방송통신위원회와 한국인터넷진흥원(KISA)은 최근 발생한 사이버침해사고와 국내외 보안업체들의 전망을 분석해 올해 대두될 7대 사이버위협을 선정해 발표했습니다.

최근의 사이버공격의 특징은 지능화, 복합화입니다. 그 중에서도 올해에는 ▲총선과 대선 등 국가 주요 행사를 겨냥한 사이버공격 증가 ▲웹하드·소셜네트워크서비스(SNS) 악성코드 유포 증가 ▲국가·기업·개인 정보탈취형 지능형지속위협(APT) 공격 지속 ▲모바일 악성코드로 인한 보안위협 현실화 ▲한글 프로그램 등 이용자가 많은 국산 소프트웨어 취약점 공격 ▲클라우드 서비스 보안위협 증가 ▲DNS 서버 대상 DDoS 공격 위협 증가가 전망됐습니다. (관련기사 선거·엑스포 등 올해 국가 주요행사 겨냥 사이버위협 증가)

방통위와 KISA는 이같은 전망에 따른 위협 예방 및 대응 활동을 강화할 계획입니다. 현재 추진 중인 대응방안을 각 위협 전망 항목별로 살펴보겠습니다.

1. 국가 주요 행사 겨냥 공격 대비체계 강화

올해에는 주요한 국가 행사가 줄줄이 이어집니다. 3월 서울 핵안보정상회의, 4월 국회의원 선거 5~8월 여수 세계박람회 12월 대통령 선거 등이 있지요.

최근 사회 혼란을 유발하거나 정치적인 목적으로 국민들이 높은 관심을 갖는 주요 행사가 있을 때를 노려 사이버공격이 많이 발생하고 있습니다.

DDoS 공격이 대표적이고, 행사 안내나 선거 정보 등 관심사를 악용해 사용자들에게 메일을 보내 악성코드에 감염시켜 다른 공격에 이용하는 일도 빈번히 벌어져 왔죠. 

국가 주요행사를 겨냥한 공격 증가 예상이라는 문구를 접하니 가장 먼저 작년 10.26 보궐선거 때 발생했던 중앙선거관리위원회 홈페이지 DDoS 사건이 떠오르더군요. 검찰 수사도 종료됐지만, 지금까지 논란은 계속되고 있습니다. 많은 의구심이 해소되지 않았기 때문이지요. 과거사(?) 정리를 확실히 해야하겠지만, 앞으로 이런 일이 다시 발생하지도 않길 바랍니다.

KISA 인터넷침해대응센터는 행사 관련 웹사이트를 집중 모니터링할 계획이라고 합니다. 특별히 홈페이지 접속장애나 악성코드 은닉여부 조기탐지, DDoS 탐지해 대응할 계획이라고 합니다.

이상징후가 포착되면 정보통신서비스사업자(ISP)를 통한 초동대응과 함께 해당 사이트 운영기관 등에서 조치를 취하도록 알려주는 역할을 할 수 있습니다. 이를 위해 행사 관련기관과는 비상연락망을 운영하고, 국가사이버안전센터·경찰청 등 관련기관과 ISP·보안업체 등과의 공조도 강화할 방침입니다.

2. 웹하드, SNS 악성코드 탐지 강화

웹하드나 P2P 사이트 등에서의 악성코드 유포 문제가 심각하지요. DDoS 공격이나 대규모 개인정보유출 사건과 같은 대규모 보안사고가 발생하면, 악성코드 유포 경로가 웹하드 프로그램인 경우가 많았습니다.

공격자들은 사용자들이 파일을 다운로드하기 위해 설치하는 웹하드 전용 프로그램을 변조하거나 업데이트 프로그램을 다운로드하는 것처럼 속여 악성코드를 유포하는 방식을 많이 이용하고 있습니다. 이렇게 내려받은 악성코드에 감염되면 좀비PC가 돼 DDoS 공격에 이용되고, 회사 내부시스템에 침투해 개인정보 등을 유출하거나 이를 위해 시스템 관리자 계정을 탈취하는데 악용됩니다.

방통위와 KISA는 190개 웹하드 사이트의 전용 프로그램 변조여부 탐지 활동을 2월부터 시작할 예정입니다. 
이를 위해 웹하드 은닉형 악성코드 탐지 시스템도 작년에 개발했습니다.

웹하드 프로그램에나 게시물, 컨텐츠에 숨겨진 악성코드 여부를 탐지, 위험도를 판별할 수 있는 이 기술을 활용해 업체들에게 알려주고, 기술지원도 강화할 계획입니다.

방통위는 작년 12월에 웹하드 사업자를 대상으로 실태점검을 실시했습니다. 협조가 잘 안돼 대상사업자 106개 중 결국 8곳만 점검을 벌인 수준이미에도, 점검 결과 보안장비를 전혀 갖추고 있지 않는 등 보안체계는 매우 취약했다고 합니다.


지난해 개정된 전기통신사업법에 따라 작년 11월 21일부터 웹하드 등록제가 시행됐는데요. 현재까지 등록한 웹하드 업체는 전무하다고 합니다.

기존 업체들은 법에서 정한 불법 저작물 청소년 유해정보 유통방지 및 정보보호를 위한 기술적 조치요건를 이행할 계획을 마련해 6개월 이내에 등록을 마쳐야 합니다. 법적 효력은 오는 5월 20일 이후에는 발생하게 될텐데요. 이를 통해 연내에는 웹하드 보안수준도 강화될 수 있길 기대해봅니다.

방통위와 KISA는 포털 등의 인기 검색어를 통해 유포되는 악성코드 탐지 활동도 강화하고 있습니다.

검색엔진에서 제공하는 실시간 검색어를 악용해 악성코드를 유포하는 URL를 수집, 점검할 수 있는 기술도 보급하고 있습니다. 인기가 많은 SNS 게시글 내에 포함된 URL이나 단축 URL의 악성코드 은닉여부도 알 수 있는 기술이라고 하는데요. 포털 ‘다음’이 이 기술을 이전받기로 계약한 상태랍니다.

특히 단축 URL의 경우는 사용자들이 신뢰된 URL인지 여부를 쉽게 판별할 수 없기 때문에, 사용자 수가 대형 포털과 같이 많은 웹사이트 운영사들의 자발적인 정화 노력에 한층 힘을 기울여야 할 것으로 보입니다.

3. APT 공격 대응 전략

사실 방통위와 KISA도 APT 공격 대응 전략은 딱히 없습니다. APT 공격은 중요 국가 기반시설이나 기업 등 특정한 표적을 겨냥해 중요 정보 유출이나 시스템 마비와 같이 공격 목적을 달성하기 위해 은밀하게 오랜 기간 동안 공격을 수행합니다. 기존 공격 기법뿐 아니라 새로운 공격기법 등 여러 기법을 이용하고, 심지어 공격 대상이 가진 보안체계를 알아내 우회할 수 있는 수법을 이용해 공격을 성공시킵니다. 기업이 공격 사실을 인지하는 시점은 이미 피해가 발생한 때라고 보면 된다고 하지요.

하지만 KISA는 기업이 APT 공격을 예방할 수 있도록 가이드라인을 개발해 보급할 예정입니다. 5월 경으로 예상하고 있고요. APT 공격 대응을 위해서 어디서부터 손을 대야 할지, 무엇을 해야할지 잘 모르는 기업들은 참조가 될 수 있겠습니다.

만간 공포될 개정된 정보통신망법에 따라 기업의 정보보호관리체계(ISMS) 인증이 의무화되면 전반적인 보안체계가 기존보다 강화될 수 있다는 점에서 일정부분 효과가 있을 것으로도 판단하고 있습니다. (관련기사
방통위, 기업 정보보호 관리제도 전면 개편, 새해 강화된 개인정보보호 법 시행, 무엇이 달라지나)

이밖에도 지능화된 공격에 신속하게 대응할 수 있는 해킹 피해시스템 분석, 은닉회피·커널감염 등 악성코드 분석기법 연구 등도 진행해 신규 공격기법 대응방안을 마련하는데 주력할 계획이라고 합니다.

4
. 모바일(스마트폰) 이용자 보호 방안

모바일 악성코드 위협이 점점 현실화되고 있습니다. 올 1월 초에 ‘New Year 2012 Live Wallpaper’라는 이름의 악성 안드로이드 애플리케이션(앱)이 정상 앱으로 위장해 안드로이드 마켓과 국내 인터넷 자료실에서 유포되는 사례가 발생했었죠.

이 악성코드에 감염되면 이메일 주소 등 개인정보가 유출될 수 있었는데요. 다행히 일찍 발견, 조치해 KISA에 접수된 국내 피해 사례는 없다고 합니다.

스마트폰·태블릿 등 모바일 기기 사용자가 급증하고 있기 때문에 모바일 악성코드 위협으로 인한 피해 현실화는 시간 문제로 보입니다. 보안업체들이 집계하는 모바일 악성코드 수도 최근 크게 늘어나고 있는 것도 사실이고요.

