.jpg)
.jpg)
사물인터넷 장비만 노리는 멀웨어, 공격자들은 이미 준비 완료
상징성이 가장 뛰어난 건 미라이...그러나 미라이가 전부는 아냐
[보안뉴스 문가용 기자] 사물인터넷의 시대라는 것이 보안 업계에서는 그리 달갑지만은 않다. 사이버 공격자들을 위한 공격의 경로만 넓어지고 있기 때문이다. 이들은 이미 연구와 시행착오를 시작했고, 실력을 더 단단히 굳혀가고 있다. 사물인터넷 장비들을 가지고 봇넷을 만들기도 하고, 암호화폐를 채굴하기도 하며, 데이터를 탈취하기도 한다. 정확히 어떤 멀웨어들이 가장 큰 위협이 되는 걸까? 이번 주 본지에서는 주요 IoT 멀웨어 7가지를 정리해보았다.
1. 가프짓(Gafgyt)
원래 가프짓은 디도스 공격을 하던 리눅스 봇넷으로 약 2014년부터 존재해왔다. 현재의 가프짓도 여전히 디도스 공격을 가할 수 있다. 하지만 오래된 멀웨어들이 다 그렇듯, 가프짓도 지난 5년여 간 많은 기술들을 새롭게 익혔다.
가장 먼저 가프짓이 장착한 새 기술은 IoT 장비들 내에 있던 특정 취약점들을 익스플로잇 하는 것이었다. 이 기술 덕분에 가프짓은 라우터, 모뎀, 방화벽, 보안 카메라, DVR 등에 침투할 수 있게 되었다. 물론 이 문제는 패치로 본질상 해결되긴 했다. 하지만 세상에는 아직도 패치가 적용되지 않은 기계들이 많이 남아있고, 그래서 가프짓은 유효한 위협이다.
가프짓은 계속해서 변화해왔다. IoT 침투 능력을 바탕으로 정보를 훔치는 기능을 덧입고, 다른 멀웨어 페이로드들을 심는 기능도 갖추더니, 장비들을 데리고 봇넷 군단을 만들 수도 있게 되었다. 지금의 가프짓은 이전 버전들보다 훨씬 더 유연하고, 기능도 많고, 따라서 위험하다. IoT의 위험을 얘기하면서 가프짓을 빼놓을 수 없다.
2. 하지메(Hajime)
사이버 보안이라는 분야에서 좋은 놈과 나쁜 놈을 구분해낸다는 것이 그리 쉽지 않을 때가 있다. 특히 멀웨어라는 결론이 내려지기 전, 특정 기능을 가진 소프트웨어를 보고 악의적인 목적을 가지고 만들어졌는지 그 반대인지 구별하는 것은 불가능에 가깝다. 일본어로 ‘시작’이라는 뜻을 가진 하지메 멀웨어가 바로 이런 경계선에 놓여 있다. 하지메는 나쁘게 보면 사물인터넷 기계를 장악하는 소프트웨어다. 하지만 장악 후 다른 멀웨어의 공격을 막아준다. 물음표가 뜨는 부분이다.
하지메는 미라이(Mirai)라는 대표적인 사물인터넷 멀웨어가 공격한 하드웨어를 재차 공격하는 멀웨어로서 처음 등장했다. 하지메는 장비에 침투한 후 통제권을 가져가고 미라이가 장악한 열린 포트들을 닫기 시작했다. 하지메의 침해 원리는 미라이의 그것보다 훨씬 더 발전된 형태이긴 했지만, 아직 하지메로부터 퍼진 디도스 공격이나 암호화폐 채굴 페이로드가 발견된 사례는 없다. 하지만 하지메 봇넷으로 편입된 기기들은 수만에 다다른다.
