.jpg)
.jpg)
인증서 만들 때 필요한 기업의 정상 크리덴셜 훔쳐 정상 인증서 발급
가격 높고 판매처 흔치 않아 대세로 자리 잡진 못할 것으로 보여
[보안뉴스 문가용 기자] 멀웨어 제작자들이 코드 서명 인증서를 사용해 악성 페이로드를 몰래 기업 네트워크에 주입시켜왔다는 사실이 드러났다. 인증서를 사용한 범죄 행위야 과거에도 여러 번 있었던 일인데, 보통은 훔친 인증서가 활용됐다. 하지만 정상적인 인증서도 범죄 행위에 연루될 수 있다는 사실이 이번에 밝혀졌다.
보안 업체 레코디드퓨처(Recorded Future)는 최근 다크웹에서 유통되고 있는 코드 서명 인증서들이 꽤나 정상적인 모습을 갖추고 있다고 발표했다. 가격은 최소 299 달러에서 1599 달러로, 시만텍, 코모도 등 이름이 널리 알려진 기업들의 이름으로 발행되며, 신청일자로부터 2~4일 안에 배달된다고 한다. 인증서 자체는 가짜가 아니기 때문에 멀웨어를 숨기는 데 큰 효과를 가지고 있다.
“인증서를 훔치는 게 아니라, 인증서를 발급하는 데 필요한 재료들을 훔치는 것이죠. 그러니 진짜 인증서가 발급되고, 그 인증서를 활용하니 멀웨어가 탐지 툴을 비껴갈 수 있는 겁니다.” 레코디드퓨처의 보안 전문가인 안드레이 바리세비치(Andrei Barysevich)의 설명이다. “해커들이 인증서를 사용하는 건 어제 오늘 일이 아닙니다. 그런데도 보다 많은 전문가들이 이 전략을 사용하고 있죠. 효과가 있다는 겁니다.”
코드 서명 인증서는 정상적인 기업이나 단체들이 소프트웨어를 인증하는 데에도 사용되지만, 불법적인 조작으로부터 보호하는 데에도 활용된다. 소프트웨어 코드 서명 인증서는 해당 소프트웨어의 사용자에게 인증서 발행인이 누구인지 알려주고, 소프트웨어 코드의 무결성을 보장해주는 역할을 한다. 그러니 악성 소프트웨어인 멀웨어가 인증서에 서명이 되면 사람들이 안심하게 된다.
또 다른 보안 업체 베나피(Venafi)도 지난 10월 코드 서명 인증서에 대한 수요가 다크웹에서 높아지고 있다는 발표를 한 적 있다. 당시 발표에 따르면 악성적인 목적에 사용될 인증서가 훔친 미국 여권, 훔친 신용카드, 권총보다도 비싸게 거래된다고 했다. 그러한 인증서들은 중간자 공격, 멀웨어 숨기기, 웹사이트 스푸핑, 데이터 도난에 사용된다고도 했다.
이번에 발표된 레코디드퓨처의 조사 결과에 따르면 사이버 범죄자들이 현재 암시장에서 제공하고 있는 건 새로운 종류의 코드 서명 인증서로 SSL 인증서들과 함께 도메인 이름 등록 서비스도 같이 고객들에게 잘 팔리고 있다고 한다. 정상적인 기업들의 정보로 인증서가 채워져 있는데, 해당 기업들은 이 사실을 거의 인지하고 있지 못하다는 내용도 이번 발표에 포함됐다.
레코디드퓨처는 “이러한 인증서들이 다크웹에서 유통되는 걸 처음 발견한 것이 2015년”이라고 말한다. 그 후 정상적인 기업들의 크리덴셜을 활용해 메이저급 인증기관으로부터 발급받은 인증서가 꾸준히 팔리는 걸 목격했다고 한다. “이러한 판매 행위를 하는 업자를 세 명 봤습니다. 그 중 한 명은 다른 활동을 시작했고 둘은 여전히 악성 및 허위 인증서를 판매하고 있는 것으로 알고 있습니다. 주요 고객들은 러시아의 해커들입니다.”
레코디드퓨처는 “이러한 인증서는 무작위 범죄가 아니라 특수한 해킹 공격을 목적으로 한 자들에게 팔릴 가능성이 가장 높다”고 분석한다. “표적형 캠페인, 기업 정찰, 은행털이, 적국 감시 등 목적이 분명한 경우에 이러한 인증서를 구매해 공격할 것으로 보입니다. 가격이 만만치 않기 때문에 일반적인 범죄에 사용하기는 부담이 되거든요.”
이 말은 “이러한 공격이 해커들 사이에 ‘대세’로 자리 잡긴 힘들 것”이라는 뜻이기도 하다. “보다 고차원적인 공격을 해야만 하는, 이를테면 사이버전 부대와 같은 해커 집단이 사용할 것이라고 봅니다. 그러니 가격도 높고 전문 암시장 판매처도 세 곳 정도가 고작인 것이겠죠.”
