.jpg)
랜섬웨어, 미라이 유형의 IoT 공격, SW 개발사로의 우회 공격 등 이슈
[보안뉴스 김경애 기자] 2017년 들어 사이버 위협이 일상 깊숙이 파고들고 있다. 랜섬웨어만 봐도 최근 다시 부활한 록키 랜섬웨어부터 웜 형태인 워너크라이, 새롭게 등장한 프린세스 랜섬웨어까지 다양한 형태로 유포되고 있다. 공격대상도 마찬가지다. 금전적 이득과 정치적 목적, 사이버전 등 목적에 따라 공격 범위도 전방위적으로 확대되고 있다.
이들의 공격 수법은 사회적 이슈와 사람의 심리를 이용한 사회공학적 기법부터 대기업을 노리고 소프트웨어를 납품하는 개발사를 우회 공격하는데 이르기까지 갈수록 치밀해지고 대담해지고 있다. 게다가 4차 산업혁명의 핵심인 사물인터넷(IoT)과 투기 열풍이 거센 암호화폐를 비롯한 신규 금융 서비스로 해커들이 대거 몰리고 있다. 이에 본지는 각계 보안전문가들과의 인터뷰를 통해 하반기 사이버 보안 위협에 대해 들어봤다.
과학기술정보통신부 사이버침해대응과 최동원 과장: 예전의 사이버공격은 자신을 과시하는 형태였다. 그러나 지금은 비트코인을 획득하기 위한 금전적 목적으로 바뀌었으며, 그 수단으로 랜섬웨어가 이용되고 있다. 사이버공격 범위는 PC에서 IT 융합 분야인 스마트팩토리, 커넥티드카, 의료기기 등 다방면으로 확대되며, 금전을 요구하는 악성행위가 기승을 부릴 것으로 보인다. 그러나 아직 대응체계 마련은 부족하다. PC나 서버의 경우 대응체계가 어느 정도 갖춰져 있는 반면, 스마트홈, 스마트공장, 의료 분야 등은 턱없이 부족한 실정이다.
이에 따라 과기정통부에서도 인공지능 기술을 활용해 사이버대응체계를 더욱 고도화시키는 한편, 대응 범위도 더욱 넓혀 나갈 수 있도록 최선을 다할 예정이다.
행정안전부 정보기반보호정책과 노광래 주무관: 취약한 서비스 포트와 공유폴더 점검, 최신 보안패치, 패스워드 관리 등 주기적인 보안 취약점 점검과 정보보안 기본에 충실한 보안업무만 잘 실행해도 상당수의 공격은 방어가 가능하다. 피해 확산방지와 효과적인 대응을 위해 신고 및 상황전파를 신속히 해야 하고, 중요 자료는 백업하는 습관이 중요하다. 뿐만 아니라 네트워크 망분리를 보다 철저히 시행하고, 대부분 공격은 해킹 메일로 시작되는 만큼 지속적인 보안교육이 중요하다고 본다.
한국인터넷진흥원 사이버침해대응분석단 이동근 단장: 올해 하반기 보안위협은 랜섬웨어, 신규 금융 서비스를 타깃으로 한 직접적 공격시도, 우회 공격 등을 꼽을 수 있을 것 같다. 랜섬웨어의 경우 불특정 다수에게 대량 유포되기도 하지만, 비트코인 거래소와 같은 신규 금융 서비스를 타깃으로 금전 요구와 협박 등 다방면으로 악용되고 있다.
이어 신규 금융 서비스를 타깃으로 한 직접적인 공격 시도 역시 하반기 보안위협으로 주목되고 있다. 특히 비트코인 거래소 협박, 서비스를 방해하기 위한 디도스 공격 등이 시도되고 있다.
세번째로 우회 공격이다. 이를테면 신규 금융 서비스의 경우 해커가 해당 홈페이지에서 1대 1 문의하기를 악용해 인증절차를 우회하거나 대기업이나 금융기관의 보안을 뚫기 위해 대기업에 납품하는 소프트웨어 제조사를 공격하는 식이다. 또한, 비트코인 거래소 등을 공격하기 위해 비트코인을 사칭한 피싱과 스미싱으로 개인정보를 탈취해 도용한다.
카이스트 정보보호대학원 김용대 교수: 2017년 하반기 기준으로 볼 때 병원의 의료정보 유출과 해킹 사례에서 볼 수 있듯이 전 세계적으로 랜섬웨어가 다양한 산업 분야의 사이버공격에 악용되고 있다는 점이다.
이어 IoT를 공격하기 위한 미라이(Mirai) 스타일의 악성코드가 더 많아질 것으로 본다. 2016년 10월 최대 규모의 디도스 공격을 일으킨 미라이는 소스코드가 공개돼 지금도 악용되고 있다. 따라서 미라이 봇넷처럼 IoT 기기를 대상으로 한 대규모 디도스 공격이 많아질 것으로 우려된다.