인터넷에서는 하지메와 같은 성격의 소프트웨어를 두고 ‘자경단 멀웨어(vigilante malware)’라고 부른다. 미라이로부터 보호해주는 것은 분명하지만 여기에는 대가가 따른다. 소유주가 아닌 제3자가 장비를 제어하면서, 소유주가 모르는 변화를 기계에 적용하고, 적용된 변화가 바뀌지 않도록 한다는 것이다. 즉 하지메가 닫아 둔 포트는 열리지 않는다. 원격 관리 등의 합법적인 목적으로서의 사용이 불가하게 된다는 것이다. 다행히 장비 업데이트와 미라이를 막기 위한 방화벽 규칙 설정을 통해 하지메도 차단할 수 있다.
3. 암네지아 봇(Amnesia Bot)
암네지아는 사물인터넷 장비에 침투해 취약한 파일들을 암호화하고, 자신이 감염시킨 사물인터넷 장비들로부터 기업 내 네트워크에 연결된 각종 생산 시스템들을 공격하기 시작한다. 암네지아는 기능이라는 면에서 광범위하다는 특징을 보여준다. 7천개 이상의 파일 유형을 암호화할 수 있기 때문이다. 다만 사용자가 암네시아에 앱 관리자 권한을 허용하는 단계가 있어야만 암호화를 시작할 수 있기 때문에, 입력 기능이 없는 기계는 암네지아로부터 비교적 안전하다.
암네지아의 이러한 특징 때문에 가장 큰 위협을 느껴야 하는 건 POS 단말기들과 키오스크를 운영하는 사람들이다. POS 단말기나 키오스크가 유지 관리를 위한 업데이트를 진행하려고 한다며 사용자의 허용을 구할 때가 특히 위험한 순간이다. 이건 진짜 업데이트를 위한 메시지일 수도 있고, 공격자들이 설정한 가짜일 수도 있기 때문이다. 다행히 보안 업체 엠시소프트(Emsisoft)가 무료로 암네지아 피해자들을 위한 복호화 툴을 배포하고 있다.
4. 사토리(Satori)
사토리는 미라이의 변종으로서 세상에 처음 등장했다. 하지만 그 후 독자적인 진화를 거쳐 현재는 완전 별개의 위협이 되어버렸다. 지금 이 시간에도 사토리 개발자들은 새로운 시도를 계속해서 진행하고 있으며, 사토리는 꾸준히 업그레이드 되는 멀웨어 중 하나로 남아있다. 공격할 수 있는 CPU와 시스템 종류도 많아지고 있고, 페이로드를 떨어트리는 방법도 늘어나고 있다. 그러나 결론은 일관되게 디도스뿐이긴 하다.
디도스만 할 줄 아는 사토리라고 해서 무시해서는 안 된다. 사물인터넷 멀웨어의 대표와 같은 미라이도 비디오 게임 서버를 운영하는 사람들 간의 다툼으로부터 비롯됐다는 걸 기억해야 한다. 그 사소한 싸움이 전 세계 주요 기업들의 사업이 일시적으로 중단되는 사태로 번졌던 것이다. 사토리가 익스플로잇 하는 취약점의 수를 늘려가고 있다는 건 중대한 문제다. 앞으로 이 사토리가 어떤 식으로 변할지 아무도 예측할 수 없다. 실제로 최근에는 스팸 생성과 암호화폐 채굴 기능이 일부 사토리 봇넷에서 발견되기 시작했다.
이 변화무쌍하고 잠재력 높은 사토리를 처음부터 막으려면 어떻게 해야 할까? 미라이를 막는 것과 같다. 사물인터넷 장비 내 모든 요소들을 완전히 패치하고, 업데이트를 미리미리 해두는 것이 바로 그것이다. 그리고 장비가 연결된 네트워크에 방화벽과 침투 방지 시스템을 설치하고 올바른 규칙을 설정하는 것도 중요하다.
5. 페르시라이(Persirai)
사물인터넷 장비들 덕분에 물리 보안이 향상된 측면이 있다. 특히 이전에 없던 보안 카메라들이 등장하면서 우리는 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 항상 지켜볼 수 있게 됐다. 동시에 이런 장비들이 인터넷을 통해 연결되어 있기 때문에 사이버 공격의 위협은 더 커졌다. 허가되지 않은 눈이 인터넷을 통해 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 염탐할 수 있게 된 것이다.
