시만텍, 금융 관련 신종 트로이목마 확산 경고
SWIFT(국제은행간통신협회) 사용기관 공격한 정황 발견돼
악명 높은 금융 해커 집단 ‘카바낙(Carbanak)’과 연관 가능성
[보안뉴스 원병철 기자] 금융권을 노린 신종 트로이목마가 발견돼 금융기관, 기업의 각별한 주의가 필요하다. 글로벌 사이버 보안기업 시만텍은 최근 전 세계 다수의 금융기관을 겨냥한 신종 악성코드 ‘오디나프 트로이목마(Trojan.Odinaff)’의 공격이 지속되고 있다며 경고하며, 은행, 증권, 트레이딩 분야의 금융기관 및 기업들은 사이버 보안 강화가 요구된다고 강조했다.
시만텍 조사결과에 따르면, ‘오디나프’는 올 1월부터 탐지되기 시작했으며, 이와 관련된 은밀한 공격이 전 세계 다수의 금융기관을 대상으로 계속되고 있다. 오디나프는 보통 공격 초기 단계에서 표적 네트워크에 침입하기 위한 수단으로 사용되며, 네트워크에 머물면서 추가적인 툴을 설치할 수 있는 기능을 제공한다. 이 추가적인 툴을 살펴보면, 수년 전부터 금융권을 공격해온 악명 높은 해커 집단인 ‘카바낙(Carbanak)’의 정교한 공격 수법과 유사한 것으로 보인다. 공격 수법이 유사한 것 외에도 카바낙 그룹의 공격 캠페인에서 사용된 일부 인프라를 사용하는 등 다수의 연계 가능성이 발견됐다.
오디나프 공격 대상을 지역별로 보면, 미국(25%)이 가장 많은 공격을 받았고, 이어서 홍콩(20%), 호주(19%), 영국(12%), 우크라이나(8%) 순이다. 오디나프 공격의 표적은 비즈니스 유형이 알려진 공격의 경우, 금융업이 전체 공격의 34%를 차지하며 가장 큰 타격을 입었다. 오디나프 공격의 약 60%는 공격 받은 기관의 비즈니스 유형이 확인되지 않았지만, 대다수 금융 소프트웨어 애플리케이션이 실행되는 컴퓨터를 겨냥한 점을 봤을 때, 금전적 이득을 노렸을 것으로 추정된다.
.jpg)
공격자들이 표적 네트워크에 침입하기 위해 가장 많이 사용한 공격 방식은 악성 매크로가 포함된 허위 문서를 이용하는 것이다. 문서를 받은 사람이 매크로를 실행하면, 컴퓨터에 오디나프 트로이목마가 설치된다. 또 다른 방식은 패스워드로 보호된 RAR 압축파일을 사용해 컴퓨터에 오디나프를 설치하도록 만드는 것인데, 이는 스피어 피싱 이메일을 통한 유포 가능성이 높은 것으로 보인다. 또한, 안드로메다(Downloader.Dromedan)나 스니풀라(Trojan.Snifula)와 같은 다른 악성코드에 이미 감염된 봇넷을 통해 전파된 것으로 파악됐다.
오디나프 트로이목마로 공격을 시작한 뒤에는 다른 툴을 이용해 공격을 완료한다. 배틀 백도어(Backdoor.Batel)라는 두 번째 악성코드를 표적 컴퓨터에서 사용하는데, 이 악성코드는 오로지 메모리에서만 실행이 가능해 감염 컴퓨터에 몰래 잠입해 있을 수 있다. 오디나프 공격자들은 네트워크를 돌아다니며 중요 컴퓨터를 확인하기 위해 다양한 해킹 툴과 적법한 소프트웨어 툴을 폭넓게 이용하는 것으로 드러났다.
시만텍은 특히, 오디나프 공격 그룹이 국가 간 자금거래를 위해 설립된 국제은행간 통신협회(이하 SWIFT) 사용기관을 공격하고 악성코드를 이용해 허위 거래와 관련된 고객의 SWIFT 메시지 기록을 숨긴 증거를 발견해 냈다. 이 공격은 고객의 로컬 메시지 로그에서 특정 거래와 관련된 키워드가 있는지 찾아낸 후, 자신들의 행적을 숨기기 위해 고객의 로컬 SWIFT 소프트웨어 환경에서 해당 로그를 이동시킨다. SWIFT 네트워크 자체가 감염되었다는 증거는 남지 않는다.
