트 / 하우징

세환엠에스
시큐리티 게이트

지에스티엔지니어링
게이트 / 스피드게이트

카티스
출입통제 / 외곽경비

유니온커뮤니티
생체인식 / 출입통제