일단 KISA는 안드로이드 마켓의 악성 앱을 팀지, 차단할 수 있도록 모바일 악성코드 수집분석 시스템을 구축하고 있습니다. 이 시스템을 바탕으로 안드로이드 마켓에서 유통되는 앱을 수집·분석해 현재 무료 배포 중인 스마트폰 자가점검앱(S.S Checker) 등을 통해 악성 앱 정보를 전파할 계획입니다.

또 방통위와 KISA, 3개 이동통신사, 단말기 제조사, 보안업체가 공동 참여하고 있는 스마트폰 정보보호 민관합동 대응반을 통해 모바일 악성코드가 출현하면 이용자 피해를 최소화할 수 있도록 체계를 마련해 놓고 있습니다.

5. 국산 SW 취약점 사전조치

작년에 한글과컴퓨터의 한글 프로그램에서 보안취약점이 여러 번 발견됐었습니다. 알툴즈 업데이트 프로그램이 SK커뮤니케이션즈 이용자 대량 개인정보 유출 공격에 악용되기도 했죠.

국내 이용자가 많은 소프트웨어의 보안취약점을 악용한 공격을 예방할 수 있도록 신규 취약점 탐지·분석 활동을 강화하고, 취약점정보공유시스템을 통해 취약점 정보를 공유하도록 시도하고 있습니다. 

일단은 KISA에서 취약점정보공유시스템을 구축해 소프트웨어 개발업체, 백신 및 보안 솔루션업체 등이 발견한 취약점 정보를 등록하고 확인해 전파하거나 대응할 수 있는 체계를 구축해 놨습니다.

민간업체들이 얼마나 자발적으로 취약점 정보를 제공하고 공유할 수 있을지는 두고 봐야 할 것 같은데요. 우선 시범 운용형태로 해보고 장기적으로 ‘취약점정보공유분석센터’ 구축도 검토한다고 합니다. 취약점정보공유분석센터 등과 같은 체계를 만든다는 계획은 서종렬 KISA 원장 등이 앞서 언급한 적이 있는데, 올해 예산 편성에서 누락됐다고 합니다.

6. 클라우드 서비스 보안대책

모바일과 함께 클라우드 컴퓨팅도 대세이지요. ‘보안’은 기업이 클라우드 도입에서 가장 우려되는 항목 1~2순위로 꼽힙니다. IT자원 가상화 및 공유, 정보 집중화와 같은 클라우드의 특징이 보안 문제를 걱정하게 만드는 요인입니다. 이에 대한 보안 방안이 제대로 갖춰져 있지 않는다면 정보 유출 우려가 있고 서비스 가용성과 비즈니스 연속성 문제로 크게 타격을 입을 수도 있기 때문입니다.

지난해 아마존 등 해외 클라우드 서비스에서 장애가 나 서비스 이용 기업들이 피해를 본 사례도 있었죠. 클라우드 서비스 신뢰성 확보는 필수사항입니다.

방통위는 클라우드 품질이나 보안에 대한 이용자 불안감을 해소하기 위해 클라우드 서비스 제공업체를 대상으로 클라우드서비스 인증제를 2월부터 실시할 계획입니다. (관련기사 ‘클라우드 서비스 인증제’ 시행, 실효성 있을까, 2월부터 클라우드서비스 인증제 본격 시행)

산하기관인 클라우드서비스협회를 주축으로 전문가들이 참여하는 인증위원회를 두고 품질, 정보보호, 기반 등 3대 분야의 ▲가용성 ▲확장성 ▲성능(속도) ▲데이터 관리 ▲보안 ▲서비스 지속성 ▲서비스 지원의 7개 항목을 심사해 인증서를 발급할 예정인데요. 민간 인증이니 사업자들이 자발적으로 참여해 받게 됩니다.

방통위는 클라우드 서비스 사업자의 정보보호 관리 등급제도 도입할 예정입니다.

2월 중 공포될 것으로 예상되는 개정 정보통신망법에 신설된 정보보호관리체계(ISMS) 의무화(안전진단 폐지) 관련 조항(제47조의5)을 적용해 클라우드서비스 사업자들이 ISMS를 받도록 함으로써 안전한 클라우드 서비스 활성화를 위한 기반 환경 조성에 기여한다는 방침입니다. 

이 점에서 클라우드 인증제의 운영주체는 클라우드서비스협회이고, ISMS는 KISA가 담당하고 있으니 이 부분에 정리가 필요할 것이란 생각이 드는군요. 

방통위는 “정보통신망법에 따라 ISMS를 통해 정보보호 등급제를 적용받은 클라우드 서비스 사업자는 클라우드 인증제 보안 심사 항목은 갈음할 수 있는 방식 등 중복으로 받지 않도록 제도를 연동 운영할 방침”이라고 말했습니다.

KISA도 “이와 관련해 추가 협의가 필요하다”는 입장입니다.

이같은 제도가 잘 운영되고 홍보효과까지 결합된다면, 이용자들이 서비스 사업자의 정보보호 수준을 고려해 인증받거나 정보보호 등급이 높은 클라우드 서비스를 선택할 수 있겠네요.

7. DNS 대상 DDoS 공격 대응 기반 마련

작년에 게임사들의 DNS 서버를 대상으로 DDoS 공격이 발생한 사고가 몇 차례 발생했다고 합니다.

그동안 DDoS 공격은 네트워크 대역폭 이상의 공격을 폭주시키거나 웹서버를 대상으로 사이트를 마비시키는 공격 형태가 많았는데요. KISA는 여러 서버 시스템을 한꺼번에 마비시키는 효과를 올릴 수 있다는 점에서 연동돼 있는 DNS 서버를 대상으로 한 DDoS 공격이 많아질 것으로 예상하고 있습니다. ‘이왕이면 한방에 큰 피해를 유발하자’는 생각이라면 웹 호스팅 업체나 IDC 내 DNS 서버, DNS 서비스 업체들의 시스템을 대상으로 공격을 벌일 수 있겠다 싶네요. 납득이 됩니다.

문제는 아직까지 DNS DDoS 방어체계가 제대로 구축돼 있지 않다는 점입니다. 

KISA에서 운영하는 사이버대피소도 웹서버 대상 DDoS 공격 대피소체계만 운영돼 있다고 하는데요. 원유재 KISA 인터넷침해대응센터 본부장은 “DNS DDoS 공격은 공격 패킷이 달라 사이버대피소도 새롭게 구축해야 하지만 예산 문제가 있다”고 설명했습니다. 그래서 유사시에 현재의 체계를 활용해 DNS DDoS 공격을 방어할 수 있는 방안을 찾고 있다고 합니다.

이를 운영해본 후 내년에 예산을 확보해 DNS DDoS 방어체계를 구축할 계획입니다.

방안이 마련되기 전에 큰 피해를 유발할 수 있는 심각한 DNS DDoS 공격이 발생하지 않았으면 하네요.

2012/01/31 08:05 2012/01/31 08:05

최근 사이버보안위협이 엄청나게 늘어나는 요인이 지하경제에서 거래되는 공격용 툴킷 때문이라는 분석이 지배적이죠.

윈도, 오피스, 어도비 아크로뱃과 같은 여러 애플리케이션의 제로데이 취약점은 공격용 툴킷을 통해 사이버공격에 보편적으로 악용되고 있습니다.

이같은 공격용 툴킷은 ‘지능적지속가능위협’으로 (사실 딱 와닿지 않게) 번역되는 은밀한 공격인 APT(Advanced Persistent Threat) 유형의 표적공격을 만들어내는데 크게 기여하고 있다고도 합니다.

시만텍은 최근 발표한 ‘인터넷보안위협보고서(ISTR)’ 최신호(16호)에서 이같은 공격용 툴킷의 확산과 진화가 소셜네트워킹서비스(SNS)의 악성코드 전파 통로 부상, 모바일 보안위협 증가와 표적공격의 진화·확산 등과 더불어 2010년의 보안위협의 주요 특징으로 지목했습니다. (관련기사 “SNS·모바일이 사이버위협 온상”)

공격용 툴킷은 합법적인 소프트웨어처럼 공개적으로 처음 등장한 날짜와 진행상황을 파악하기 어려운데요.

시만텍은 갈수록 증가하고 있는 사이버 범죄에 대한 경각심을 일깨우기 위해 그동안 역추적해 확인한 주요 공격용 툴킷들의 종류와 특징들을 심도있게 분석한 보고서를 내놨습니다.

이 자료를 인용해 ‘공격용 툴킷의 변천사’를 소개합니다.

사용자 삽입 이미지

▲1990년대: 바이러스 키트

1990년대 초, 비주얼 베이직(Visual Basic)을 이용해 제작된 기본적인 기능의 초기 공격용 툴킷이 발견됐지만 기능은 제한적이었다. 웹 인터페이스, 통계 수집, C&C(명령·제어) 관리 기능 등 후기 공격용 툴킷에서 볼 수 있는 기능은 대부분 빠져있었고, 주로 개발 및 전파 목적의 바이러스들이 포함돼 있었다. 초기 바이러스 제작 킷 중에서 가장 발전된 툴킷은 1998년 처음 발견된 VMPCK이었다. VMPCK 이후 곧 CPCK 키트가 등장했는데, 두 킷 모두 ‘바이코딘(Vicodines)’란 악명 높은 프로그래머에 의해 개발됐다. CPCK는 탐지 회피를 위한 다형성 엔진을 포함하고 있었는데 당시로서는 매우 획기적인 시도였다.