.jpg)
오디나프 공격에서 주목할 점은 이 공격이 2014년 말 알려진 카바낙 그룹과 일부 비슷한 부분이 있다는 점이다. 카바낙 역시 금융기관을 겨냥한 정교한 공격을 전문으로 하고 PoS(Point of Sale) 침입 외에 은행을 겨냥한 여러 공격에 연루된 해커 집단이다. 오디나프 공격에 사용된 3개의 C&C IP 주소가 이전 카바낙 공격과 관련된 것이라는 점, 배틀 백도어(Backdoor.Batel)는 카바낙이 연관된 다수 사건과 관련 있다는 점 등이 카바낙과 오디나프 공격 간에 유사성이 있음을 보여준다. 오디나프가 더 큰 조직의 일부일 수 있지만 인프라 교차사용이 매우 이례적이라는 점을 고려하면, 오디나프가 카바낙과 유사한 그룹이나 협력 조직일 수 있다는 뜻이다.
오디나프와 같이 금융권을 겨냥한 공격은 실행하기는 어렵지만, 성공하면 얻게 되는 금전적 이득이 크다. 카바낙과 연관된 공격 손실액만 하더라도 수천만 달러에서 수억 달러에 이를 것으로 추정되고 있다.
윤광택 시만텍코리아 상무는 “이번 조사 결과는 금전적 이득을 위해 금융권을 겨냥한 사이버공격 위협이 계속 증가하고 있으며, 사이버범죄자들이 이제 금융권에서 사용하는 시스템에 대해 상당히 높은 수준의 이해도와 전문적인 기술지식을 가지고 있음을 보여주는 사례”라며, “이들의 표적이 되는 조직들은 심각한 위협에 빠질 수 있기 때문에 국내 금융 기관 및 기업들도 철저한 보안을 위해 적극적으로 대비해야 한다”고 말했다.
한편, 시만텍은 시만텍 및 노턴 보안 솔루션을 통해 오디나프와 관련된 악성코드(Trojan.Odinaff , Trojan.Odinaff!g1, Backdoor.Batel 등)를 탐지한다. 더 자세한 내용은 시만텍 블로그(https://www.symantec.com/connect/blog/odinaff-new-trojan-used-in-high-level-financial-attacks)를 통해 확인할 수 있다.
[원병철 기자(boanone@boannews.com)]
SWIFT(국제은행간통신협회) 사용기관 공격한 정황 발견돼
악명 높은 금융 해커 집단 ‘카바낙(Carbanak)’과 연관 가능성
[보안뉴스 원병철 기자] 금융권을 노린 신종 트로이목마가 발견돼 금융기관, 기업의 각별한 주의가 필요하다. 글로벌 사이버 보안기업 시만텍은 최근 전 세계 다수의 금융기관을 겨냥한 신종 악성코드 ‘오디나프 트로이목마(Trojan.Odinaff)’의 공격이 지속되고 있다며 경고하며, 은행, 증권, 트레이딩 분야의 금융기관 및 기업들은 사이버 보안 강화가 요구된다고 강조했다.
시만텍 조사결과에 따르면, ‘오디나프’는 올 1월부터 탐지되기 시작했으며, 이와 관련된 은밀한 공격이 전 세계 다수의 금융기관을 대상으로 계속되고 있다. 오디나프는 보통 공격 초기 단계에서 표적 네트워크에 침입하기 위한 수단으로 사용되며, 네트워크에 머물면서 추가적인 툴을 설치할 수 있는 기능을 제공한다. 이 추가적인 툴을 살펴보면, 수년 전부터 금융권을 공격해온 악명 높은 해커 집단인 ‘카바낙(Carbanak)’의 정교한 공격 수법과 유사한 것으로 보인다. 공격 수법이 유사한 것 외에도 카바낙 그룹의 공격 캠페인에서 사용된 일부 인프라를 사용하는 등 다수의 연계 가능성이 발견됐다.
오디나프 공격 대상을 지역별로 보면, 미국(25%)이 가장 많은 공격을 받았고, 이어서 홍콩(20%), 호주(19%), 영국(12%), 우크라이나(8%) 순이다. 오디나프 공격의 표적은 비즈니스 유형이 알려진 공격의 경우, 금융업이 전체 공격의 34%를 차지하며 가장 큰 타격을 입었다. 오디나프 공격의 약 60%는 공격 받은 기관의 비즈니스 유형이 확인되지 않았지만, 대다수 금융 소프트웨어 애플리케이션이 실행되는 컴퓨터를 겨냥한 점을 봤을 때, 금전적 이득을 노렸을 것으로 추정된다.