SK인포섹 김건철 본부장: 랜섬웨어, IoT 보안취약성, ICS(Industry Control System) 등과 같은 엔드포인트를 타깃으로 한 공격이 급격하게 증가할 것으로 본다. 우리가 공격자를 이해하는 것보다 공격자가 우리를 훨씬 많이 이해하고 있다.
향후 해커의 공격은 조직과 자금, 기술이 융합된 조직화된 범죄행위로 더욱 발전할 것이다. 첫째, 확보된 자금을 통해 보다 거대하고 조직화된 범죄를 시도할 것이다. 둘째, 조직과 자금을 바탕으로 기존 보안체계를 무력화시킬 수 있는 지능화된 공격도구를 개발할 것이다. 셋째, 수익이 좀더 보장되는, 즉 몸값(Ransom)이 높은 공격대상을 찾아내고, 이를 활용하는 비즈니스 모델을 개발할 것이다. 넷째, 효과적인 운영을 위해 타깃 기반의 파괴적인 공격을 수행할 것이다.
아카마이코리아 인승진 이사: 도메인 서비스 업체 ‘다인(Dyn)’에 대한 대규모 디도스 공격 사건은 IoT 기기 수십만 대가 공격에 악용된 사건으로 도메인 네임 시스템(DNS)이 기업 IT 인프라의 숨겨진 약점이라는 걸 고스란히 드러냈다. 아무리 탄탄한 IT 인프라도 DNS에 장애가 발생하면 무용지물이 될 수 있기 때문이다. DNS 공격은 앞으로 더 집요해질 것으로 보여 기관과 기업에서는 DNS 보안을 강화하는 효율적인 방법을 마련할 필요가 있다.
포티넷 이상훈 부장: IoT 기기를 해킹해 연결된 모든 기기를 좀비화하는 시도가 증가하고, 보안에 취약한 IoT를 악용함으로써 디도스 파괴력이 1Tbps 이상인 공격도 증가할 것이다. 랜섬웨어의 경우 한국어 지원을 비롯해 다양한 악성 기능을 탑재한 랜섬웨어가 기승을 부릴 것이며, 아마추어 게임처럼 따라해 보는 크라임웨어(Crimeware)가 등장할 것으로 전망된다. 또한, Machine-to-Machine 공격과 오픈소스에 대한 공격도 증가할 것이다. 이 외에 보안에 취약한 내부 임직원을 대상으로 지속적인 타깃 공격과 피싱공격도 늘어날 것으로 예상된다.
Theori 박세준 대표: 최근 보안위협 중 xshell 백도어 사례를 보면, 보통 공격에서 사용되는 취약점을 공격하는 익스플로잇을 사용한 것이 아닌 소프트웨어 개발사의 개발자나 빌드 또는 배포 서버를 장악해 악성코드를 삽입한 경우다. 이 경우 설치파일들이 정상적으로 서명까지 되어서 배포됐기 때문에 일반 유저들이나 백신이 탐지하기가 어려웠다.
분석을 어렵게 하는 코드 난독화 적용과 여러 개의 스테이지로 나누어진 C&C(Command & Control) 기능 등의 구현 스타일로 미루어 봤을 때 아마 고도화된 그룹에서 제작했을 확률이 높다. DNS 리퀘스트를 통해서 감염된 컴퓨터의 정보를 얻어간 후, 그에 맞춰 다음 공격코드를 전달하도록 돼있는데 대부분의 감염 타깃에서는 반응을 하지 않고, 홍콩의 한 회사에서 트리거된 케이스만 알려져 있다. 즉, 백도어 경로를 통해 많은 PC를 감염시키기도 했지만 정작 타깃은 따로 정해져 있었다는 얘기다. 공격자가 타깃(회사)에서 사용하고 있는 소프트웨어 등을 미리 파악한 후, 그에 맞춰 공격을 준비하고 실행한 것이다.
이런 경우 회사와 시스템이 ‘믿는’ 프로그램이 악성행위를 하기 때문에 백신이나 침입탐지 시스템만 갖고는 탐지하는데 한계가 있다. 따라서 엔드포인트와 네트워크 단에서도 실시간으로 의심되는 악성 행위나 데이터를 모니터링하고 검증해야 한다. 더 중요한 것은 고도화된 타깃 공격은 누구나 당할 수 있다는 점이다. 따라서 피해 사실을 인지한 후에는 관리 및 대응 매뉴얼에 따라 정확한 경위와 영향도 등을 신속히 파악해야 한다. 이는 피해 정도와 회복력에 큰 차이를 가져올 수 있기 때문이다.
