시큐아이
닫기
SECUI Information

PR CENTER

보기
제목 2016년 상반기 사이버 위협
작성자 관리자 작성일 2016.07.15
 
 
사이버 공격, 인텔리전스 기반 방어 전략 필요
시큐아이 ‘STIC’ 통해 상반기 위협 분석 … 차세대 네트워크 보안 플랫폼과 연동해 지능적 차단

2016년 상반기는 그 어느 때보다 심각한 사이버 위협이 전개됐다. 지능화되는 공격은 안티바이러스, 방화벽, IPS 등 기존의 개별화된 보안 시스템으로 대응이 어렵다는 것을 다시 한번 확인할 수 있었다. 이제는 ‘인텔리전스(Intelligence)’ 개념을 각 보안 시스템의 아키텍처에 추가해 지능화된 방식으로 위협을 분석하고, 대응해야 한다.
 시큐아이는 고도화되는 사이버 위협에 맞서기 위해 인텔리전스 기반 서비스인 STIC(SECUI Threat Intelligence Center)를 런칭했고, 차세대 통합 네트워크 보안 제품인 ‘SECUI MF2’, ‘SECUI MFI(IPS)’ 시리즈에서도 STIC 서비스를 연동하기 시작했다.
 STIC에서는 시큐아이 MF2, MFI 보안 제품과 센서, 해외의 수집 채널, 보안 취약점 정보 및 악성코드 분석가 등 다양한 방법을 통해 대량의 데이터를축적할 수 있다. 그동안 축적한 데이터 중 2016년 상반기(1~6월)에서 가장 큰 보안 이슈와 악용된 취약점, 분석 정보를 소개한다.

랜섬웨어 전성시대
 
2016년 상반기 최대 사이버 위협은 ‘랜섬웨어’다. 모든 IT 네트워크/시스템/보안 관리자의 골칫거리이며 ‘공공의 적’으로 떠오른 랜섬웨어는 2016년 상반기 유포 활동이 가장 활발했고, 유포 방식 또한 고도화 됐다. STIC에서 탐지한 랜섬웨어는 5월 한달 동안만 4만건이 넘는다. 랜섬웨어로 분류된 악성코드의 월별 추이를 살펴보면 4월에 가장 활발하게 유포된 것으로 나타난다.
 대표적인 랜섬웨어는 국내 대형 포털과 정부기관(korea.kr) 이메일로 유포된 록키(Locky) 랜섬웨어와 유명 인터넷 커뮤니티를 통해 유포된 크립트엑스엑스엑스(CryptXXX) 계열을 꼽을 수 있다.
 록키 랜섬웨어는 기존 MS워드의 매크로 문서 파일을 통한 랜섬웨어 감염에서 진화돼 이메일로 첨부된 압축 파일을 해제하면 다운로더형 악성 자바 스크립트가(.js) 포함돼 있으며, 이 스크립트가 PC 사용자에 의해 실행되면 록키랜섬웨어를 감염시키는 구조다.
 

 
 랜섬웨어 계열의 악성코드에 대해 STIC에서는 행위 기반의 동적(Dymanic) 분석 리포트를 함께 제공하는데 록키 랜섬웨어는 파일 암호화를 위한 Write 과정에서의 의심스러운 행위가 발견돼 Malware.Ransom.Locky으로 탐지했다.
 한편 랜섬웨어 피해가 급증하고, 비용을 지불하더라도 파일의 복구를 원하는 피해자가 생기면서 비트코인의 거래 대행과 악성코드 제작자를 서로 중계, 흥정하는 에이전트들이 등장했다.
 미국에서는 우리나라 대형 의료 그룹이 투자한 LA의 대형 병원과 볼티모어 유니언 메모리얼 병원이 랜섬웨어의 감염 피해를 입었고, 암호화된 파일 복구 비용을 해커에게 지불한 사례가 있다.
 볼티모어 병원에 큰피해를 입힌 삼삼(Samsam)랜섬웨어는 제이보스 WAS 서버 취약점을 이용해 서버를 장악한 후 네트워크로 연결된 주변 PC에 악성코드를 유포하는 한층 세련된 기법을 선보이기도 했다. 랜섬웨어 제작자 중에는 자신이 운영하고 있는 C&C 서버가 해킹 당하거나(록키), 활동 중단을 선언하고 파일 복호화 마스터키를 공개한 사례도 있다(테슬라크립트).