▲2001년: VBSWG 웜 킷

스팸 메일 공격시 주로 사용되는 제목 때문에 안나 쿠르니코바(Anna Kournikova) 웜으로도 불리며, 2001년 아르헨티나에서 처음 발견됐다. 비주얼 베이직으로 개발된 VBSWG 웜은 단순하지만 효과적인 암호화 기술을 채택했으며, 이메일 및 IRC 클라이언트를 통한 전파를 위해 다양한 루틴을 내장하고 있었다. 정보 탈취를 우선으로 제작되는 최근의 공격용 툴킷과 달리 초기에는 파괴적 공격이 주요 목적이었다. 예를 들어, VBSWG 웜에는 ‘크래시 시스템’과 ‘크레시 시스템2’로 불리는 공격코드가 탑재돼 시스템이 다운될 때까지 메모리 기능을 계속 복사, 실행한다.

▲2006년: 웹어태커(WebAttacker)의 등장

2006년 초에 처음 모습을 드러낸 웹어태커는 첫번째 공격용 툴킷으로, 2003년에 발견된 7개의 취약점을 이용한 악성코드를 내장하고 있었다. 후기 공격용 툴킷과 마찬가지로 웹어태커는 클라이언트측 취약점을 이용했는데, 마이크로소프트 윈도OS 에 설치된 인터넷 익스플로러나 모질라 파이어폭스 사용자들을 주요 공격대상으로 삼았다.

처음 웹어태커 발견했을 당시 지하경제에서는 15달러에 거래되고 있었다. 이렇게 낮게 가격이 형성된 이유는 첫번째 상용 공격용 툴킷이었기 때문으로 분석된다. 웹어태커 판매자는 구매자에게 약정 서비스 형태로 툴킷을 제공했으며, 이후 수많은 툴킷들이 약정 모델을 차용했다. 또한 웹어태커는 업데이트가 가능하고 후속 버전에는 새로운 취약점을 이용할 수 있는 코드를 포함시켰다. 2006년 9월 웹어태커는 인터넷 익스플로러의 벡터언어 컴포넌트와 관련된 제로데이 취약점을 이용해 눈길을 끌었다. 대다수 툴킷들이 이미 잘 알려진 취약점을 이용한 반면, 악성코드에 제로데이 취약점을 적용한 보기 드문 경우였기 때문이다.

▲2006년: 앰팩(MPack)

웹어태커 다음으로 등장한 주목할만한 공격용 툴킷은 2006년 6월에 발견된 앰팩이다. 앰팩은 웹어태커를 토대로 하고 있지만 개선된 인터페이스를 통해 공격 데이터의 지리적 분류, 공격받은 호스트 위치, 국가별 성공률 등 확장된 통계 정보를 제공한다. 또한 IP 주소나 국가별 사용자, 동일한 IP 주소에서 반복적으로 방문하는 사용자를 차단하는 기능을 지원한다. 특히 중복 방문자를 차단하는 기능은 분석을 위해 툴킷 공격을 호스팅하는 웹사이트를 반복적으로 방문하는 안티바이러스 보안 연구소 및 보안업체들이 앰팩 툴킷을 탐지하기 어렵게 만들었다.

앰팩은 다양한 기법을 통해 보다 공격적으로 배포된 툴킷이다. 예를 들어, 앰팩의 호스트 사이트로 피해자의 경로를 재조정하기 위해 합법 웹사이트에 아이프레임(iframe)을 주입하거나 유사한 이름의 도메인을 등록시켜 인기 웹사이트의 주소를 실수로 잘못 입력한 피해자를 유인했다. 더욱이 스팸을 통해 악성 사이트로 연결된 링크를 유포하고, 맞춤형 악성코드 다운로더를 생성함으로써 피해자가 공격에 걸려들었을 때 배포할 악성코드의 유형과 위치를 직접 정할 수 있도록 했다. 앰팩의 첫 판매 가격은 1000 달러로, 이는 15달러에 판매됐던 웹어태커에 비해 매우 높은 가격이다. 그럼에도 앰팩이 성공을 거두고 오래도록 판매될 수 있었던 이유는 공격자들이 기꺼이 거금을 투자하더라도 투자한 만큼의 충분한 이익을 거두었기 때문인 것으로 분석된다.

▲2007년: 앰팩을 기반으로 한 아이스팩(IcePack)

2007년 7월 등장한 아이스팩은 앰팩과 유사하다. 특정 IP 주소나 국가별 사용자는 물론 중복 방문자를 차단하는 등 앰팩과 동일한 기능을 대거 포함하고 있었다. 아이스팩의 첫 판매 가격은 앰팩보다 낮은 400달러였으나 웹어태커보다는 훨씬 비쌌다. 2007년 11월 시만텍은 아이스팩 및 앰팩과 관련된 하나의 트렌드를 발견했는데, 바로 개발자들이 아이스팩 및 앰팩의 불법복제판으로 입은 손실을 만회하기 위해 할인된 가격이나 무료로 지하경제에서 제공하고 있는 것이었다.

할인 또는 무료 버전에는 공격 피해자를 또 다른 악성 사이트로 유인하는 백도어 코드가 포함돼 있었다. 즉, 무료 툴킷을 사용한 공격자들은 백도어 코드의 존재를 알지 못했고, 그 결과 백도어 버전 툴킷의 공격을 받은 피해자들은 백도어 버전 툴킷 공격으로 득을 보게 된 툴킷 개발자들에 의해 2차 피해를 입었다.

▲2007년: 봇의 제왕, 제우스(Zeus)

시만텍은 2007년 처음으로 제우스 툴킷을 발견했다. ‘Z봇(Zbot)’으로도 알려진 제우스는 온라인 금융 정보 등 민감한 데이터를 수집하기 위해 개발됐고, 지금도 매우 광범위하게 사용되고 있다. 제우스는 PHP 기반 C&C(명령제어) 서버 웹 애플리케이션과 함께 트로이목마 생성기를 포함하고 있지만 트로이목마 설치나 전파 수단은 포함하고 있지 않다. 대신 판덱스(혹은 컷웨일)와 같은 대형 봇넷이 스팸이나 드라이브바이다운로드(Drive-by-downloads: 사용자 모르게 다운로드되어 실행되는 악성 프로그램)를 통해 제우스 툴킷을 유포한다.

제우스는 수많은 사기 및 사이버범죄 사건에 연루됐다. 2010년 9월, 미국, 영국 및 우크라이나 출신의 다국적 범죄집단이 제우스 봇넷을 사용해 18개월간 온라인 금융 및 거래 계좌에서 7000만 달러 이상을 훔친 혐의로 검거된 것 외에도, 영국의 수많은 계좌에서 100만 달러 가량의 돈을 빼돌린 사건이나 수십 개의 미 은행 계좌에서 300만 달러의 돈이 불법 인출된 사건도 있었다. 제우스가 인기가 높은 이유는 피해자 컴퓨터에서 금전적 이득을 볼 수 있는 민감한 정보를 쉽게 빼돌릴 수 있는 기능이 포함돼 있기 때문이다.

▲2007-2008년: 네오스플로이트(NeoSploit), 애드팩(Ad’pack), 토네이도(Tornado)

2007년에는 제우스와 비견할만한 다양한 툴킷이 등장했다. 3월 네오스플로이트, 9월 애드팩, 10월 토네이도 등이 등장했고, 그 중 네오스플로이트의 영향력이 가장 컸다. 겉으로 보기에는 웹어태커의 업그레이드 버전으로 보이지만 향상된 통계 정보 수집과 표시 능력을 지녔다. 안티바이러스 프로그램의 탐지 및 분석을 피하기 위해 은폐 기능(obfuscation) 및 난독화(anti-decoding) 기능이 포함됐다. 발견 당시 네오스플로이트는 기능 및 버전에 따라 1500~3000 달러까지 다양한 가격대의 제품으로 제공되고 있었다.

발표되는 신규 버전마다 새로운 악성코드를 추가했던 네오스플로이트는 공격시 탐지우회기법이 포함된 자바스크립트를 이용하는 혁신 기술을 포함하기도 했다. 그동안 발견된 툴킷과 달리 네오스플로이트는 통계정보를 저장하기 위해 MySQL과 같은 대중적인 데이터베이스를 사용하는 대신 맞춤형 데이터베이스를 포함했다. 또한 공격자가 툴킷 버전 업그레이드 시 데이터베이스도 함께 업그레이드할 수 있도록 스크립트를 제공해 네오스플로이트를 간편하게 최신 버전으로 유지할 수 있도록 지원했다. PHP 인터프리터, 연관 데이터베이스 서버 등 공격용 툴킷에 반드시 필요한 부가 기능을 없애 네오스플로이트의 설치 및 유지보수 작업을 단순화시켰다.

2008년 중반 네오스플로이트의 러시아 출신 제작자들은 네오스플로이트의 개발 중단을 선언했다. 개발에 투자한 시간에 비해 수익성을 담보할 수 없다는 게 그 이유였다. 그럼에도 불구하고 네오스플로이트를 사용한 공격 활동은 이후 계속 감지되고 있다.

