카스퍼스키랩은 올 한 해 동안 나타난 보안위협을 종합 분석해 ‘2010년 보안 위협 결산 및 2011년 전망’을 발표했다.

2010년에 발생한 보안 위협은 그 정도의 차이가 있을 뿐 2009년과 유사한 양상을 보였으며, 스턱스넷 웜과 같은 새로운 공격 기법의 등장과 스마트폰 용 바이러스가 본격 출현했다는 것이 주목할 만한 이슈였다.

1. 스턱스넷(Stuxnet) 웜 바이러스의 출현
2010년에는 원자력 발전소 등 특정 산업 시스템을 공격하는 스턱스넷(Stuxnet)의 출현이 가장 큰 이슈였다.
이 악성 프로그램은 USB드라이브를 통해 유포됐으며 컴퓨터에 독일 지멘스사의 산업자동화 제어시스템이 설치되어 있을 경우 운영 모듈 중 일부가 이 악성 프로그램에 감염되게 된다.

2. ARP 스푸핑 공격
‘ARP 스푸핑’ 공격을 하는 바이러스에 일단 감염이 되면 인터넷 접속 장애를 유발하는 것이 대표적인 증상이다. 이 공격 기법은 매 년 드물게 발생했었지만, 2010년에는 끊임없이 새로운 변종이 유포되어 인터넷을 사용하지 못해 많은 기업에서 유·
무형의 손실을 가져왔다.

3. 스마트폰용 바이러스 본격 출현
2010년에는 안드로이드 플랫폼을 사용한 스마트폰이 본격적으로 보급되면서 이를 노린 바이러스(Trojan-SMS.AndroidOS.FakePlayer)가 최초로 발견됐다.

스마트폰은 설치 시 사용자 동의 후 설치하게 되어 있어 피해 사례는 많지 않았지만, 스마트폰 마켓을 통해 합법적인 프로그램으로 가장할 경우 사전에 이를 검증할 수단이 없는 만큼 설치될 경우 금전적인 손해뿐만 아니라 개인정보 유출이 무엇보다 염려되는 것이 사실이다.

더불어 일부 합법적인 애플리케이션이라도 필요 이상의 사용자 정보를 수집할 경우 보안 측면에서 악성 여부 판단에 논쟁의 여지가 클 것으로 예상된다.

4. 취약점 공격
매년 반복되는 주요 공격 방법 중에 하나가 바로 알려진 취약점을 이용한 공격이다. 이러한 취약점을 이용하는 것은 사용자 모르게 컴퓨터에 침입하는 가장 손쉬운 방법이기 때문이다.

마이크로소프트, 어도비 등의 프로그램 취약점을 이용하여 악성 프로그램이 유포되었을 뿐만 아니라, ‘SQL 인젝션’ 공격으로 노출된 웹사이트를 통한 유포도 여전했다. 최신 보안 패치와 시스템 관리가 무엇보다 최선의 예방 방법이다.

5. 좀비 PC의 지속적인 양산
작년 7.7 대란을 불러 일으킨 좀비 PC 문제가 여전한 것으로 확인됐다. 사이버 범죄자들은 더욱 많은 PC를 감염 시키기 위해 다양한 방법으로 바이러스를 유포하고 관련 정보를 서로 공유하고 있으며, DDoS(분산서비스거부) 공격뿐만 아니라 스팸 메일 발송과 개인 정보 유출 등으로 금전적인 이익을 보고 있다.

6. 디지털 서명 도용
디지털 서명은 애플리케이션의 신뢰성을 판단하는 중요한 기준이다. 즉, 디지털 서명만으로도 안전하고 믿을 수 있는 파일인지 손쉽게 판단했기 때문이다.

하지만 최근에 발견되는 악성 프로그램은 이러한 점을 노려 잘 알려진 소프트웨어의 디지털 서명을 도용하여 마치 안전한 소프트웨어로 가장해 유포되고 있어 사용자의 주의가 요구되고 있다.

2011년 사이버 공격 전망

2011년에도 2010년과 유사한 악성 프로그램 활동 양상을 보여줄 것이란 것은 자명한 사실이다. 더불어 새로운 보안 위협이 무엇인지 그 목적과 방법 등을 통해 미리 예상했다.

지금까지 사이버 공격의 목적은 금전적인 이윤 추구가 대부분이었다. 하지만 2011년에는 오직 파괴만을 목적으로 바이러스 제작 능력을 과시하려는 시도도 있을 것으로 전망된다.

공격 방법은 각종 취약점을 노린 제로데이 공격뿐만 아니라 백도어 등의 악성 프로그램을 사용해 공격 목표의 로그인 계정을 직접 획득하거나 데이터를 조작하는 형태의 악의적인 파괴 공격도 본격적으로 등장할 것으로 보인다. 또한 스마트폰과 소셜 네트워크 사용자를 겨냥한 공격도 크게 늘 것으로 전망된다.