● 계속되는 북한의 사이버테러
북한발 사이버테러는 주로 국방, 외교 안보, 방위 산업 분야, 지하철 같은 사회 인프라 시설을 중심의 타깃이 비교적 명확했다. 공격 형태로는 스피어피싱의 악성코드 이메일 유포, 워터링 홀 방식으로 나타났다.
 그 중 STIC에서도 북한 킬체인에 관련된 악성코드가 수집됐고, 힙스프레잉(Heap-spraying)을 위한 스크립트를 포함하고 있어 Malware.developer016으로 탐지됐다. 악성코드 분석가의 자세한 분석 결과 최종 ‘킴수키(Kimsuky)’로 판별됐다.



북한 킬체인 킴수키 악성코드는 한글 워드프로세서(HWP)의 파라텍스트(ParaText) 취약점을 악용한다. 이는 한글 파일의 본문 텍스트 섹션(BodyText Section)에서 문단 텍스트(HWPTAG_PARA_TEXT)가 비정상적으로 크게 나타나는것이다. 2014년 한국수력원자력 사건에서 ‘Who Am I? ’로 출력되는 MBR 파괴 악성코드에서도 사용된 취약점이다.

● 금융권 타깃 국내외 사이버테러
작년 12월 베트남 티엔퐁 상업은행에 이어 올해 2월에는 방글라데시 중앙은행에 해킹 사고가 발생해 약 950억원의 도난 피해가 발생했다. 총 1200억원의 피해가 발생했으며, 250억원을 회수했다.
 해킹 사고를 분석하는 중 글로벌 금융 네트워크인 스위프트(SWIFT)의 거래 메시지를 변조하는 악성코드가 발견됐으며, 국내 대형 은행인 K은행의 스위프트 코드 및 기존 북한 악성코드와 유사한 패턴이 존재해 이번 사건에 대한 국내 관심도 매우 높은 상황이다.
 5월 12일에는 어나니머스(Anonymous) 해커그룹의 작전명 #OpIcarus로 한국은행에 대한 DDoS 공격이 있었다. 한국은행은 웹 서비스가 약간 느려지는 정도의 경미한 피해가 있었으며, 해외의 도미니카, 파나마, 케냐, 멕시코 중앙 은행에서는 서비스가 일시 중단되기도 했다.

● 소프트웨어 개발사를 노리는 해킹
3월 26일 국산 이미지 뷰어, 압축 프로그램으로 유명한 B소프트에서는 서버의 ARP 스푸핑 공격으로 인해 정상 설치 파일 대신 악성코드가 다운로드 되는 사고가 발생했다. 오후 2~4시까지 2시간 동안 약 200명의 사용자가 악성코드가 담긴 설치 파일을 다운로드 받았으며, 악성코드는 금융감독원을 사칭하는 파밍 형태로 분석됐다.

취약점 악용 활동 4월에 가장 많아
STIC에서는 악성코드에 대한 분석과 정보는 물론 보안 취약점에 대한 정보를 제공하고 있다. 2016년 상반기의 보안 취약점 동향을 살펴보면 평소에 비해 4월에 취약점 활동이 가장 많았던 것으로 나타났으며, 상위 30개 보안 취약점을 응용프로그램별로 분류해보면 주로 어도비 리더, 윈도우, MS 오피스, 자바에 관한 것이었다.
 특이점으로 2007~2013년 사이 3년 이상 된 과거의 보안 취약점 역시 활발하게 사용되고 있었는데 이는 대량의 악성코드 유포를 위한 익스플로잇 킷의 사용과 윈도우 업데이트와 별개로 응용 프로그램들에 대한 취약점 패치 설치가 상대적으로 미흡한 환경이 주된 원인으로 분석된다.
 이외에도 안드로이드 OS에서 보안 취약점 악용이 PC 만큼 이뤄지고 있으며, 젤리빈(Jelly Bean) OS에서 동작하는 CVE-2013-4787 취약점의 경우 OS 업그레이드가 지원되지 않아 취약점에 그대로 노출된 상태로 사용하고 있는 스마트폰이 상당수 있을 것으로 추정된다.
 가장 많이 악용된 취약점인 CVE-2009-0927은 어도비리더에서 getIcon()의 결함으로 인해 해커의 코드 실행이 가능한 버퍼 오버 플로우 취약점이며, CVE-2010-0188은 악성 TIFF 파일을 통해 역시 어도비리더에서 AcroForm.api의 TIFFReadDirectory에서 버퍼 오버 플로우를 발생시키는 취약점이다. 세 번째로 많이 악용된 CVE-2010-2568은 이란의 핵 발전소를 공격한 스턱스넷(Stuxnet) 악성코드에서도 활용된 윈도우의 단축 아이콘(LNK) 취약점이다.
 