시만텍은 2008년 4월 처음 토네이도 툴킷을 발견했지만, 이미 6개월 정도 전부터 탐지를 피해 활동해 온 것으로 보인다. 토네이도는 개발자들의 신중하고 제한적인 유포 활동으로 탐지가 어렵다. 또한 단골 방문객들에게 사이트 소유자의 계좌가 정지되었다는 메시지를 띄우는 등 트래픽 유형에 따라 다른 행동을 취할 수 있는 기능을 갖추고 있었다. 이러한 전술은 다른 IP 주소로 방문자에 대한 공격을 실제 지속하면서도 툴킷 호스팅 사이트가 악의적이라는 의심을 누그러뜨릴 수 있다.

▲2008년: 파이어팩(FirePack)과 엘 피에스타(El Fiesta)

2008년에는 2월과 8월에 각각 소형 툴킷인 파이어팩(FirePack)과 엘 피에스타(El Fiesta)가 시만텍에 의해 발견됐다. 이전에 발견된 툴킷과 동일한 기능이 대거 포함돼 있었지만 가격이나 제공하는 악성코드는 달랐다.

▲2009년: 공격용 툴킷의 전성기

2009년에는 럭키스플로이트(LuckySploit), 리버티(Liberty), 예스 익스플로이트 시스템(YES Exploit System), 엘리노어(Eleonore), 프라거스(Fragus), 유니크 팩(Unique Pack), 마리포사(Mariposa), T-아이프래머(T-IFRAMER), 저스트익스플로이트(justexploit), 시베리아(Siberia), 크라임팩(CRiMEPACK) 등 주목할만한 많은 공격용 툴킷이 발견됐다. 그 중 엘리노어는 거의 매월 후속 버전이 나올 정도로 활발한 활동을 했고, 피닉스 역시 원래 2007년 발견됐지만 2009~2010년 사이 공격이 급증해, 10개 이상의 버전이 공개됐다.

프라거스 툴킷의 경우, 첫 번째 버전은 2009년 7월 발견됐다. 프라거스는 공격용 툴킷의 불법복제를 방지하기 위해 PHP 난독화 기술을 처음으로 사용했다. 또한 IP 주소를 바인딩하거나, 툴킷 라이선스 기간이 초과하면 특정 파일을 만료시키는 등 다양한 불법복제 방지 기법을 적용했다.

▲2009년 10월: 마리포사(Mariposa) 등장

마리포사(Mariposa) 역시 주목해야 할 또다른 공격용 툴킷이다. 시만텍의 분석에 따르면, 마리포사의 클라이언트 트로이목마는 주로 실리FDC(SillyFDC) 웜의 변종 형태로 나타났다. 실리FDC는 2009년 세 번째로 가장 많이 발견된 악성코드 샘플이다. 마리포사는 다형성, 은폐, 안티바이러스 회피, 상태 업데이트 및 인코딩 전송 등의 기능을 갖췄다. 다형성 및 은폐 기능을 통해 악성코드를 실행할 때마다 모습이 바뀌었고, 이로 인해 안티바이러스 프로그램이 악성코드 시그니처를 생성하기 어렵게 했다. 마리포사는 USB 디바이스, P2P 클라이언트, 네트워크 공유 및 MSN 메신저를 통해 전파할 목적으로 개발됐다. 마리포사가 공격에 자주 사용되는 가장 큰 이유는 안티바이러스 애플리케이션이 마리포사를 차단하기 어려운데다 다양한 전파 기법을 갖추고 있기 때문이다.

이밖에 마리포사가 MS 인터넷 익스플로러의 HTTP POST 요청 데이터를 가로챌 수 있다는 점을 주목할 필요가 있다. 사용자가 웹사이트에 로그인 할 때 인증정보를 탈취할 수 있으며, 요청 데이터가 암호화되어 있어도 상관없는데, 이는 탈취가 암호화가 적용되기 전 인터넷 익스플로러 내부에서 발생하기 때문이다.

시만텍 조사 결과, 마리포사는 기본형 450 달러를 시작으로 포함된 기능에 따라 고급형의 경우 1,400 달러 이상에 판매되고 있었다. 3, 6, 12개월 단위의 업데이트 지원 서비스 패키지를 구입할 수도 있으며, 12개월 패키지의 가격은 520달러에 달했다. 개발자들은 보안 소프트웨어 탐지 회피 기능을 지원하기 위해 이틀마다 업데이트를 제공하고 있었다. 한편 마리포사는 2009년 약 1,270만대의 컴퓨터를 감염시키고 기능을 마비시킨 마리포사 봇넷이 발견되면서 언론의 뜨거운 관심을 받았다. 마리포사 봇넷 코드를 제작한 용의자들은 2010년 스페인과 슬로베니아에서 검거됐다.

▲2010년: 제우스(Zeus) 2.0, 스파이아이(SpyEye), 스트라이크(Strike)

- 제우스 2.0

2010년 제우스의 신규 버전인 제우스 2.0이 출시됐다. 제우스 2.0 버전은 기본 패키지가 최고 8000달러에, 500~2,000 달러의 추가 모듈까지 제공한다. 특히 스파이아이(SpyEye)의 ‘킬 제우스(Kill Zeus)’ 기능을 방어할 수 있도록 해, 공격용 툴킷 개발자들간의 경쟁이 점점 뜨거워지고 있음을 짐작할 수 있다. 제우스 2.0 버전에는 업그레이드된 탐지 회피 및 삭제 거부 기능뿐만 아니라 MS 윈도우 7 지원 및 한 대의 컴퓨터에 다양한 버전의 제우스 툴킷을 설치할 수 있는 새로운 기능도 추가됐다.

제우스 2.0은 임의의 고유한 레지스트리 키 값 및 파일명을 탐지우회하는 기법과 환경설정파일의 RC4 암호화 기능도 제공한다. 향상된 탐지우회기법 및 무작위 배정법에 따라 다양한 제우스 버전을 단일 컴퓨터에 동시에 설치할 수 있다. 다시 말해, 여러 공격자들이 표면상 단일 호스트를 여러 번 감염시킬 수 있게 된 것이다. 제우스 2.0은 또한 봇 생성 애플리케이션을 단일 컴퓨터와 연계하는 하드웨어 기반의 잠금 메커니즘을 사용한 불법복제 방지 기능을 지원한다.

- 스파이아이

2010년 등장한 스파이아이는 광고를 통해 초기 제우스와 비견할만한 강력한 툴킷으로 포지셔닝했다. 특히 감염 컴퓨터에서 모든 제우스 버전을 삭제하는 ‘킬 제우스’ 기능을 내장하고 있다. 이후 제우스 신규 버전에는 킬 제우스 기능을 무력화시키는 방어기능이 포함돼 공격용 툴킷 간 경쟁이 보다 심화되고 있음을 확인할 수 있다.

스파이아이는 광고를 통해 스파이아이를 저렴한 제우스 대용품으로 소개하며, 최고 8,000 달러에 이르는 제우스에 비해 매우 낮은 500~1500 달러 수준의 가격을 제시하고 있다. 킬 제우스의 백업 기능으로, 스파이아이와 제우스가 동일한 컴퓨터에 설치돼 있고 스파이아이가 제우스 버전을 감지 또는 삭제하지 못할 경우, 스파이아이는 제우스 C&C 서버로 전송하는 데이터를 가로채거나 탈취할 수 있도록 프로그래밍돼 있다.

흥미롭게도 2010년 10월 스파이아이 개발자 하더만(Harderman)은 오리지널 제우스 개발자 슬래빅(Slavik)으로부터 소스코드를 공식 인수했다고 밝혔다. 슬래빅은 더 이상 제우스 개발, 판매, 지원에 관여하지 않는 것으로 보인다. 하더만은 기존 제우스 고객에게 지원 서비스를 제공하겠다고도 발표했으며, 향후 더욱 강력한 툴킷을 제공하기 위해 스파이아이와 제우스의 소스코드를 통합하는 작업을 진행하고 있다.

스파이아이는 키스트로크 로거를 사용해 네트워크 트래픽과 웹 브라우저의 정보를 가로채 사용자 정보를 확보할 수 있는 기능이 포함되어 있다고 광고하고 있다. 일례로, 웹 브라우저 입력란에 ‘사회보장번호를 입력하세요’ 등의 항목을 몰래 추가한 후 사용자가 정보를 입력하면 전송 데이터를 중간에 가로채 피싱 스타일의 공격을 진행하고, 피해자가 제공한 인증 정보를 이용할 수 있게 된다.

- 스트라이크

2010년 등장한 스트라이크 툴킷은 윈도 XP, 윈도 비스타, 윈도 7 등 신규 OS를 목표로 한다. 스트라이크의 봇 클라이언트에서 주목할 점은 일반 사용자로 가장해 신규 윈도 OS의 사용자접근관리(UAC) 보안 기능을 회피하기 위해 개발되었다는 점이다. 스트라이크가 UAC 기능을 회피하는 방식은 윈도우의 ‘임시 인터넷 파일’ 폴더에만 파일을 작성하는 데 있다. 이로써 스트라이크는 키스트로크 로거, 백도어 등과 같은 악성 애플리케이션을 사용자 몰래 설치할 수 있다.