미라이가 제일 처음 등장해 공략하기 시작한 건 대부분 이런 사물인터넷 감시 카메라들이었다. 미라이의 변종으로서 출발했던 사토리 역시 감시 카메라들에 디도스 관련 페이로드들을 저장하거나, 감시 카메라들을 통해 디도스를 실시했다. 그 후 미라이는 다른 종류의 사물인터넷 장비들로도 퍼져갔고, 사토리는 여전히 감시 카메라들을 집중 공격하고 있다. 그래서 현재 감시 카메라의 가장 큰 위협은 사토리다.
미라이의 또 다른 변종인 페르시라이도 사토리처럼 카메라 종류의 사물인터넷 장비들에 집중하고 있다. 현재는 1천 개가 넘는 종류의 카메라들을 공격할 수 있는 기능을 갖추고 있는 것으로 알려져 있다. 감시 카메라를 다수 운영하고 있는 조직이라면, UPnP 기능을 비활성화 하고, 비밀번호들을 어렵게 바꾸고, 펌웨어 업데이트를 함으로써 페르시라이를 방어할 수 있다.
6. VPN필터(VPNFilter)
미라이 및 그 변종들이 카메라 종류를 노렸기 때문에 얼마 전까지만 해도 사물인터넷 감시 카메라들이 제일 취약한 것처럼 느껴졌지만, VPN필터의 등장 이후부터는 그 느낌이 라우터들로 옮겨갔다. 특히 가정용 혹은 소규모 사무실용 라우터들이 큰 위험에 노출되었다는 소식이 눈에 띄게 늘어났다. 게다가 VPN필터는 장비를 껐다 켜도 사라지지 않았기 때문에 더 위협적으로 느껴졌다.
하지만 VPN필터는 기존에 등장했던 사물인터넷 멀웨어들과 달리 봇넷을 형성하려는 시도를 하지 않았다. 대신 라우터를 장악한 뒤 네트워크 구석구석에 침투해 각종 정보를 수집하는 페이로드가 심겨졌다. 그 뒤로 다른 장비들도 추가로 감염시키고, 네트워크 기능을 떨어트리며, 다른 봇넷의 노드 위치를 감추는 등의 기능도 하기 시작했다.
VPN필터를 제거 하려면 두 단계의 조치가 필요하다. 먼저는 공장 추기화를 해야 한다. 그런 후에 라우터를 인터넷에 연결시키기 전에 디폴트 관리자 비밀번호를 바꿔야 한다. 이렇게 해서 VPN필터를 제거했다면 그 후 관리도 중요하다. 펌웨어 패치와 업데이트가 바로 그것이다.
7. 미라이(Mirai)
미라이는 사물인터넷 멀웨어의 대명사다. 상징성이라는 면에서 미라이의 아성을 뛰어넘을 사물인터넷 멀웨어는 아직 등장하지 않고 있다. 등장하자마자 당시 기준으로 가장 높은 용량의 디도스 공격을 실시했었고, 이 때문에 CNN, 트위터, 레딧, 넷플릭스 등 유명한 업체의 온라인 서비스 일부가 중단되기도 했었다. 그 엄청난 파괴력과, 영향을 준 기업의 이름들 덕분에 앞으로도 미라이를 뛰어넘는 멀웨어는 다시 나타나기 힘들지도 모른다.
현존하는 미라이는 처음 등장 시와 마찬가지로 여전히 디도스 공격에 집중하고 있다. 그 동안 여러 가지 변종들이 등장해 다른 목적으로도 사용되고 있긴 하지만 주력은 디도스다. 하지만 현재 미라이는 ‘서비스형 멀웨어(malware as a service)’로서 배포 형태가 바뀐 상태다. 즉 돈만 내면 아무나 미라이 공격을 할 수 있게 되었다는 것이다. 멀웨어가 다크웹에서 상업화 되기 시작하면 그 멀웨어는 새로운 전성기를 맞는 게 보통이므로, 미라이에서도 같은 수순을 예상할 수 있다. 미라이는 과거의 상징으로만 남아있는 게 아니라, 앞으로 더 커질 가능성이 있는 위협이다.
