.jpg)
오래된 인터넷 메시징 프로토콜인 IMAP을 노려 다중인증도 통과
계정 탈취 성공한 후에는, 내부 공격 실시...외부에서의 공격보다 탐지 어려워
[보안뉴스 문가용 기자] 지난 수개월 동안 사이버 공격자들은 오피스 365(Office 365)와 지스위트(G Suite)의 계정들을 노리는 공격에 집중해왔다. 특히 오래된 IMAP 프로토콜을 사용하는 계정들이 주요 표적이 됐는데, 이에 대해 보안 업체 프루프포인트(Proofpoint)가 보고서를 작성해 발표했다.
흔히들 ‘원시적’이라고 생각하는 무작위 대입 공격은 최근 꽤나 발전된 모습을 보여 왔다. 대규모 크리덴셜 탈취 공격 등을 통해 범죄자들 사이에서 유통된 정보를 대입해보는 등 실험해볼 것들이 늘어난 것도 이런 양상의 한 요인이고, 기업 내 임직원들의 크리덴셜을 노리는 피싱 공격이 정교해져서 무작위 대입 공격을 든든히 뒷받침 한다는 것이 또 다른 요인이다. 이런 공격의 집중적인 피해를 입는 게 최근에는 오피스 365와 지스위트인 것.
이런 발전상을 보다 자세히 파악하기 위해 프루프포인트는 전 세계적으로 발생한 ‘비승인 로그인’ 활동을 10만 건 수집해 분석했다. 그 결과 이 중 2%가 표적 공격이었다는 걸 알게 됐고, 1만 번 중 15번 정도의 비율로 침해가 성공한다는 것도 파악할 수 있었다. “클라우드 서비스 사용 기업의 입장에서 보면 약 72%가 최소 한 번 이상 표적 공격을 받았고, 40%는 적어도 한 개 이상의 계정을 침해당했습니다.”
프루프포인트에 의하면 최초 침해 공격에 당하는 계정들 중 공격자들이 필요로 하는 승인 권한이나 돈, 데이터를 보유하고 있지 않은 경우가 대부분이다. 그렇기에 공격자들은 이 계정을 활용해 내부 피싱 등의 추가 공격을 통해 원하는 계정에 가 닿으려고 한다. 내부 계정을 공격에 활용했을 때의 장점은, 외부로부터 들어오는 공격보다 탐지가 어렵다는 것이다.
프루프포인트가 분석한 바에 의하면 로그인에 실제로 성공한 공격자들 중 40%가 나이지리아의 IP 주소로부터 공격을 시도한다고 한다. 심지어 2018년 11월부터 2019년 1월 사이에 이 수는 65% 증가하기도 했다. 그 다음 많은 성공을 거두는 공격자들은 중국 IP 주소를 가지고 있다(26%). 그 다음은 미국, 브라질, 남아프리카공화국 등이다.
한편 오피스 365와 지스위트의 계정을 침해하려는 공격자들이 공격에 가장 많이 남용하는 건 오래된 프로토콜인 IMAP이라는 사실도 밝혀졌다. IMAP을 통해 다중인증 절차를 우회할 수도 있고, 공격자들이 계정에 접근하지 못하도록 조치가 취해지는 걸(lock-out) 막을 수 있기 때문이다. 그러므로 서비스 계정들과 편지함이 특히 취약한 부분이라고 프루프포인트는 설명하기도 했다. (IMAP은 인터넷 메시지 송수신과 관련된 프로토콜이다.)
프루프포인트에 의하면 절반이 넘는(60%) 오피스 365 및 지스위트 사용자들이, IMAP 기반의 비밀번호 흩뿌리기 공격의 표적이 됐다고 한다. 그 결과 오피스 365와 지스위트 사용자들의 25%가 실제 침해를 당했다. IMAP 기반 비밀번호 살포 공격 전체의 성공률은 44%였다.