[김경애 기자(boan3@boannews.com)]
[보안뉴스 김경애 기자] 2017년 들어 사이버 위협이 일상 깊숙이 파고들고 있다. 랜섬웨어만 봐도 최근 다시 부활한 록키 랜섬웨어부터 웜 형태인 워너크라이, 새롭게 등장한 프린세스 랜섬웨어까지 다양한 형태로 유포되고 있다. 공격대상도 마찬가지다. 금전적 이득과 정치적 목적, 사이버전 등 목적에 따라 공격 범위도 전방위적으로 확대되고 있다.
[이미지=iclickart]
이들의 공격 수법은 사회적 이슈와 사람의 심리를 이용한 사회공학적 기법부터 대기업을 노리고 소프트웨어를 납품하는 개발사를 우회 공격하는데 이르기까지 갈수록 치밀해지고 대담해지고 있다. 게다가 4차 산업혁명의 핵심인 사물인터넷(IoT)과 투기 열풍이 거센 암호화폐를 비롯한 신규 금융 서비스로 해커들이 대거 몰리고 있다. 이에 본지는 각계 보안전문가들과의 인터뷰를 통해 하반기 사이버 보안 위협에 대해 들어봤다.
과학기술정보통신부 사이버침해대응과 최동원 과장: 예전의 사이버공격은 자신을 과시하는 형태였다. 그러나 지금은 비트코인을 획득하기 위한 금전적 목적으로 바뀌었으며, 그 수단으로 랜섬웨어가 이용되고 있다. 사이버공격 범위는 PC에서 IT 융합 분야인 스마트팩토리, 커넥티드카, 의료기기 등 다방면으로 확대되며, 금전을 요구하는 악성행위가 기승을 부릴 것으로 보인다. 그러나 아직 대응체계 마련은 부족하다. PC나 서버의 경우 대응체계가 어느 정도 갖춰져 있는 반면, 스마트홈, 스마트공장, 의료 분야 등은 턱없이 부족한 실정이다.
이에 따라 과기정통부에서도 인공지능 기술을 활용해 사이버대응체계를 더욱 고도화시키는 한편, 대응 범위도 더욱 넓혀 나갈 수 있도록 최선을 다할 예정이다.
행정안전부 정보기반보호정책과 노광래 주무관: 취약한 서비스 포트와 공유폴더 점검, 최신 보안패치, 패스워드 관리 등 주기적인 보안 취약점 점검과 정보보안 기본에 충실한 보안업무만 잘 실행해도 상당수의 공격은 방어가 가능하다. 피해 확산방지와 효과적인 대응을 위해 신고 및 상황전파를 신속히 해야 하고, 중요 자료는 백업하는 습관이 중요하다. 뿐만 아니라 네트워크 망분리를 보다 철저히 시행하고, 대부분 공격은 해킹 메일로 시작되는 만큼 지속적인 보안교육이 중요하다고 본다.
한국인터넷진흥원 사이버침해대응분석단 이동근 단장: 올해 하반기 보안위협은 랜섬웨어, 신규 금융 서비스를 타깃으로 한 직접적 공격시도, 우회 공격 등을 꼽을 수 있을 것 같다. 랜섬웨어의 경우 불특정 다수에게 대량 유포되기도 하지만, 비트코인 거래소와 같은 신규 금융 서비스를 타깃으로 금전 요구와 협박 등 다방면으로 악용되고 있다.
이어 신규 금융 서비스를 타깃으로 한 직접적인 공격 시도 역시 하반기 보안위협으로 주목되고 있다. 특히 비트코인 거래소 협박, 서비스를 방해하기 위한 디도스 공격 등이 시도되고 있다.
세번째로 우회 공격이다. 이를테면 신규 금융 서비스의 경우 해커가 해당 홈페이지에서 1대 1 문의하기를 악용해 인증절차를 우회하거나 대기업이나 금융기관의 보안을 뚫기 위해 대기업에 납품하는 소프트웨어 제조사를 공격하는 식이다. 또한, 비트코인 거래소 등을 공격하기 위해 비트코인을 사칭한 피싱과 스미싱으로 개인정보를 탈취해 도용한다.
카이스트 정보보호대학원 김용대 교수: 2017년 하반기 기준으로 볼 때 병원의 의료정보 유출과 해킹 사례에서 볼 수 있듯이 전 세계적으로 랜섬웨어가 다양한 산업 분야의 사이버공격에 악용되고 있다는 점이다.
이어 IoT를 공격하기 위한 미라이(Mirai) 스타일의 악성코드가 더 많아질 것으로 본다. 2016년 10월 최대 규모의 디도스 공격을 일으킨 미라이는 소스코드가 공개돼 지금도 악용되고 있다. 따라서 미라이 봇넷처럼 IoT 기기를 대상으로 한 대규모 디도스 공격이 많아질 것으로 우려된다.