공격자들이 표적 네트워크에 침입하기 위해 가장 많이 사용한 공격 방식은 악성 매크로가 포함된 허위 문서를 이용하는 것이다. 문서를 받은 사람이 매크로를 실행하면, 컴퓨터에 오디나프 트로이목마가 설치된다. 또 다른 방식은 패스워드로 보호된 RAR 압축파일을 사용해 컴퓨터에 오디나프를 설치하도록 만드는 것인데, 이는 스피어 피싱 이메일을 통한 유포 가능성이 높은 것으로 보인다. 또한, 안드로메다(Downloader.Dromedan)나 스니풀라(Trojan.Snifula)와 같은 다른 악성코드에 이미 감염된 봇넷을 통해 전파된 것으로 파악됐다.
오디나프 트로이목마로 공격을 시작한 뒤에는 다른 툴을 이용해 공격을 완료한다. 배틀 백도어(Backdoor.Batel)라는 두 번째 악성코드를 표적 컴퓨터에서 사용하는데, 이 악성코드는 오로지 메모리에서만 실행이 가능해 감염 컴퓨터에 몰래 잠입해 있을 수 있다. 오디나프 공격자들은 네트워크를 돌아다니며 중요 컴퓨터를 확인하기 위해 다양한 해킹 툴과 적법한 소프트웨어 툴을 폭넓게 이용하는 것으로 드러났다.
시만텍은 특히, 오디나프 공격 그룹이 국가 간 자금거래를 위해 설립된 국제은행간 통신협회(이하 SWIFT) 사용기관을 공격하고 악성코드를 이용해 허위 거래와 관련된 고객의 SWIFT 메시지 기록을 숨긴 증거를 발견해 냈다. 이 공격은 고객의 로컬 메시지 로그에서 특정 거래와 관련된 키워드가 있는지 찾아낸 후, 자신들의 행적을 숨기기 위해 고객의 로컬 SWIFT 소프트웨어 환경에서 해당 로그를 이동시킨다. SWIFT 네트워크 자체가 감염되었다는 증거는 남지 않는다.
오디나프 공격에서 주목할 점은 이 공격이 2014년 말 알려진 카바낙 그룹과 일부 비슷한 부분이 있다는 점이다. 카바낙 역시 금융기관을 겨냥한 정교한 공격을 전문으로 하고 PoS(Point of Sale) 침입 외에 은행을 겨냥한 여러 공격에 연루된 해커 집단이다. 오디나프 공격에 사용된 3개의 C&C IP 주소가 이전 카바낙 공격과 관련된 것이라는 점, 배틀 백도어(Backdoor.Batel)는 카바낙이 연관된 다수 사건과 관련 있다는 점 등이 카바낙과 오디나프 공격 간에 유사성이 있음을 보여준다. 오디나프가 더 큰 조직의 일부일 수 있지만 인프라 교차사용이 매우 이례적이라는 점을 고려하면, 오디나프가 카바낙과 유사한 그룹이나 협력 조직일 수 있다는 뜻이다.
오디나프와 같이 금융권을 겨냥한 공격은 실행하기는 어렵지만, 성공하면 얻게 되는 금전적 이득이 크다. 카바낙과 연관된 공격 손실액만 하더라도 수천만 달러에서 수억 달러에 이를 것으로 추정되고 있다.
윤광택 시만텍코리아 상무는 “이번 조사 결과는 금전적 이득을 위해 금융권을 겨냥한 사이버공격 위협이 계속 증가하고 있으며, 사이버범죄자들이 이제 금융권에서 사용하는 시스템에 대해 상당히 높은 수준의 이해도와 전문적인 기술지식을 가지고 있음을 보여주는 사례”라며, “이들의 표적이 되는 조직들은 심각한 위협에 빠질 수 있기 때문에 국내 금융 기관 및 기업들도 철저한 보안을 위해 적극적으로 대비해야 한다”고 말했다.
한편, 시만텍은 시만텍 및 노턴 보안 솔루션을 통해 오디나프와 관련된 악성코드(Trojan.Odinaff , Trojan.Odinaff!g1, Backdoor.Batel 등)를 탐지한다. 더 자세한 내용은 시만텍 블로그(https://www.symantec.com/connect/blog/odinaff-new-trojan-used-in-high-level-financial-attacks)를 통해 확인할 수 있다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-24] 
.jpg)
.jpg)