2011년 사이버 공격 전망을 요약해 보면,

• 보다 조직화되고 지능화된 사이버 범죄 조직의 활동.
• 악성 프로그램을 통해 금전적 이득뿐만 아니라 정보 수집 및 데이터 파괴 공격
• 새로운 형태의 악성 프로그램 출현: 개인 정보, 위치 정보 등 모든 형태의 데이터를 수집.
• 기업 및 관공서 등 특정 목표를 가진 공격의 증가
• 취약점을 이용한 공격의 지속적인 증가
• 새로운 형태로 스마트폰 및 소셜 네트워크 공격

2010년 스턱스넷 웜의 등장은 IT 보안 산업을 향한 각성의 소리였다. 점차 지능화되고 있는 공격에 대응하여 IT 보안 업계도 이에 대비한 신기술 개발과 빠른 대응 서비스가 무엇보다 중요해 지고 있다.


2010/12/24 12:46 2010/12/24 12:46

사용자 삽입 이미지
우리가 추석명절과 중부지방에 쏟아진 ‘물폭탄’ 피해·복구에 관심이 온통 쏠려있을 때인 지난 24일, BBC·뉴욕타임즈·파이낸셜타임스(FT) 등 여러 외신은 이란의 핵시설 파괴를 노린 것으로 추정되는 악성 웜의 확산 소식을 전하느라 분주했습니다.

문제의 이 웜은 마이크로소프트 취약점을 악용한 ‘스턱스넷(Stuxnet)’으로, 주로 USB 이동식저장장치를 통해 감염시키는 악성코드입니다. 지멘스의 산업시설 제어장치를 감염시킨 후 산업시설에 침투해 오작동을 일으키거나 작동을 중단시키는 것으로 알려져 있습니다. 이 웜은 지난 6~7월 처음 발견됐지만 1년 전부터 활동한 것으로 추정되고 있습니다.

시만텍 등 보안업계는 이 웜이 산업시설을 대상으로 제작된 최초의, 아주 정교한 악성코드라는 분석을 내놓고 있는데요.

이미 이란 뿐 아니라 인도네시아, 파키스탄, 인도 등에서도 감염 사고가 보고된 상황입니다. 그중에서도 이란에서 가장 많은 피해를 본 것으로 분석되고 있지요. 

뉴욕타임스는 26일(현지시간), 이란 정부 관계자의 말을 인용해 “이 웜이 이란 내 컴퓨터 3만대에 영향을 미쳤다. 이는 이란에 대한 사이버(전자적) 전쟁의 일부”라고 보도했습니다. (<-링크)

일부에서는 스턱스넷에 감염된 4만5000여 대의 컴퓨터 중 60%가 이란에 집중돼 있다는 보도도 나오고 있습니다.

그 때문에 이란의 나탄즈(Natanz) 우라늄 농축 시설과 부셰르 원자력발전소 파괴를 노리고 특정국가가 제작했거나 배후에 있는 것이 아니냐는 추측이 나오고 있는 겁니다. 당연히 핵 개발과 실험에 반대하는 미국과 이스라엘, 영국, 그리고 프랑스, 독일, 심지어 중국까지도 용의(?)선상에 올라와 주로 언급되고 있는 국가입니다. 

무엇보다 우리가 주목해야 할 점은 이 스턱스넷 웜의 등장과 감염 확산이 “웜이 ‘무기’화된 첫 사례이자, 사이버전쟁이 ‘파괴공격’ 단계로 진입한 것을 알리는 신호탄”이라고 하는 해외 보안전문가들의 경고일 것입니다.

지능형전력망(스마트그리드) 구축사업이 한창인 지금, 또 자동차·조선 등 각 산업에서 IT와의 융합이 가속화되는 이때 ‘스턱스넷’ 웜으로 인한 이란의 피해를 교훈삼고 대책을 마련하고 미리 점검해봐야 할 것입니다.

이번 사례는 몇 년 전, 사이버공격의 위험성에 경각심을 불러일으켰던 브루스윌리스 주연의 영화인 ‘다이하드4.0’을 다시 생각나게 하네요.(
관련기사-다이하드4.0의 ‘파이어세일’ 공포)
전문가 경고처럼 각종 사회 기간인프라를 단계적으로 파괴하는 것을 보여준 이 영화의 시나리오가 이미 현실화된 시기가 된 것일까요? 

그나저나 우리나라 산업시설에는 혹시라도 이 ‘스턱스넷’ 웜의 악영향이 없는지 궁금하네요.

(덧붙임) 그러고보니 얼마전에 안철수연구소가 산업용 시스템 전용 보안 솔루션을 선보였군요. 예전에 하우리도 산업용PC 전용 백신을 발표한 적이 있었던 것으로 기억합니다. (
관련기사 참고 - 안철수연구소, 첨단생산라인·POS 전용 보안 제품 출시)

2010/09/26 22:39 2010/09/26 22:39

크리스마스를 겨냥한 악성코드가 올해에도 어김없이 나타났습니다.