SK인포섹 김건철 본부장: 랜섬웨어, IoT 보안취약성, ICS(Industry Control System) 등과 같은 엔드포인트를 타깃으로 한 공격이 급격하게 증가할 것으로 본다. 우리가 공격자를 이해하는 것보다 공격자가 우리를 훨씬 많이 이해하고 있다.
향후 해커의 공격은 조직과 자금, 기술이 융합된 조직화된 범죄행위로 더욱 발전할 것이다. 첫째, 확보된 자금을 통해 보다 거대하고 조직화된 범죄를 시도할 것이다. 둘째, 조직과 자금을 바탕으로 기존 보안체계를 무력화시킬 수 있는 지능화된 공격도구를 개발할 것이다. 셋째, 수익이 좀더 보장되는, 즉 몸값(Ransom)이 높은 공격대상을 찾아내고, 이를 활용하는 비즈니스 모델을 개발할 것이다. 넷째, 효과적인 운영을 위해 타깃 기반의 파괴적인 공격을 수행할 것이다.
아카마이코리아 인승진 이사: 도메인 서비스 업체 ‘다인(Dyn)’에 대한 대규모 디도스 공격 사건은 IoT 기기 수십만 대가 공격에 악용된 사건으로 도메인 네임 시스템(DNS)이 기업 IT 인프라의 숨겨진 약점이라는 걸 고스란히 드러냈다. 아무리 탄탄한 IT 인프라도 DNS에 장애가 발생하면 무용지물이 될 수 있기 때문이다. DNS 공격은 앞으로 더 집요해질 것으로 보여 기관과 기업에서는 DNS 보안을 강화하는 효율적인 방법을 마련할 필요가 있다.
포티넷 이상훈 부장: IoT 기기를 해킹해 연결된 모든 기기를 좀비화하는 시도가 증가하고, 보안에 취약한 IoT를 악용함으로써 디도스 파괴력이 1Tbps 이상인 공격도 증가할 것이다. 랜섬웨어의 경우 한국어 지원을 비롯해 다양한 악성 기능을 탑재한 랜섬웨어가 기승을 부릴 것이며, 아마추어 게임처럼 따라해 보는 크라임웨어(Crimeware)가 등장할 것으로 전망된다. 또한, Machine-to-Machine 공격과 오픈소스에 대한 공격도 증가할 것이다. 이 외에 보안에 취약한 내부 임직원을 대상으로 지속적인 타깃 공격과 피싱공격도 늘어날 것으로 예상된다.
Theori 박세준 대표: 최근 보안위협 중 xshell 백도어 사례를 보면, 보통 공격에서 사용되는 취약점을 공격하는 익스플로잇을 사용한 것이 아닌 소프트웨어 개발사의 개발자나 빌드 또는 배포 서버를 장악해 악성코드를 삽입한 경우다. 이 경우 설치파일들이 정상적으로 서명까지 되어서 배포됐기 때문에 일반 유저들이나 백신이 탐지하기가 어려웠다.
분석을 어렵게 하는 코드 난독화 적용과 여러 개의 스테이지로 나누어진 C&C(Command & Control) 기능 등의 구현 스타일로 미루어 봤을 때 아마 고도화된 그룹에서 제작했을 확률이 높다. DNS 리퀘스트를 통해서 감염된 컴퓨터의 정보를 얻어간 후, 그에 맞춰 다음 공격코드를 전달하도록 돼있는데 대부분의 감염 타깃에서는 반응을 하지 않고, 홍콩의 한 회사에서 트리거된 케이스만 알려져 있다. 즉, 백도어 경로를 통해 많은 PC를 감염시키기도 했지만 정작 타깃은 따로 정해져 있었다는 얘기다. 공격자가 타깃(회사)에서 사용하고 있는 소프트웨어 등을 미리 파악한 후, 그에 맞춰 공격을 준비하고 실행한 것이다.
이런 경우 회사와 시스템이 ‘믿는’ 프로그램이 악성행위를 하기 때문에 백신이나 침입탐지 시스템만 갖고는 탐지하는데 한계가 있다. 따라서 엔드포인트와 네트워크 단에서도 실시간으로 의심되는 악성 행위나 데이터를 모니터링하고 검증해야 한다. 더 중요한 것은 고도화된 타깃 공격은 누구나 당할 수 있다는 점이다. 따라서 피해 사실을 인지한 후에는 관리 및 대응 매뉴얼에 따라 정확한 경위와 영향도 등을 신속히 파악해야 한다. 이는 피해 정도와 회복력에 큰 차이를 가져올 수 있기 때문이다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