[국제부 문가용 기자(globoan@boannews.com)]
가격 높고 판매처 흔치 않아 대세로 자리 잡진 못할 것으로 보여
[보안뉴스 문가용 기자] 멀웨어 제작자들이 코드 서명 인증서를 사용해 악성 페이로드를 몰래 기업 네트워크에 주입시켜왔다는 사실이 드러났다. 인증서를 사용한 범죄 행위야 과거에도 여러 번 있었던 일인데, 보통은 훔친 인증서가 활용됐다. 하지만 정상적인 인증서도 범죄 행위에 연루될 수 있다는 사실이 이번에 밝혀졌다.
[이미지 = iclickart]
보안 업체 레코디드퓨처(Recorded Future)는 최근 다크웹에서 유통되고 있는 코드 서명 인증서들이 꽤나 정상적인 모습을 갖추고 있다고 발표했다. 가격은 최소 299 달러에서 1599 달러로, 시만텍, 코모도 등 이름이 널리 알려진 기업들의 이름으로 발행되며, 신청일자로부터 2~4일 안에 배달된다고 한다. 인증서 자체는 가짜가 아니기 때문에 멀웨어를 숨기는 데 큰 효과를 가지고 있다.
“인증서를 훔치는 게 아니라, 인증서를 발급하는 데 필요한 재료들을 훔치는 것이죠. 그러니 진짜 인증서가 발급되고, 그 인증서를 활용하니 멀웨어가 탐지 툴을 비껴갈 수 있는 겁니다.” 레코디드퓨처의 보안 전문가인 안드레이 바리세비치(Andrei Barysevich)의 설명이다. “해커들이 인증서를 사용하는 건 어제 오늘 일이 아닙니다. 그런데도 보다 많은 전문가들이 이 전략을 사용하고 있죠. 효과가 있다는 겁니다.”
코드 서명 인증서는 정상적인 기업이나 단체들이 소프트웨어를 인증하는 데에도 사용되지만, 불법적인 조작으로부터 보호하는 데에도 활용된다. 소프트웨어 코드 서명 인증서는 해당 소프트웨어의 사용자에게 인증서 발행인이 누구인지 알려주고, 소프트웨어 코드의 무결성을 보장해주는 역할을 한다. 그러니 악성 소프트웨어인 멀웨어가 인증서에 서명이 되면 사람들이 안심하게 된다.
또 다른 보안 업체 베나피(Venafi)도 지난 10월 코드 서명 인증서에 대한 수요가 다크웹에서 높아지고 있다는 발표를 한 적 있다. 당시 발표에 따르면 악성적인 목적에 사용될 인증서가 훔친 미국 여권, 훔친 신용카드, 권총보다도 비싸게 거래된다고 했다. 그러한 인증서들은 중간자 공격, 멀웨어 숨기기, 웹사이트 스푸핑, 데이터 도난에 사용된다고도 했다.
이번에 발표된 레코디드퓨처의 조사 결과에 따르면 사이버 범죄자들이 현재 암시장에서 제공하고 있는 건 새로운 종류의 코드 서명 인증서로 SSL 인증서들과 함께 도메인 이름 등록 서비스도 같이 고객들에게 잘 팔리고 있다고 한다. 정상적인 기업들의 정보로 인증서가 채워져 있는데, 해당 기업들은 이 사실을 거의 인지하고 있지 못하다는 내용도 이번 발표에 포함됐다.
레코디드퓨처는 “이러한 인증서들이 다크웹에서 유통되는 걸 처음 발견한 것이 2015년”이라고 말한다. 그 후 정상적인 기업들의 크리덴셜을 활용해 메이저급 인증기관으로부터 발급받은 인증서가 꾸준히 팔리는 걸 목격했다고 한다. “이러한 판매 행위를 하는 업자를 세 명 봤습니다. 그 중 한 명은 다른 활동을 시작했고 둘은 여전히 악성 및 허위 인증서를 판매하고 있는 것으로 알고 있습니다. 주요 고객들은 러시아의 해커들입니다.”
레코디드퓨처는 “이러한 인증서는 무작위 범죄가 아니라 특수한 해킹 공격을 목적으로 한 자들에게 팔릴 가능성이 가장 높다”고 분석한다. “표적형 캠페인, 기업 정찰, 은행털이, 적국 감시 등 목적이 분명한 경우에 이러한 인증서를 구매해 공격할 것으로 보입니다. 가격이 만만치 않기 때문에 일반적인 범죄에 사용하기는 부담이 되거든요.”
이 말은 “이러한 공격이 해커들 사이에 ‘대세’로 자리 잡긴 힘들 것”이라는 뜻이기도 하다. “보다 고차원적인 공격을 해야만 하는, 이를테면 사이버전 부대와 같은 해커 집단이 사용할 것이라고 봅니다. 그러니 가격도 높고 전문 암시장 판매처도 세 곳 정도가 고작인 것이겠죠.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