[국제부 문가용 기자(globoan@boannews.com)]
상징성이 가장 뛰어난 건 미라이...그러나 미라이가 전부는 아냐
[보안뉴스 문가용 기자] 사물인터넷의 시대라는 것이 보안 업계에서는 그리 달갑지만은 않다. 사이버 공격자들을 위한 공격의 경로만 넓어지고 있기 때문이다. 이들은 이미 연구와 시행착오를 시작했고, 실력을 더 단단히 굳혀가고 있다. 사물인터넷 장비들을 가지고 봇넷을 만들기도 하고, 암호화폐를 채굴하기도 하며, 데이터를 탈취하기도 한다. 정확히 어떤 멀웨어들이 가장 큰 위협이 되는 걸까? 이번 주 본지에서는 주요 IoT 멀웨어 7가지를 정리해보았다.
[이미지 = iclickart]
1. 가프짓(Gafgyt)
원래 가프짓은 디도스 공격을 하던 리눅스 봇넷으로 약 2014년부터 존재해왔다. 현재의 가프짓도 여전히 디도스 공격을 가할 수 있다. 하지만 오래된 멀웨어들이 다 그렇듯, 가프짓도 지난 5년여 간 많은 기술들을 새롭게 익혔다.
가장 먼저 가프짓이 장착한 새 기술은 IoT 장비들 내에 있던 특정 취약점들을 익스플로잇 하는 것이었다. 이 기술 덕분에 가프짓은 라우터, 모뎀, 방화벽, 보안 카메라, DVR 등에 침투할 수 있게 되었다. 물론 이 문제는 패치로 본질상 해결되긴 했다. 하지만 세상에는 아직도 패치가 적용되지 않은 기계들이 많이 남아있고, 그래서 가프짓은 유효한 위협이다.
가프짓은 계속해서 변화해왔다. IoT 침투 능력을 바탕으로 정보를 훔치는 기능을 덧입고, 다른 멀웨어 페이로드들을 심는 기능도 갖추더니, 장비들을 데리고 봇넷 군단을 만들 수도 있게 되었다. 지금의 가프짓은 이전 버전들보다 훨씬 더 유연하고, 기능도 많고, 따라서 위험하다. IoT의 위험을 얘기하면서 가프짓을 빼놓을 수 없다.
2. 하지메(Hajime)
사이버 보안이라는 분야에서 좋은 놈과 나쁜 놈을 구분해낸다는 것이 그리 쉽지 않을 때가 있다. 특히 멀웨어라는 결론이 내려지기 전, 특정 기능을 가진 소프트웨어를 보고 악의적인 목적을 가지고 만들어졌는지 그 반대인지 구별하는 것은 불가능에 가깝다. 일본어로 ‘시작’이라는 뜻을 가진 하지메 멀웨어가 바로 이런 경계선에 놓여 있다. 하지메는 나쁘게 보면 사물인터넷 기계를 장악하는 소프트웨어다. 하지만 장악 후 다른 멀웨어의 공격을 막아준다. 물음표가 뜨는 부분이다.
하지메는 미라이(Mirai)라는 대표적인 사물인터넷 멀웨어가 공격한 하드웨어를 재차 공격하는 멀웨어로서 처음 등장했다. 하지메는 장비에 침투한 후 통제권을 가져가고 미라이가 장악한 열린 포트들을 닫기 시작했다. 하지메의 침해 원리는 미라이의 그것보다 훨씬 더 발전된 형태이긴 했지만, 아직 하지메로부터 퍼진 디도스 공격이나 암호화폐 채굴 페이로드가 발견된 사례는 없다. 하지만 하지메 봇넷으로 편입된 기기들은 수만에 다다른다.
인터넷에서는 하지메와 같은 성격의 소프트웨어를 두고 ‘자경단 멀웨어(vigilante malware)’라고 부른다. 미라이로부터 보호해주는 것은 분명하지만 여기에는 대가가 따른다. 소유주가 아닌 제3자가 장비를 제어하면서, 소유주가 모르는 변화를 기계에 적용하고, 적용된 변화가 바뀌지 않도록 한다는 것이다. 즉 하지메가 닫아 둔 포트는 열리지 않는다. 원격 관리 등의 합법적인 목적으로서의 사용이 불가하게 된다는 것이다. 다행히 장비 업데이트와 미라이를 막기 위한 방화벽 규칙 설정을 통해 하지메도 차단할 수 있다.