 
하반기에도 랜섬웨어 위협 높아
2016년 하반기 역시 공통적으로 랜섬웨어의 위협이 가장 클것으로 예상된다. 특히 많은 피해자를 만들 수 있는 대형 커뮤니티 사이트와 복구 비용을 지불할 가능성이 높은 병원을 주된 타깃으로 노릴 것이다.
 병원은 실험 연구 자료 및 환자 데이터의 중요도가 매우 높고, 데이터의 정상 접근이 어려울 경우 병원 운영이 마비될 수 있다. 또한 IT 전문가가 상대적으로 적으며, 의료 업종에서 랜섬웨어 유포자에게 복호화 키 비용을 지불한 사례가 여러건 알려져 있다.
 이외에도 의료 IT 시스템의 경우 서버의 재시작(Reboot) 회피 혹은 24x365의 안정적인 운영을 이유로 패치 설치를 보류하는 경향이 있다.
 금융을 비롯한 사회 기반 시설을 노리는 해킹은 북한, 중국, IS 등 여러 국가에서 시도되고 있고, 어나니머스까지 가세 해 공격 기법의 고도화와 빈도 역시 심화될 것이다.
 정부, 공기업, 금융, 통신, 에너지 등 다양한 분야에서 SCADA 네트워크와 시스템을 노리는 공격과 스피어 피싱을 통한 기반 시설 정보 수집이 하반기에도 활발할 것으로 보인다.
 북한은 전 국민을 노리는 공격 형태에서 사회 기반 시설과 국방/통일/외교/안보 주요 인사에 대한 해킹, 원전 자료 유출과 대통령 비방 메일 등 국민의 불안감을 조성하는 사이버 심리전이라는 투 트랙 전략을 구사하고 있다.
 

 
 북한의 사이버 공격에 악용될수 있는 곳으로 언론사, 소프트웨어 개발사, 사회 기반 시설에 주요 부품을 공급하는 중소 업체들로 특히 이 중소 업체에 대한 보안 실태 점검과 실질적인 보안 수준을 높일 수 있는 지원책이 꼭 필요할 것이다.
 점점 고도화되는 사이버 위협에 대응하기 위해서는 개별 보안 시스템의 탐지에 의존하는 것을 탈피하고, 로그/이벤트/글로벌 트렌드 등 든 정보들을 연동해 다각적인 분석이 가능하도록 해야한다.
 시큐아이의 STIC은 빅데이터와 클라우드 인프라를 토대로 연관분석, 사전 필터링 등 분석 기술을 결합해 보안 위협에 대한 다각적 분석 대응이 가능하도록 지원하며, 보안 관제팀과 IT 엔지니어를 포함한 일반 사용자까지 STIC을 통해 최신의 상세 위협 정보를 제공 받을 수 다.
 이를 비롯해 차세대 통합 네트워크 보안 제품인 MF2, MFI(IPS)의 연계로 랜섬웨어를 비롯한 다양한 사이버 위협 등을 효과적으로 차단할 수 있다.
 SECUI MF2·MFI와 STIC를 연동해 클라우드 기반 분석을 제공하며, 폐쇄망 환경에서도 행위 분석이 가능하도록 APT분석 장비를 제공한다.
구체적으로 ‘APT 프로파일’은 행위 기반 검사를 적용할 프로토콜을 지정할 수 있고, 휴리스틱 검사에서는 설정된 악성행위 스코어의 임계 초과시 ‘차단/탐지’ 액션을 설정할 수있다.
 ‘클라우드 기반의 악성 URL 서비스’는 내부 사용자가 접속하려는 URL에 대한 확장자를 확인하고, 주기적으로 파일을 수집해 시큐아이의클라우드 분석 시스템으로 전송할 수 있는 기능이다. URL 정보 수집을 위한 동의, 악성코드 발견 시 대응 옵션을 설정할 수 있다.
 
 


시큐아이 시큐아이 R&D센터 클라우드서비스개발팀 강병수 선임연구원



 
이전글 시큐아이 차세대 침입방지 시스템 SECUI MFI V4.0 CC인증 획득 2016-07-25
다음글 '16년 국방정보보호·암호 컨퍼런스 참가 2016-07-14
목록