스트라이크는 윈도를 비롯한 200개 애플리케이션의 시리얼 번호를 빼내기 위해 개발됐으며, 스트라이크 광고에 따르면 윈도 호스트 방화벽을 우회해 자유롭게 네트워크에 접근할 수 있고 TCP 접속을 통해 DDoS(분산서비스거부, 디도스) 공격을 감행할 수 있다고 한다.


2011/04/06 16:04 2011/04/06 16:04

사용자 삽입 이미지
지난 15일(현지시간), 미국 샌프란시스코에서 열린 ‘RSA 컨퍼런스 2011’에서 스콧 차니(Scott Charney) 마이크로소프트 TwC(Trustworthy Computing) 부사장이 사이버위협에 보다 능동적이고 사전예방적으로 대응하기 위한 방안으로 공공 보건(publec Health) 모델을 차용한 ‘집단 방어(Collective Defense)’ 방안을 제안했습니다.

이 발표를 들으면서 마이크로소프트(MS)가 인터넷에 적용하자고 강조한 이 진보된 ‘집단 방어’ 모델이 우리 정부가 지난 2009년 7월에 발생한 분산서비스거부(DDoS) 공격 이후 추진하고 있는 ‘사이버치료체계’를 비롯한
좀비PC방지 방식과 아주 유사하다는 인상을 받았습니다.

정부(방송통신위원회·한국인터넷진흥원)가 주축이 돼 추진한 사이버치료체계는 어쩌면 한국판 ‘집단 방어’ 모델이라고 할 수 있겠습니다.

현재 국회에서 ‘좀비PC 방지법’이라고 불리는 ‘악성프로그램 확산 방지 등에 관한 법률’ 제정까지 추진되고 있는 시점에서, MS가 강조하는 이 모델이 무엇인지 살펴보는 것이 중요할 것이라 생각합니다.

이번 발표를 듣기 전에는 몰랐는데, MS의 ‘집단 방어’ 모델은 작년 10월에 공식 발표된 것 같습니다.(읽어보진 못했지만 관련 포스팅이 MS 사이트에 있네요) ‘집단 방어’라는 이름을 사용하진 않았어도 작년 상반기에 개최한 ‘RSA 컨퍼런스 2010’ 기조연설에서 차니 부사장이 비슷한 개념을 언급했다고 하더군요.

MS는 무엇보다 보안과 프라이버시 요구를 모두 충족하는 문제, 인터넷 접속과 보안 사이에서 충돌되는 이슈, 쉽게 체계를 구축하기 위한 방안 등 나타날 수 있는 어려운 문제를 해결하기 위해 고심한 느낌을 받았습니다. 기조연설 후 차니 부사장이 이와 관련해 또 포스팅을 했군요. (아주 부지런하시네요.)

‘집단 방어’ 모델은 기업이나 개인이 사이버위협에 대응하기 위해 방화벽, 안티바이러스, 보안패치 자동업데이트를 사용하고 위험에 대한 교육도 실시하지만, 위협을 막는데 충분치 못하다는데 문제의식이 있습니다. 특히 개인사용자들을 보호하기 위한 접근입니다.

그나마 기업은 CIO나 CSO 조직 또는 개별전문가를 통해 위협을 관리할 수 있지만 IT나 보안을 잘 알지 못하는 개인들은 방치돼 있어, 제로데이 취약점을 악용하는 신종 공격, 분산서비스거부(DDoS)를 유발하는 봇넷에 감염되는 일이 생기죠.

따라서 인터넷에 연결돼 있는 개인의 기기의 안전성(health)를 확실히 함으로써 IT생태계(에코시스템)으로 연결된 환경을 보다 안전하게 하고 새로운 위협에 대한 사전대응체계를 구축하자는 것이 ‘집단 방어’ 모델의 기본 철학입니다.

스콧 차니 부사장의 기조연설을 자세히 살펴보겠습니다.
사용자 삽입 이미지

‘집단 방어’ 전술, 왜 필요한가

그는 “세계 여러 국가들이 사이버보안전략을 고심하고 있지만, 어떤 측면에서는 제대로 작동하지 않고 있다”고 운을 띄웠습니다.

그 이유로 “사람, 조직, 정부가 모두 서로 공유돼 있고 통합된 도메인을 사용하고 있어, 여기에서 공격이 이뤄지기 때문”이라고 분석했습니다.

공공 보건 모델을 적용한 ‘집단 방어’와 같은 새로운 접근이 필요한 배경입니다.

“인터넷은 물리적 환경에서처럼 군대와 국민을 구분할 수 없다. 악성 패이로드와 정상적인 패킷도 혼재돼 있다는 것이 큰 문제이다. 정부가 군에 사이버위협에 대응토록 한다고 해도 프라이버시 문제로 사람들은 원치 않을 것이다.”

“공격의 속도는 아주 빠르다. 우리의 대응 능력을 능가한다. 공격으로 인한 결과, 영향도 예견하기 어렵다. 더욱이 지금 우리가 딛고 서 있는 세상은, 환경은 계속 변화하고 있다. 인터넷 의존도는 이미 커졌고, 컴퓨터나 휴대폰, 인터넷에 연결된 기기가 확산되고 있고 앞으로 모든 기기에 인터넷 센서가 들어갈 것이다.”

위협의 발전, 그리고 환경 변화가 핵심입니다.

차니 부사장이 연설할 때 보여준 데모 영상도 이렇게 시작합니다. “As the Internet and cloud have grown to be part of the fabric of society, societal expectations for security, reliability and privacy are intrinsic.”

차니 부사장은 이런 환경 변화로 “데이터 중심적인 세상(Data-Centric world)이 되고 있다”고 표현했습니다. 여기에서 보안과 프라이버시가 모두 필요하고, 아이덴티티관리의 중요성이 나타난다고 설명했습니다.

‘집단 방어’ 모델의 진화

위협을 집단적으로 방어하기 위한 과정도 소개했습니다.

“1980~1990년대 사이버 위협이 처음 생겨나면서 기업들이 방화벽과 침입방지, 안티바이러스를 구축하고 늘리기 시작했다. 그리고 90년대에 들어 정부와 산업이 서로 협력해 정보를 공유하기 시작하면서 집단 방어를 위한 다양한 방법이 모색돼 왔다.”

이제 MS는 인터넷에 공공 보건 모델에 착안해 인터넷에 적용할 수 있는 ‘집단 방어’ 모델'을 만들어 낸 것입니다.

공공 보건 모델은 이것입니다.
사용자 삽입 이미지

“우리는 건강을 해치는 위험요인에 대한 교육을 받는다. 병을 예방하기 위해 손을 씻어야 하고 소매에 기침해야 한다는 것들이다. 또 백신도 맞는다. 병에 걸려 아프면 치료하고, 또 SARS, H1N1(신종 플루)처럼 병이 아주 빠르게 전파할 때면 대응할 수 있는 국제적인 체계를 만든다. 나라마다 국가건강기구를 두고 있고, 비행기에서 내리는 사람은 기온을 재 높게 나오는 사람, 즉 감염이 의심되는 사람은 격리돼 치료를 받게 하기도 한다. 나 한명이 아니라 다수(the good of many)를 위해서이다.”

이같은 공공 보건 활동을 IT를 활용해 대입해보니 참 비슷합니다. 이렇게 하면 지금까지 한계를 노출했던 사이버위협에 (사후)대응(reactive)하는 방식과는 다른 사전예방(Proactive)하는 방법이 된다는 것이죠.

차니 부사장은 이날 “작년에는 ISP가 공공 부문에서 CIO가 돼야 한다고 말했다. 개인의 기기를 검사해 깨끗한지 확인하고 그렇지 않은 경우 인터넷으로부터 격리해야 한다고 했다”라며, 작년 RSA 컨퍼런스 2010에서 발표한 것 보다 진보된 ‘집단 방어’ 모델을 제안했습니다.

초기 ‘집단 방어’ 모델에서 발견된 문제(flaws)-클레임 기반 아이덴티티관리, 사회적 합의 로 해결

“작년에 말한 이 모델에서 프라이버시 때문에 개인들이 자신의 기기를 원치 않는다는 점과 ISP에 너무 많은 부담을 준다는 점, 인터넷상 컨버전스 이슈로 인한 격리의 어려움-VoIP를 사용할 때, 긴급한 경우 패치를 설치하고 컴퓨터를 리부팅해야 하는 것과 같은-이 있다는 세가지 문제를 발견했다”며, 해결 방안으로 “‘클레임 기반 아이덴티티(Claim based identity)’를 생각했다”고 말했습니다.
(클레임 기반 아이덴티티관리는 MS가 최근 클라우드 컴퓨팅 보안 방안으로 중요하게 제시하는 기술 방안으로 알고 있습니다. 구체적인 것은 향후에 공부를 해봐야겠군요.)