3. 암네지아 봇(Amnesia Bot)
암네지아는 사물인터넷 장비에 침투해 취약한 파일들을 암호화하고, 자신이 감염시킨 사물인터넷 장비들로부터 기업 내 네트워크에 연결된 각종 생산 시스템들을 공격하기 시작한다. 암네지아는 기능이라는 면에서 광범위하다는 특징을 보여준다. 7천개 이상의 파일 유형을 암호화할 수 있기 때문이다. 다만 사용자가 암네시아에 앱 관리자 권한을 허용하는 단계가 있어야만 암호화를 시작할 수 있기 때문에, 입력 기능이 없는 기계는 암네지아로부터 비교적 안전하다.
암네지아의 이러한 특징 때문에 가장 큰 위협을 느껴야 하는 건 POS 단말기들과 키오스크를 운영하는 사람들이다. POS 단말기나 키오스크가 유지 관리를 위한 업데이트를 진행하려고 한다며 사용자의 허용을 구할 때가 특히 위험한 순간이다. 이건 진짜 업데이트를 위한 메시지일 수도 있고, 공격자들이 설정한 가짜일 수도 있기 때문이다. 다행히 보안 업체 엠시소프트(Emsisoft)가 무료로 암네지아 피해자들을 위한 복호화 툴을 배포하고 있다.
4. 사토리(Satori)
사토리는 미라이의 변종으로서 세상에 처음 등장했다. 하지만 그 후 독자적인 진화를 거쳐 현재는 완전 별개의 위협이 되어버렸다. 지금 이 시간에도 사토리 개발자들은 새로운 시도를 계속해서 진행하고 있으며, 사토리는 꾸준히 업그레이드 되는 멀웨어 중 하나로 남아있다. 공격할 수 있는 CPU와 시스템 종류도 많아지고 있고, 페이로드를 떨어트리는 방법도 늘어나고 있다. 그러나 결론은 일관되게 디도스뿐이긴 하다.
디도스만 할 줄 아는 사토리라고 해서 무시해서는 안 된다. 사물인터넷 멀웨어의 대표와 같은 미라이도 비디오 게임 서버를 운영하는 사람들 간의 다툼으로부터 비롯됐다는 걸 기억해야 한다. 그 사소한 싸움이 전 세계 주요 기업들의 사업이 일시적으로 중단되는 사태로 번졌던 것이다. 사토리가 익스플로잇 하는 취약점의 수를 늘려가고 있다는 건 중대한 문제다. 앞으로 이 사토리가 어떤 식으로 변할지 아무도 예측할 수 없다. 실제로 최근에는 스팸 생성과 암호화폐 채굴 기능이 일부 사토리 봇넷에서 발견되기 시작했다.
이 변화무쌍하고 잠재력 높은 사토리를 처음부터 막으려면 어떻게 해야 할까? 미라이를 막는 것과 같다. 사물인터넷 장비 내 모든 요소들을 완전히 패치하고, 업데이트를 미리미리 해두는 것이 바로 그것이다. 그리고 장비가 연결된 네트워크에 방화벽과 침투 방지 시스템을 설치하고 올바른 규칙을 설정하는 것도 중요하다.
5. 페르시라이(Persirai)
사물인터넷 장비들 덕분에 물리 보안이 향상된 측면이 있다. 특히 이전에 없던 보안 카메라들이 등장하면서 우리는 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 항상 지켜볼 수 있게 됐다. 동시에 이런 장비들이 인터넷을 통해 연결되어 있기 때문에 사이버 공격의 위협은 더 커졌다. 허가되지 않은 눈이 인터넷을 통해 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 염탐할 수 있게 된 것이다.