프루프포인트는 “2018년 9월과 2019년 2월 사이에 IMAP 기반 비밀번호 살포 공격이 크게 증가했다”고 말한다. 활성화된 사용자 계정의 10%가 공격의 표적이 됐으며, 1%가 실제로 침해를 당했다. “공격자들은 전 세계에 있는 네트워크 장비들을 수천 대 가로채 공격에 활용했습니다. 특히 라우터와 서버들을 침해함으로써, 공격 플랫폼으로 활용했습니다. 이런 장비들은 평균 2.5일에 클라우드 계정 하나 꼴로 공격에 성공했습니다. 이런 공격이 50일 동안 이어졌습니다.”
IMAP을 노리는 공격의 가장 빈번한 출처가 된 건 중국이다(53%). 그 다음은 브라질(39%), 그 다음은 미국(31%)이었다. 공격을 당한 조직들은 다양한 산업군과 나라에 분포되어 있는데, 유치원에서 고등학교, 대학 교육 기관이 가장 취약한 것으로 나타났다. 성공한 공격의 13%가 교육 기관들을 노린 것이었고, 교육 기관 출신 오피스 365 및 지스위트 사용자들의 70%가 IMAP 기반 무작위 대입 공격에 침해를 당했다.
프루프포인트는 “공격자들은 IMAP 프로토콜을 공략해 다중인증으로 보호되어 있는 오피스 365나 지스위트의 계정 침해에 성공한 이후, 이를 활용해 내부 피싱 공격들을 실시하거나 해당 조직과 신뢰로 이어진 외부 조직을 공격한다”고 결론을 내리며, “각 조직들은 여러 층위의 보안 장치를 마련하고, 이 중에 사용자에 대한 교육도 포함시켜야 한다”고 짚었다.
3줄 요약
1. 발전된 무작위 대입 공격, IMAP 프로토콜 침해함으로써 한 단계 발전.
2. 이를 통해 계정이 잠기는 상황이나 다중인증도 우회할 수 있음.
3. 침해된 계정을 통해 공격자들은 내부 피싱 등 위협적인 추가 공격을 가함.
[국제부 문가용 기자(globoan@boannews.com)]
계정 탈취 성공한 후에는, 내부 공격 실시...외부에서의 공격보다 탐지 어려워
[보안뉴스 문가용 기자] 지난 수개월 동안 사이버 공격자들은 오피스 365(Office 365)와 지스위트(G Suite)의 계정들을 노리는 공격에 집중해왔다. 특히 오래된 IMAP 프로토콜을 사용하는 계정들이 주요 표적이 됐는데, 이에 대해 보안 업체 프루프포인트(Proofpoint)가 보고서를 작성해 발표했다.
[이미지 = iclickart]
흔히들 ‘원시적’이라고 생각하는 무작위 대입 공격은 최근 꽤나 발전된 모습을 보여 왔다. 대규모 크리덴셜 탈취 공격 등을 통해 범죄자들 사이에서 유통된 정보를 대입해보는 등 실험해볼 것들이 늘어난 것도 이런 양상의 한 요인이고, 기업 내 임직원들의 크리덴셜을 노리는 피싱 공격이 정교해져서 무작위 대입 공격을 든든히 뒷받침 한다는 것이 또 다른 요인이다. 이런 공격의 집중적인 피해를 입는 게 최근에는 오피스 365와 지스위트인 것.
이런 발전상을 보다 자세히 파악하기 위해 프루프포인트는 전 세계적으로 발생한 ‘비승인 로그인’ 활동을 10만 건 수집해 분석했다. 그 결과 이 중 2%가 표적 공격이었다는 걸 알게 됐고, 1만 번 중 15번 정도의 비율로 침해가 성공한다는 것도 파악할 수 있었다. “클라우드 서비스 사용 기업의 입장에서 보면 약 72%가 최소 한 번 이상 표적 공격을 받았고, 40%는 적어도 한 개 이상의 계정을 침해당했습니다.”