차니 부사장에 따르면, 사용자가 데이터를 통제할 수 있고 ISP가 모든 걸 담당하지 않아도 은행과 같은 특정 조직이나 기구가 사용자의 ‘건강 인증서(health certificate)’를 요구할 수 있다. 또 인터넷에 접속하거나 접속을 차단하는 식의 두가지 차원의 격리가 아니라 문제를 기반으로 맞춤형 위험관리 방안이 적용될 수 있다.

이를 적용하는데 있어 중요한 것은 ‘사회적인 합의’라고 차니 부사장은 강조했습니다.

“개인들이 이 아이디어를 받아들이게 하려면, 기기의 안전성을 인증하는 모델이 왜 좋은지 설명해야 한다”며, 흡연을 예로 들었습니다.

“담배는 암을 비롯해 각종 병의 원인이라는 사실을 누구나 알고 있지만, 그동안 담배를 피우는 것을 인정해 왔다. 그런데 최근에는 나 자신 뿐 아니라 주변사람에게도 해를 입히는 간접흡연 이슈가 생기면서 갑작스레 공공장소에서 흡연이 금지됐다. 사람들에게 담배를 피울 권리가 있지만 이웃에 해를 줄 권리는 없기 때문이다.”

다른 사람에게 피해를 주면서 개인의 ‘인터넷접속 기본권’만을 주장할 수는 없다는 이야기도 돌려 말했습니다.

“인터넷 접속을 기본권이라고 말하는 사람들도 있는데...세계적으로 프레스티지 수준에 올라온 기본권은 많지 않다. 이것이 왜 좋은 모델인지 설명할 것이다.”

“공유돼 있고 통합된 도메인인 인터넷에 접속할 때 내 기기가 이미 봇넷의 일부로 스팸을 유발하고 DoS 공격을 하고 있다면, 이는 전체 생태계의 위험으로 받아들여야 한다. 새롭게 출현할 위협에 대응하기 위해서는 더 스마트해져야 한다는 점을 반드시 이해해야 한다.”

‘집단 방어’의 목표, 그리고 SETIPA-Social, Economic, Political, and IT Alignment 구현
사용자 삽입 이미지

차니 부사장은 “‘집단 방어’의 목표는 모든 위험을 잡는게 아니라 기본 위생수준을 높이고 새로운 위협이 나타날 때 재빨리 대응할 인프라를 구축하는데 있다. 공공 보건 모델은 봇넷 위험과 사용자 프라이버시를 고민하고 IT와 시장, 사회적, 정치적 합의를 같은 선상에 놓는 방법을 배우게 한다”고 강조했습니다.

그리고 “다음 단계로는 아이덴티티관리시스템로 펌웨어의 신뢰성을 쌓는데(Trusted stack) 주력하고, 아이덴티티 솔루션을 위한 건전한 요구를 계속 적용할 필요가 있다”며, “공공보건 모델을 인터넷에 적용할 집단 방어 방안을 고민해 활용해보자”고 제안했습니다.

2011/02/19 16:00 2011/02/19 16:00

명절이나 중요 행사, 또는 사회적인 이슈를 악용해 악성코드를 유포하는 방식이 기승을 부리고 있습니다.

현재 중국광저우에서 한참 진행중인 아시안게임, 얼마전 마친 서울 G20 정상회의 등 올해에는 특히 국내외에 크고 작은 행사가 많았지요.

그래서인지 때마다 G20 정상회의, 노벨평화상, 아시안게임 등과 같은 주요 이슈에 편승한 악성코드가 빈번히 등장했습니다.

연말이 다가오면서 크리스마스 카드, 새해 연하장 등을 악용하는 방식도 나올 것으로 예상되고 있습니다.

보안업체인 잉카인터넷은 16일 연말연시 출현이 예상되는 악성파일의 유포 사례와 대응방안을 발표했습니다.

사회공학기법을 사용한 교묘한 공격 수법에 당하지 않고 안전하게 PC를 이용하기 위해서 미리 한번 살펴보죠.

사용자 삽입 이미지

◆2011학년도 수학능력평가

수험생이 있는 자녀가 있는 집이면 이 날이 올해에서 가장 중요하다고 여길 지도 모릅니다. G20 정상회의때문에 일주일이 미뤄졌다고 하는데, 벌써 눈앞으로 다가왔습니다.

현재까지 대학 수학능력평가를 악용해 악성코드가 유포된 것으로 보고된 사례는 없다는데요. 근래의 악성파일 유포 트렌드로 비춰볼 때 사회적 관심사인 대학 수학능력평가 내용 등을 사칭한 악성파일 유포가 이뤄질 있기 때문에 항상 예의주시할 필요가 있겠지요.

더욱이 금년에는 사칭기법 외에도 인터넷익스플로러(IE) 제로데이 취약점 등을 이용한 악성파일 유포 기법 또한 빈번히 발생했으므로, ‘2011학년도 수학능력평가’라는 사회적 이슈를 통한 관련 사이트 등의 변조 및 악성파일 유포 시도가 이뤄질 수 있으니, 수험생뿐만 아니라 일반PC사용자들도 주의를 기울여야 할 것입니다.


◆ 크리스마스

악성 파일 제작`유포자들은 올해도 어김없이 악성파일을 담은 선물세트를 배달할 준비를 하고 있을지도 모릅니다.

PC사용자들은 수신처가 불분명한 메일이나 각종 광고성의 크리스마스 이메일 등을 확인할 때 첨부 파일의 실행 및 다운로드에 대한 각별한 주의가 필요하겠습니다.


◆ 새해인사 연하장도 ‘조심조심’

연말연시에는 많은 연하장을 주고 받습니다. 지인들부터 기업, 단체, 회원가입한 사이트 등 너무나 많죠.

이러한 유명 단체나 지인으로 위장한 이메일이 발송될 경우 일반 사용자들은 별다른 의심없이 메일을 열어보거나 첨부파일을 다운로드해 실행할 수 있습니다.

연말연시를 악용한 악성파일 유포가 이뤄질 수 있음을 사용자 스스로 인지하고, 신뢰할 수 없는 내용에 현혹되지 않도록 각별한 주의를 기울여야 합니다.

잉카인터넷 NSC 대응팀에서 제시하는 ‘사회공학기법의 악성파일에 대응하는 우리의 자세’입니다.


[사회공학기법의 악성파일에 대응하는 우리의 자세]

1. 출처가 불분명하거나 알 수 없는 메일은 열어보지 않는다.

2. 첨부 파일에 대한 다운로드 및 실행은 최대한 신중하게 한다.

3. 운영체제(OS)에 대한 취약점을 보완하기 위해 정기적으로 보안패치를 업데이트 한다.

4. 사용중인 백신은 항상 최신엔진 및 패턴버전으로 유지한다.


2010/11/17 08:30 2010/11/17 08:30
전력, 반도체, 철강 등 전세계 주요 산업시설에서 사용하는 산업자동화제어시스템을 공격해 피해를 입힌 첫 악성코드로 이름을 떨친 ‘스턱스넷’에 보안전문가들과 기업 보안담당자들이 여전히 많은 관심을 갖고 계실텐데요.

지난달 시만텍이 발표한 ‘스턱스넷’ 악성코드 분석 보고서 내용을 소개해 보려고 합니다. 본사에서 발표한 이번 기술백서 형식의 보고서는 영문인데다 방대한 내용이 담겨 살펴보기에 쉽지는 않았을 것 같습니다.

이 한글 요약본은 시만텍코리아가 제공했습니다. (영문 보고서 전문을 보시고자 하는 분을 위해 파일도 첨부합니다.)



시만텍 스턱스넷 보고서


시만텍이 발표한 스턱스넷 보고서는 수많은 시만텍 보안 대응팀 구성원들이 지난 3개월간 흘린 땀의 결과물로, 현재 대부분의 분석작업이 완료된 상태다. 하지만, 스턱스넷은 상당히 방대하고 복잡한 보안 위협인 만큼 보고서 발표 이후에도 지속적인 업데이트가 필요하다는 점을 밝혀둔다.

최근 언론에 자주 오르내리는 스턱스넷(W32.Stuxnet)은 지금까지 시만텍이 분석한 가장 복잡한 보안 위협에 속한다. 이 보고서에서는 스턱스넷과 스턱스넷의 다양한 컴포넌트를 비롯해 스턱스넷의 최종 공격목표인 산업용제어시스템의 프로그램 재설계에 초점을 맞춰 상세히 분석했다.

우선 스턱스넷은 다양한 컴포넌트와 함수를 포함하고 있는 방대하고 복잡한 악성코드의 일종이다. 시만텍은 보안블로그(http://www.symantec.com/connect/ko/symantec-blogs/sr)를 통해 스턱스넷 일부 컴포넌트에 대해 이미 설명한 적이 있지만 이 보고서에서는 스턱스넷 보안 위협에 대해 훨씬 포괄적이고 자세한 정보를 다루었다.


스턱스넷 구조와 공격방법

스턱스넷 구조는 다양한 익스포트(Export)와 리소스(Resource)를 갖고 있는 대형 dll 파일로 구성되어 있으며, 이밖에 두 개의 암호화된 설정 블록을 포함하고 있다.