미라이가 제일 처음 등장해 공략하기 시작한 건 대부분 이런 사물인터넷 감시 카메라들이었다. 미라이의 변종으로서 출발했던 사토리 역시 감시 카메라들에 디도스 관련 페이로드들을 저장하거나, 감시 카메라들을 통해 디도스를 실시했다. 그 후 미라이는 다른 종류의 사물인터넷 장비들로도 퍼져갔고, 사토리는 여전히 감시 카메라들을 집중 공격하고 있다. 그래서 현재 감시 카메라의 가장 큰 위협은 사토리다.
미라이의 또 다른 변종인 페르시라이도 사토리처럼 카메라 종류의 사물인터넷 장비들에 집중하고 있다. 현재는 1천 개가 넘는 종류의 카메라들을 공격할 수 있는 기능을 갖추고 있는 것으로 알려져 있다. 감시 카메라를 다수 운영하고 있는 조직이라면, UPnP 기능을 비활성화 하고, 비밀번호들을 어렵게 바꾸고, 펌웨어 업데이트를 함으로써 페르시라이를 방어할 수 있다.
6. VPN필터(VPNFilter)
미라이 및 그 변종들이 카메라 종류를 노렸기 때문에 얼마 전까지만 해도 사물인터넷 감시 카메라들이 제일 취약한 것처럼 느껴졌지만, VPN필터의 등장 이후부터는 그 느낌이 라우터들로 옮겨갔다. 특히 가정용 혹은 소규모 사무실용 라우터들이 큰 위험에 노출되었다는 소식이 눈에 띄게 늘어났다. 게다가 VPN필터는 장비를 껐다 켜도 사라지지 않았기 때문에 더 위협적으로 느껴졌다.
하지만 VPN필터는 기존에 등장했던 사물인터넷 멀웨어들과 달리 봇넷을 형성하려는 시도를 하지 않았다. 대신 라우터를 장악한 뒤 네트워크 구석구석에 침투해 각종 정보를 수집하는 페이로드가 심겨졌다. 그 뒤로 다른 장비들도 추가로 감염시키고, 네트워크 기능을 떨어트리며, 다른 봇넷의 노드 위치를 감추는 등의 기능도 하기 시작했다.
VPN필터를 제거 하려면 두 단계의 조치가 필요하다. 먼저는 공장 추기화를 해야 한다. 그런 후에 라우터를 인터넷에 연결시키기 전에 디폴트 관리자 비밀번호를 바꿔야 한다. 이렇게 해서 VPN필터를 제거했다면 그 후 관리도 중요하다. 펌웨어 패치와 업데이트가 바로 그것이다.
7. 미라이(Mirai)
미라이는 사물인터넷 멀웨어의 대명사다. 상징성이라는 면에서 미라이의 아성을 뛰어넘을 사물인터넷 멀웨어는 아직 등장하지 않고 있다. 등장하자마자 당시 기준으로 가장 높은 용량의 디도스 공격을 실시했었고, 이 때문에 CNN, 트위터, 레딧, 넷플릭스 등 유명한 업체의 온라인 서비스 일부가 중단되기도 했었다. 그 엄청난 파괴력과, 영향을 준 기업의 이름들 덕분에 앞으로도 미라이를 뛰어넘는 멀웨어는 다시 나타나기 힘들지도 모른다.
현존하는 미라이는 처음 등장 시와 마찬가지로 여전히 디도스 공격에 집중하고 있다. 그 동안 여러 가지 변종들이 등장해 다른 목적으로도 사용되고 있긴 하지만 주력은 디도스다. 하지만 현재 미라이는 ‘서비스형 멀웨어(malware as a service)’로서 배포 형태가 바뀐 상태다. 즉 돈만 내면 아무나 미라이 공격을 할 수 있게 되었다는 것이다. 멀웨어가 다크웹에서 상업화 되기 시작하면 그 멀웨어는 새로운 전성기를 맞는 게 보통이므로, 미라이에서도 같은 수순을 예상할 수 있다. 미라이는 과거의 상징으로만 남아있는 게 아니라, 앞으로 더 커질 가능성이 있는 위협이다.
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
