날마다 악성 행위 다르지만 0.6%~2%... 낮지 않은 수치
미국과 중국에 악성 노드 가장 많아...행위 자체는 러시아가 활발
[보안뉴스 문가용 기자] 허니팟을 이용해 분석한 결과 비트코인 네트워크 전체의 0.6%~2%가 악성 행위에 사용되고 있다는 사실이 공개됐다. 보안 업체 래피드7(Rapid7)이 블로그를 통해 발표한 것으로, 누군가 비트코인 네트워크를 활용해 열린 프록시나 포트를 검색하고, 디폴트 비밀번호 혹은 쉬운 비밀번호를 검색하며, SMB, HTTP, RDP 연결을 익스플로잇 시도한다는 사실이 새롭게 드러났다.
물론 비트코인 네트워크 전체의 2%라면 굉장히 작은 것처럼 보일 수 있다. 하지만 래피드7의 수석 연구 책임자인 데렉 앱다인(Derek Abdine)은 “IPv4로 구성된 인터넷 환경에서 ‘배경 소음’처럼 탐지되는 악성 활동들은 사실상 인터넷에 연결된 모든 기기의 0.2%에서 나오는 것”이라며 2%가 온전히 악의적인 행동으로만 활용된다는 건 결코 작은 비율이 아니라고 설명한다.
“다시 표현하자면 비트코인 네트워크에서의 ‘배경 소음’과 같은 악성 행위들은 현대 인터넷 환경의 그것보다 적게는 세 배, 많게는 10배 많다는 겁니다. 한 바디로 지금의 인터넷 환경보다 3~10배 정도 공격이 늘어난 환경이라고 보면 됩니다.”
래피드7은 세 가지 정보를 수집하고 분석해 이와 같은 결론에 도달했다고 한다.
1) 프로젝트 하이젠버그(Project Heisenberg) : 전 세계에 분포되어 있는 허니팟 네트워크
2) 프로젝트 소나(Project Sonar) : 인터넷 스캔을 기반으로 한 보안 연구 조사 프로젝트
3) 비트노즈(Bitnodes) : 비트코인 P2P 네트워크의 규모를 조사 및 분석하는 프로젝트
먼저 래피드7은 2017년 8월부터 2018년 3월까지 의심스러운 행위가 발견된 노드를 약 900개 발견했다. 이 중 178개는 미국 내에 운영자가 있는 것으로 추적됐다. 이는 전 세계에서 1위로, 2위인 중국은 154개를 기록했다. 독일이 3위로 132개였다. 하지만 노드 수가 아니라 활동량만으로 따지면 러시아가 1위라고 한다. “러시아에서는 노드 당 1천 1백 5십만 건의 허니팟 연결이 발생했습니다. 러시아의 총 노드 수의 9%가 래피스7의 허니팟에 연결됐고요(359개 중 33개).”
즉 러시아 비트코인 노드에서만 약 3억 8천만 번의 허니팟 연결이 발생했다는 뜻으로, 이는 2위인 캐나다(총 2천 백만 번)보다도 월등히 앞선 수치다. 그 외에는 퀴라소 섬과 리투아니아에서도 활발한 활동이 탐지됐다고 한다.
그렇다면 주로 어떤 취약점들이 익스플로잇 되고 있을까? “이터널블루(EternalBlue)라고 알려진 CVE-2017-0143 취약점에 대한 익스플로잇 시도가 3백만 번 탐지됐습니다. 이는 마이크로소프트 윈도우의 SMB 관련 취약점이기도 합니다. 이터널블루 익스플로잇 시도는 주로 중국과 러시아에서 집중적으로 발견됐습니다. 볼륨이 엄청나긴 하지만, 겨우 17개의 호스트로부터 발생한 것입니다.”
또한 겨우 다섯 개 정도의 노드에서 1백 5십만 건의 HTTP 프로토콜 조사가 이뤄진 것도 발견할 수 있었다고 한다. “포트 80/TCP가 특히 많이 겨냥됐습니다. 엔맵(Nmap)이나 공개 프록시, phpMyAdmin에 대한 검색 행위도 다수 발견되기도 했습니다.”
한편 582개의 비트코인 노드들로부터 30303/UDP 포트로의 검사 요청이 4백 5십만 건 발생하기도 했는데 거의 대부분 미국과 중국과 관련이 있는 노드들이었다. 30303/UDP 포트는 이더리움 거래와 관련이 깊은 포트다.
왜 비트코인 노드에서 이러한 수상한 행위가 높은 비율로 발생하는 것일까? 래피드7은 몇 가지 가설을 이번 발표에 포함시켰다. “노드 소유자들이 실제로 악성 행위자들일 수 있습니다. 하지만 침해된 채로 이러한 악성 행위에 사용되는 노드들도 분명히 존재한다고 봅니다. 여기에 사용자들의 ‘설정 오류’도 어느 정도 지분을 가지고 있다고 분석됩니다.”