스턱스넷의 드롭퍼(dropper) 컴포넌트는 모든 구성요소를 포함한 랩퍼(wrapper) 프로그램으로 ‘스터브(stub)’라는 섹션 내부에 저장되어 있다. 이 스터브 섹션은 스턱스넷 실행에 중요한 역할을 담당한다. 스턱스넷이 실행될 때 드롭퍼가 스터브 섹션에서 dll 파일을 추출해 마치 모듈처럼 dll 파일을 메모리에 매핑시키고, 익스포트를 호출한다.

스터브 섹션을 가리키는 포인터가 매개변수로 호출 익스포트에 전달되면 이후 익스포트는 매개변수로 전달된 스터브 섹션에서 dll 파일을 추출해 메모리와 매핑시키고 매핑된 dll 파일 안에 있는 또다른 익스포트를 호출한다. 이후 원래 스터브 섹션을 가리켰던 포인터가 다시 매개변수로 전달되며, 이러한 과정은 스턱스넷이 실행되는 내내 지속적으로 발생한다. 따라서 원래의 스터브 섹션은 매개변수 형태로 여러 프로세스와 함수에 전달된다. 이런 방식에 의해 스턱스넷의 각 계층은 항상 메인 dll 파일과 설정 블록에 접근하게 된다.

알려진 대로 스턱스넷의 주요 공격목표는 송유관과 발전소 등에서 사용하고 있는 산업용제어시스템이나 이와 유사한 시스템이다. 스턱스넷의 최종 목표는 PLC(Programmable Logic Controller)를 공격자의 의도대로 작동시키고 PLC 운영자가 이러한 변경사항을 알지 못하도록 PLC 코드를 수정, 산업용제어시스템의 프로그램을 재설계하는데 있다.

스턱스넷 개발자는 이같은 목표를 달성하기 위해 매우 다양한 컴포넌트를 취합, 성공 가능성을 높인다. 여기에는 제로데이 취약점, 최초의 PLC 루트킷인 윈도우 루트킷, 안티바이러스 탐지 회피기술, 복잡한 프로세스 인젝션 및 후킹 코드, 네트워크 감염 루틴, P2P 업데이트, 명령제어(Command and Control) 인터페이스 등이 포함되어 있다.

스턱스넷의 주요 특징


이란 사례에서 보듯이 스턱스넷은 송유관, 발전소 등 특정 산업용제어시스템을 공격 목표로 삼는다. 스턱스넷의 궁극적인 목표는 PLC 프로그램을 변경함으로써 공격자의 의도대로 오작동을 유도해 시설을 파괴 또는 마비시키는데 있다.

스턱스넷은 지난 7월 발견되었지만 적어도 1년 전부터 존재해 왔다는 사실이 확인되었고, 그 이전부터 활동했을 가능성도 제기되고 있다. 현재까지 대부분의 스턱스넷 감염사례는 이란에서 발견되었다. 스턱스넷은 다음과 같은 다양한 특징을 갖고 있다.

USB와 같은 이동식 저장매체의 자동실행 취약점을 이용한 자기복제. 마이크로소프트 윈도우 바로가기 ‘LNK/PIF’ 파일 자동 파일 실행 취약점(BID 41732)

윈도우 프린트 스풀러(Windows Print Spooler) 취약점을 이용해 LAN을 통한 전파. 마이크로소프트 윈도우 스풀러 서비스 원격 코드 실행 취약점 (BID 43073).

마이크로소프트 윈도우 서버 서비스 RPC 처리 원격 코드 실행 취약점(BID 31874)을 이용해 SMB를 통한 전파

네트워크 공유를 통해 원격 컴퓨터상에서 자가복제 및 실행

WinCC 데이터베이스 서버가 실행중인 원격 컴퓨터상에서 자가복제 및 실행

스텝 7(Step 7) 프로젝트가 로딩될 때 자동 실행되는 방식으로 스텝 7 프로젝트에 자가복제

LAN 상에서 P2P 방식으로 스스로 업데이트

총 4개의 마이크로소프트 취약점 이용. 2개는 자가복제를 위해 위에 언급한 취약점 이용, 나머지 2개는 아직 공개되지 않은 권한 상승 취약점을 이용

해커가 업데이트된 버전 등 코드를 다운로드하고 실행할 수 있도록 C&C 서버에 접속

바이너리가 숨겨진 윈도우 루트킷 포함

안티바이러스 등의 보안제품 회피 시도

특정 산업용제어시스템에 침투, 지멘스 PLC의 코드를 변경해 시스템 파괴 가능성

PLC에 변조된 코드(기본적으로, PLC 루트킷)를 숨김


스턱스넷 공격 시나리오


산업용제어시스템(ICS)은 PLC 코드처럼 특수 어셈블리에 의해 실행된다. PLC는 주로 인터넷이나 심지어 네트워크에 접속되지 않은 윈도우 컴퓨터상에서 프로그래밍되며, ICS 역시 인터넷에 접속되어 있을 가능성이 낮다. 이 같은 점을 고려해 스턱스넷의 기술적 특징을 기반으로 추측 가능한 예상 공격 시나리오는 다음과 같다.

우선, 각 PLC마다 고유한 방식으로 환경 설정이 되어 있기 때문에 공격자는 먼저 ICS의 구조를 파악하기 위해 정찰 업무를 수행해야 한다. ICS 설계 문서는 내부직원이 몰래 빼내거나 심지어 스턱스넷 초기 버전 또는 다른 악성 바이너리를 통해 입수할 수 있다. 일단 설계 문서와 ICS 컴퓨팅 환경에 대한 정보를 확보하면 스턱스넷 최신 버전 개발에 착수한다. 스턱스넷의 각 기능들은 저마다 실행 이유가 있으며, ICS 파괴라는 최종 목표를 위해 움직인다.

다음으로 공격자는 실행코드를 테스트하기 위해 PLC, 모듈, 주변기기 등 필수 ICS 하드웨어를 포함해 실제 표적 ICS와 동일한 환경을 구축해야 한다. 준비에서 테스트까지 전 과정에 대략 6개월의 시간이 소요되며, 품질보증, 관리 등 수많은 다른 지원인력은 차치하고 5~10명의 핵심 개발자들이 투입된다.

또한 악성 바이너리 파일에는 의심을 피하기 위해 디지털 부호로 변환시켜주는 드라이버 파일이 포함되어 있다. 이를 위해 공격자는 두 개의 디지털 인증서를 탈취한다. 양자는 물리적으로 가까운 거리에 위치해 있어야 하며, 디지털 서명을 빼내기 위해 건물 내부로 직접 침투할 수 있다.

스턱스넷은 목표물을 감염시키기 위해 목표 환경으로 직접 침투해야 한다. 이를 위해 기꺼이 협력하거나 아예 범죄 사실을 모르는 제3의 대상을 이용할 수 있다. 목표 시설에 접근 권한이 있는 협력사나 내부 직원 등이 그 대상이다. 1차 감염은 USB와 같은 이동식 드라이브를 통해 이루어진다. .

일단 스턱스넷이 목표 시스템 환경 내의 컴퓨터 한 대를 감염시키면 일반 윈도우 컴퓨터이지만 PLC 프로그래밍에 사용되는 ‘필드 PG(Field PG)’를 찾아 확산되기 시작한다. 대다수의 필드 PG는 네트워크에 연결되어 있지 않기 때문에 스턱스넷은 먼저 2년 전에 등장한 제로데이 취약점을 통해 LAN 상의 컴퓨터로 스텝 7 프로젝트를 감염시키고 이동식 드라이브를 통해 감염을 시도한다.

공격자는 C&C 서버로 스턱스넷을 제어할 수 있지만 앞에서 언급했듯이 표적 컴퓨터는 외부 인터넷에 접속되어 있을 가능성이 낮다. 따라서 시스템 파괴를 위한 모든 기능은 스턱스텟 실행파일에 직접 내장된다. 이 실행파일 업데이트는 스턱스넷에 의해 P2P 방식으로 전파된다.

마침내 스턱스넷이 스텝 7이 실행 중인 적합한 컴퓨터를 발견하면 PLC 코드를 변경함으로써 PLC 시스템을 파괴한다. 스턱스넷 개발에는 대규모 자원이 투입되었기 때문에 공격 목표는 주로 중요도가 높은 핵심 기간 시설들이다. 스턱스넷에 감염된 기업들은 문제를 해결하기 위해 PLC 코드를 조사하지만 스턱스넷이 코드 변경사항을 숨기기 때문에 특이사항을 발견하기는 어렵다.

원하는 필드 PG를 찾기 위해 자가복제 방식이 필요할 수 있지만 공격자는 목표 기업 외부의 컴퓨터까지 감염시킴으로써 부수적인 피해를 입힌다. 또한 공격사실이 발견될 때면 이미 초기 공격이 완료되었을 가능성이 높다.


스턱스넷 보안 위협 개요


날짜

주요 사건

2008-11-20

LNK 취약점을 이용한 Trojan.Zlob 변종 발견. 후에 스턱스넷으로 확인됨.

2009-04

하킨나인(Hakin9) 보안 전문 잡지가 프린터 스프롤러 서비스의 원격 코드 실행 취약점에 관해 자세히 소개함. 이 취약점은 후에 MS10-061로 확인됨.