에스지어드밴텍, 잉카인터넷 등 보안업체들은 23일부터 크리스마스 축하카드로 위장된 악성 이메일이 국내에서 발견됐다면서 사용자들의 각별한 주의를 당부하고 있습니다.

이 이메일에는 악성코드가 첨부돼 있으니, 클릭하지 마시고 수상한 이메일은 삭제해야 합니다.

오늘, 내일뿐만 아니라 연말연시 계속해서 이같은 악성 이메일, 악성코드가 발생할 수 있으므로 백신 업데이트와 실시간 감시 등 보안에 신경써야 할 것으로 보입니다.

다음은 잉카인터넷 시큐리티대응센터(ISARC)에서 분석한 악성코드 이메일 분석 내용입니다.

국내에 유입된 것이 확인된 이번 이메일은 다음과 같이 발신인 등이 정상적인 크리스마스 축하 카드처럼 교묘하게 위장되어 있으며, 악성코드가 첨부파일에 압축된 상태로 포함되어 존재한다.

보낸 사람 : e-cards@123greetings.com
메일 제목 : You have received a Christmas Greeting Card!
첨부 파일 : Christmas Card.zip (382,011 바이트)

이메일 본문에는 다양한 플래시 파일이 링크되어 보여질 수 있다.

http://c.123g.us/flash/branded_loader.swf
http://i.123g.us/c/edec_c_newjingle/card/113366.swf
http://i.123g.us/c/edec_c_newjingle/card/113413.swf
http://i.123g.us/c/edec_c_newjingle/card/105278.swf



이메일에 첨부되어 있는 압축파일(Christmas Card.zip) 내부에 Christmas Card.chm(공백) .exe 이름의 실행 파일이 포함되어 있다.

압축 해제 후 사용자가 보기에 .chm 확장자 이후 약 60여개의 공백을 포함하고 있어 실행파일(exe)이 아닌 것처럼 오인하도록 위장된 상태이다.

압축 내부에 포함된 악성코드 파일은 2009년 12월 23일 날짜로 등록된 것을 확인할 수 있으며, 아이콘은 크리스마스 트리 장식 모양을 하고 있다.



해당 파일이 실행되어 컴퓨터가 감염될 경우 시스템 폴더에 wmimngr.exe, wpmgr.exe 라는 이름의 2개의 파일이 생성된다.


실행된 악성코드는 SMTP 를 통해서 Mass Mailer 기능 등이 수행된다.



 

2009/12/24 10:40 2009/12/24 10:40

바이러스 전파기능이 추가된 신종 파일감염형 바이러스가 13일 발견돼, 백신업체 에스지어드밴텍('바이러스체이서' 공급사)이 14일부터 긴급 전용백신 배포에 나섰다. (관련기사  전파기능 추가된 감염형 파일바이러스 주의)

이 바이러스의 진단명은 ‘Win32.Sysbox’이다.

에스지어드밴텍에 따르면, 이 바이러스는 모든 실행파일을 감염시키는 파일 감염형이지만 웜과 결합해 계속적으로 바이러스를 전파하기 때문에 감염이 크게 확산될 수 있다는 위험이 있다. 기존에 발견된 웜에서 파일 감염 동작을 수행한다.

기존 감염형 바이러스는 전파 기능은 없었다.

이 바이러스가 최초 발견된 어제, 세네 건의 신고가 에스지어드밴텍에 접수됐다고 한다.

다음은 에스지어드밴텍에서 제공한 바이러스 동작 특징 분석 내용이다.

<정상 *.exe 파일 감염>
ㅇ Win32.Sysbox 에 감염 시스템은 사용자 시스템에 존재하는 정상 *.exe파일에 자신의 코드를 추가해 정상파일을 감염/전파한다.

[##_1C|1163230540.1347541d4ad56eb3af0fee.jpg|width="500" height="402" alt="" filename="1.jpg" filemime="image/jpeg"|_##]
<설치/특징>
ㅇ Win32.Sysbox 에 감염되면, 아래와 같은 경로에 파일을 생성한다.
%USERPROFILE%\LOCALS~1\Temp\TempAdv.dll
%USERPROFILE%\LOCALS~1\Temp\TempLog.txt
%system%\dllcache\systembox.bak
%system%\twain.dll
%system%\AsynCom.sys
C:\WINDOWS\TEMP\Nettemp.dll
* 기본적인 윈도우 시스템 폴더(%system%)
- Windows 9X/ME/XP: %Windir%\SYSTEM
- Windows NT/2000: C:\Winnt\system32
- Windows XP: %Windir%\system32
* 기본적인 윈도우 폴더(%USERPROFILE%)
-Windows NT/2000: C:\Documents and Settings\[사용자계정이름]
-Windows XP: C:\Documents and Settings\[사용자계정이름]

전용백신 다운로드는 www.viruschaser.com에서 하면 된다.

2009/10/14 15:27 2009/10/14 15:27