[국제부 문가용 기자(globoan@boannews.com)]
미국과 중국에 악성 노드 가장 많아...행위 자체는 러시아가 활발
[보안뉴스 문가용 기자] 허니팟을 이용해 분석한 결과 비트코인 네트워크 전체의 0.6%~2%가 악성 행위에 사용되고 있다는 사실이 공개됐다. 보안 업체 래피드7(Rapid7)이 블로그를 통해 발표한 것으로, 누군가 비트코인 네트워크를 활용해 열린 프록시나 포트를 검색하고, 디폴트 비밀번호 혹은 쉬운 비밀번호를 검색하며, SMB, HTTP, RDP 연결을 익스플로잇 시도한다는 사실이 새롭게 드러났다.
[이미지 = iclickart]
물론 비트코인 네트워크 전체의 2%라면 굉장히 작은 것처럼 보일 수 있다. 하지만 래피드7의 수석 연구 책임자인 데렉 앱다인(Derek Abdine)은 “IPv4로 구성된 인터넷 환경에서 ‘배경 소음’처럼 탐지되는 악성 활동들은 사실상 인터넷에 연결된 모든 기기의 0.2%에서 나오는 것”이라며 2%가 온전히 악의적인 행동으로만 활용된다는 건 결코 작은 비율이 아니라고 설명한다.
“다시 표현하자면 비트코인 네트워크에서의 ‘배경 소음’과 같은 악성 행위들은 현대 인터넷 환경의 그것보다 적게는 세 배, 많게는 10배 많다는 겁니다. 한 바디로 지금의 인터넷 환경보다 3~10배 정도 공격이 늘어난 환경이라고 보면 됩니다.”
래피드7은 세 가지 정보를 수집하고 분석해 이와 같은 결론에 도달했다고 한다.
1) 프로젝트 하이젠버그(Project Heisenberg) : 전 세계에 분포되어 있는 허니팟 네트워크
2) 프로젝트 소나(Project Sonar) : 인터넷 스캔을 기반으로 한 보안 연구 조사 프로젝트
3) 비트노즈(Bitnodes) : 비트코인 P2P 네트워크의 규모를 조사 및 분석하는 프로젝트
먼저 래피드7은 2017년 8월부터 2018년 3월까지 의심스러운 행위가 발견된 노드를 약 900개 발견했다. 이 중 178개는 미국 내에 운영자가 있는 것으로 추적됐다. 이는 전 세계에서 1위로, 2위인 중국은 154개를 기록했다. 독일이 3위로 132개였다. 하지만 노드 수가 아니라 활동량만으로 따지면 러시아가 1위라고 한다. “러시아에서는 노드 당 1천 1백 5십만 건의 허니팟 연결이 발생했습니다. 러시아의 총 노드 수의 9%가 래피스7의 허니팟에 연결됐고요(359개 중 33개).”
즉 러시아 비트코인 노드에서만 약 3억 8천만 번의 허니팟 연결이 발생했다는 뜻으로, 이는 2위인 캐나다(총 2천 백만 번)보다도 월등히 앞선 수치다. 그 외에는 퀴라소 섬과 리투아니아에서도 활발한 활동이 탐지됐다고 한다.
그렇다면 주로 어떤 취약점들이 익스플로잇 되고 있을까? “이터널블루(EternalBlue)라고 알려진 CVE-2017-0143 취약점에 대한 익스플로잇 시도가 3백만 번 탐지됐습니다. 이는 마이크로소프트 윈도우의 SMB 관련 취약점이기도 합니다. 이터널블루 익스플로잇 시도는 주로 중국과 러시아에서 집중적으로 발견됐습니다. 볼륨이 엄청나긴 하지만, 겨우 17개의 호스트로부터 발생한 것입니다.”
또한 겨우 다섯 개 정도의 노드에서 1백 5십만 건의 HTTP 프로토콜 조사가 이뤄진 것도 발견할 수 있었다고 한다. “포트 80/TCP가 특히 많이 겨냥됐습니다. 엔맵(Nmap)이나 공개 프록시, phpMyAdmin에 대한 검색 행위도 다수 발견되기도 했습니다.”
한편 582개의 비트코인 노드들로부터 30303/UDP 포트로의 검사 요청이 4백 5십만 건 발생하기도 했는데 거의 대부분 미국과 중국과 관련이 있는 노드들이었다. 30303/UDP 포트는 이더리움 거래와 관련이 깊은 포트다.
왜 비트코인 노드에서 이러한 수상한 행위가 높은 비율로 발생하는 것일까? 래피드7은 몇 가지 가설을 이번 발표에 포함시켰다. “노드 소유자들이 실제로 악성 행위자들일 수 있습니다. 하지만 침해된 채로 이러한 악성 행위에 사용되는 노드들도 분명히 존재한다고 봅니다. 여기에 사용자들의 ‘설정 오류’도 어느 정도 지분을 가지고 있다고 분석됩니다.”
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