프루프포인트에 의하면 최초 침해 공격에 당하는 계정들 중 공격자들이 필요로 하는 승인 권한이나 돈, 데이터를 보유하고 있지 않은 경우가 대부분이다. 그렇기에 공격자들은 이 계정을 활용해 내부 피싱 등의 추가 공격을 통해 원하는 계정에 가 닿으려고 한다. 내부 계정을 공격에 활용했을 때의 장점은, 외부로부터 들어오는 공격보다 탐지가 어렵다는 것이다.
프루프포인트가 분석한 바에 의하면 로그인에 실제로 성공한 공격자들 중 40%가 나이지리아의 IP 주소로부터 공격을 시도한다고 한다. 심지어 2018년 11월부터 2019년 1월 사이에 이 수는 65% 증가하기도 했다. 그 다음 많은 성공을 거두는 공격자들은 중국 IP 주소를 가지고 있다(26%). 그 다음은 미국, 브라질, 남아프리카공화국 등이다.
한편 오피스 365와 지스위트의 계정을 침해하려는 공격자들이 공격에 가장 많이 남용하는 건 오래된 프로토콜인 IMAP이라는 사실도 밝혀졌다. IMAP을 통해 다중인증 절차를 우회할 수도 있고, 공격자들이 계정에 접근하지 못하도록 조치가 취해지는 걸(lock-out) 막을 수 있기 때문이다. 그러므로 서비스 계정들과 편지함이 특히 취약한 부분이라고 프루프포인트는 설명하기도 했다. (IMAP은 인터넷 메시지 송수신과 관련된 프로토콜이다.)
프루프포인트에 의하면 절반이 넘는(60%) 오피스 365 및 지스위트 사용자들이, IMAP 기반의 비밀번호 흩뿌리기 공격의 표적이 됐다고 한다. 그 결과 오피스 365와 지스위트 사용자들의 25%가 실제 침해를 당했다. IMAP 기반 비밀번호 살포 공격 전체의 성공률은 44%였다.
프루프포인트는 “2018년 9월과 2019년 2월 사이에 IMAP 기반 비밀번호 살포 공격이 크게 증가했다”고 말한다. 활성화된 사용자 계정의 10%가 공격의 표적이 됐으며, 1%가 실제로 침해를 당했다. “공격자들은 전 세계에 있는 네트워크 장비들을 수천 대 가로채 공격에 활용했습니다. 특히 라우터와 서버들을 침해함으로써, 공격 플랫폼으로 활용했습니다. 이런 장비들은 평균 2.5일에 클라우드 계정 하나 꼴로 공격에 성공했습니다. 이런 공격이 50일 동안 이어졌습니다.”
IMAP을 노리는 공격의 가장 빈번한 출처가 된 건 중국이다(53%). 그 다음은 브라질(39%), 그 다음은 미국(31%)이었다. 공격을 당한 조직들은 다양한 산업군과 나라에 분포되어 있는데, 유치원에서 고등학교, 대학 교육 기관이 가장 취약한 것으로 나타났다. 성공한 공격의 13%가 교육 기관들을 노린 것이었고, 교육 기관 출신 오피스 365 및 지스위트 사용자들의 70%가 IMAP 기반 무작위 대입 공격에 침해를 당했다.
프루프포인트는 “공격자들은 IMAP 프로토콜을 공략해 다중인증으로 보호되어 있는 오피스 365나 지스위트의 계정 침해에 성공한 이후, 이를 활용해 내부 피싱 공격들을 실시하거나 해당 조직과 신뢰로 이어진 외부 조직을 공격한다”고 결론을 내리며, “각 조직들은 여러 층위의 보안 장치를 마련하고, 이 중에 사용자에 대한 교육도 포함시켜야 한다”고 짚었다.
3줄 요약
1. 발전된 무작위 대입 공격, IMAP 프로토콜 침해함으로써 한 단계 발전.
2. 이를 통해 계정이 잠기는 상황이나 다중인증도 우회할 수 있음.
3. 침해된 계정을 통해 공격자들은 내부 피싱 등 위협적인 추가 공격을 가함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
