위키리크스, CIA가 사용한 체리블러섬 무선 감시 툴 공개

펌웨어 업그레이드처럼 무선 기기에 침투해 C&C 서버와 연결
클레이모어라는 와이파이 검색 멀웨어도 함께 사용된 듯

[보안뉴스 문가용 기자] 위키리크스가 6월 15일자로 새로운 CIA의 툴을 공개했다. 이름은 벚꽃이라는 이름의 체리블러섬(CherryBlossom)이라고 하며, CIA가 미국의 비영리 단체인 스탠포드 리서치 인스티튜트(Standford Research Institute)의 도움을 받아 개발, 구축한 것이라고 한다.

[이미지 = iclickart]

체리블러섬은 CIA가 특정 인물이나 단체의 인터넷 활동을 감시하고 소프트웨어 익스플로잇을 실행할 수 있도록 해주는 기능을 가지고 있다. 특히 무선 라우터나 접근점 등 무선 네트워크 기기들도 침해가 가능하다는 게 충격적이다. 와이파이를 활용한 네트워크 장비는 사실 일반 가정집이나 매장, 호텔, 공항 등에서 흔히 사용되는 것이기 때문이다.

즉 체리블러섬을 활용하면 무선 기기들을 겨냥해 중간자 공격을 할 수 있다는 것이 핵심이다. 그리고 무선망을 활용하는 인터넷 사용자들의 트래픽을 멋대로 조작할 수도 있다는 뜻이다. 사용자와 인터넷 서비스 간 데이터 흐름을 조작함으로써 감염된 기기에 악성 콘텐츠를 애플리케이션이나 OS에 주입할 수 있게 된다.

위키리크스에 의하면 체리블러섬은 무선 기기들의 펌웨어인 것처럼 위장해 침투한다고 한다. 펌웨어의 무선 업그레이드처럼 감염이 진행되기 때문에 기기에 물리적으로 접근할 필요도 없다. 새로운 펌웨어가 설치된 무선 네트워크 기기들은 ‘파리지옥(FlyTrap)’이 된다고 위키리크스는 설명한다.

파리지옥이 된 기기는 인터넷 트래픽을 벚꽃나무(CherryTree)라는 C&C 서버로 연결시킨다. 이 트래픽에는 기기 상태 정보, 보안 정보, 데이터베이스 로그 정보 등이 포함된다. 그러면 벚꽃나무의 운영자가 ‘명령’을 기기에 보낸다. 이 때 운영자는 체리웹(CherryWeb)이라는 브라우저형 사용자 인터페이스를 사용해 파리지옥의 상태를 확인하고 보안 정보를 열람할 수 있다. 또한 체리웹으로 명령도 보내고, 명령 수행에 필요한 데이터도 보내고, 시스템 관리자 태스크 수행도 가능하다.

그렇다면 어떤 명령을 할 수 있을까? 표적의 모니터링, 소프트웨어 익스플로잇, 정보 전송의 때와 방법 결정 등이라고 위키리크스는 설명하고 있다. 이메일 주소도 스캐닝할 수 있고, 각종 채팅 앱에 등록된 사용자 이름도 탈취가 가능하다. 맥주소와 VoIP 숫자도 추출할 수 있고, 네트워크 트래픽을 완전히 복제하는 것도 가능하다. 브라우저의 트래픽을 우회시키는 것도 별 일 아니다.

위키리크스는 “파리지옥이 된 기기가 표적을 찾으면, 벚꽃나무로 경보가 전송되며, 벚꽃나무는 이제 해당 표적을 공격하기 위한 명령들을 보내기 시작한다”고 설명을 마무리 하고 있다. 해외 매체 레지스터(The Register)는 “와이파이 라우터 해킹, CIA에겐 매우 간단한 일”이라고 보도했으며, 체리블러섬 설치에 클레이모어(Claymore)라는 와이파이 라우터 검색 툴이 동원되었다는 것도 덧붙였다.
[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)