2009-06

스턱스넷 초기 샘플 발견. MS10-046 이용하지 않음. 서명된 드라이버 파일 없음

2010-01-25

리얼텍 세미컨덕터 회사 소유의 유효 인증서로 서명된 스턱스넷 드라이버 발견

2010-03

MS10-046을 이용한 첫 번째 스턱스넷 변종 발견

2010-06-17

바이러스블로카다(Virusblokada) 보안업체, W32.스턱스넷 발표(RootkitTmphider라 명명), 바로가기/.Ink 파일 처리 취약점(후에 MS10-046로 확인)을 이용해 확산되었다고 밝힘.

2010-07-13

시만텍, W32.Temphid를 탐지 목록에 추가(전에는 트로이 목마로 탐지)

2010-07-16

마이크로소프트, 바로가기/.Ink 파일 처리 취약점을 포함한 ‘윈도우 쉘 취약점의 원격 코드 실행 가능성’에 대한 보안 공지 발표.

베리사인, 리얼텍 세미컨덕터에 대한 인증서 폐지

2010-07-17

이셋(Eset), 제이마이크론 테크놀러지사의 인증서로 서명된 새로운 스턱스넷 드라이버 발견

2010-07-19

지멘스, 자사 WinCC SCADA 시스템의 악성코드 감염 보고서를 조사 중이라고 밝힘.

시만텍, 탐지 웜의 이름을 W32.Stuxnet로 변경.

2010-07-20

시만텍, 스턱스넷 C&C 트래픽 감시

2010-07-22

베리사인, 제이마이크론 테크놀러지사의 인증서 폐지.

2010-08-02

마이크로소프트, 윈도우 쉘 바로가기 취약점에 관한 MS10-046 패치 발표

2010-08-06

시만텍, 스턱스넷의 PLC 침투 및 코드 주입방식과 ICS에 미친 영향에 대해 발표.

2010-09-14

마이크로소프트, 8월 시만텍이 확인한 프린터 스풀러 취약점에 관한 MS10-061 패치 발표.

마이크로소프트, 8월 시만텍이 확인한 두 개의 권한 상승 취약점 발표.

2010-09-30

시만텍, 바이러스 게시판에 스턱스넷 포괄 분석 자료 게시


스텍스넷 감염 현황

시만텍은 2010년 7월 20일 스턱스넷 C&C 서버의 트래픽을 모니터링하는 시스템을 마련해 감염률과 감염된 컴퓨터의 위치를 파악했다. 시만텍의 시스템은 스턱스넷 C&C 서버와 연결이 가능한 컴퓨터에서 전송되는 C&C 트래픽만을 파악했으며, C&C서버로 전송되는 트래픽 가운데 만약 지멘스 SIMATIC 스텝 7 산업 제어 소프트웨어를 구동하는 경우, C&C 서버로 다시 전송되는 데이터는 암호화되어 전송되며, 내부 및 외부 IP 주소, 컴퓨터 이름, OS버전, 지멘스 스텝 7 설치 정보 등을 포함하고 있다.

2010년 9월 29일 기준으로 약 10만대의 감염호스트가 파악되었다. 1번 그래프는 국가별로 감염된 호스트의 숫자를 보여주고 있으며, 이란에서 가장 많은 감염 숫자가 발견되었다.

 

사용자 삽입 이미지

2번 그래프는 WAN IP 주소를 기준으로 국가별로 감염된 기관의 숫자를 보여주고 있다.

사용자 삽입 이미지

시만텍은 155개국, 4만대 이상의 외부 IP 주소를 모니터링했다. 3번 그래프는 국가별로 감염된 호스트의 비중을 보여주고 있으며, 감염된 호스트 가운데 약 60%(정확히는 58.31%)가 이란에 위치한 것으로 파악되었다.


사용자 삽입 이미지

스턱스넷은 지멘스 STEP 7 소프트웨어가 설치된 호스트를 파악하는 것이 목표다. 4번 그래프는 감염된 호스트 가운데 지멘스 소프트웨어가 설치된 감염된 호스트의 국가별 비중을 보여주고 있다.

사용자 삽입 이미지

5번 그래프에서 일자별로 새롭게 스턱스넷에 감염된 IP 주소 숫자를 살펴보면 8월 22일 이란은 더 이상 새로운 감염사례를 보고하지 않았다. 이는 감염 사례가 줄어들었기 때문이 아니라, 이란이 외부로 나가는 C&C 서버 연결을 차단했기 때문으로 분석된다.

사용자 삽입 이미지

이란에 감염사례가 집중된 것은 이란이 최초 감염 목표였고, 그래서 초기에 감염사례가 시작되었기 때문으로 분석된다. 스턱스넷은 표적공격이지만 다양한 확산 기술을 사용하고 있기 때문에 초기 목표물 이외의 대상으로 확대되고 있다. 이런 추가적인 감염사례로 인해 부수적인 피해를 야기하고 있으며, 이는 스턱스넷이 사용하고 있는 초기의 다양한 확산 경로로 인한 의도하지 않은 부작용이라고 할 수 있다. 감염률은 사용자들이 취약점에 대한 패치를 하면서 감소할 것으로 예상되지만 이런 종류의 웜의 특성상 안전하지 않은, 패치가 안된 컴퓨터들을 통해 지속적으로 확산될 것으로 예상된다.


맺으며

스턱스넷은 악성코드의 역사상 여러가지 새로운 기록을 세우고 있다. 최초로 한번에 4개의 제로데이 취약점을 이용했으며, 2개의 디지털 인증서를 공격하고, 산업 제어 시스템에 악성코드를 심었다. 특히, 스턱스넷은 중요한 기반시설 인프라에 직접적으로 사이버 공격을 감행하는 것이 가능하다는 것을 보여주는 사례라는 점에서 시사하는 바가 크다.

스턱스넷 사례에서 보듯이 갈수록 고도화·정교화·표적화되고 있는 최신 사이버 공격에 대비해 시만텍은 기업들에게 다음과 같은 실천방안을 권고하고 있다.

1. IT 정책의 수립: 기업은 위협에 대한 우선순위를 정하고, 기업 내 모든 위치에서 적용 가능한 정책을 정의하고, 자동화 등의 기능을 이용해 보안 정책을 집행해야 한다.

2. 정보 중심의 보호: 정보 중심의 접근을 통해 적극적으로 정보를 보호해야 한다. 기업 내 가장 중요하고 민감한 정보가 어디에 있는 지를 파악해 적절한 보호를 강구해야 한다.

3. 신원 관리: 누가 민감한 정보에 접근하는 지 파악하고 관리해야 한다. 직원, 파트너, 고객 등 세가지 그룹이 기업의 시스템에 접근할 수 있기 때문에 신원 인증 관리가 중요하다. 디바이스, 시스템 혹은 애플리케이션의 사용자를 인증함으로써 자산을 보호할 수 있다.

4. 시스템 관리: 시스템 자체의 관리도 중요하다. 최신 보안 패치를 배포하고, 자동화를 통해 효율성을 제고하고, 시스템 상태의 감시 및 보고 등의 활동을 통해 시스템을 관리해야 한다.

5. 인프라 보호: 개별 포인트의 보안에서 나아가 인프라 전체의 보호를 강구해야 한다. 중요한 내부 서버를 보호하고 데이터의 백업 및 복구 역량을 우선적으로 확보해야 한다. 또, 위협에 신속히 대응하기 위해 인프라 운영에 대한 가시성을 높이고 보안 인텔리전스를 갖춰야 한다.

6. 24x7 중단없는 가용성 확보: 안전한 보호와 더불어 보안 운영으로 인해 시스템 가용성에 영향을 받지 않도록 가용성을 확보하는 것 또한 중요하다.

7. 정보 관리 전략 수립: 정보 유지 계획과 정책을 포함한 정보 관리 전략을 수립해야 한다. 데이터의 수명주기를 고려해, 백업, 아카이빙, 삭제 등의 작업을 통해 총체적인 정보 관리를 구현해야 한다.


이와 함께 시만텍은 주요 기간 인프라 보호를 위해 각국 정부에 다음과 같은 실천방안을 권고하고 있다.


1. 정부 차원에서 적절한 리소스를 투입해 핵심 기간 인프라 보호 프로그램을 수립, 운영해야 한다.

2. 산업계, 민간 기업들과 적극적인 협력을 통해 핵심 기간 인프라 보호와 관련된 정보를 공유하고, 인식을 제고해야 한다

3. 사이버 공격에 대비하기 위해 보안만으로는 불충분하다. 핵심 기간 인프라 공급업체와 일반 기업들이 정보의 저장, 백업 등이 이뤄지고 있는지, 계정 및 접근 관리 프로세스가 제대로 실행되고 있는지 확인해야 한다.


2010/11/05 11:17 2010/11/05 11:17
사용자 삽입 이미지
마이크로소프트(MS)의 차세대 모바일 플랫폼인 ‘윈도폰7’ 출시시기가 점점 다가오면서 국내 사용자들의 관심이 커지고 있습니다.


MS는 최근 윈도폰7 RTM을 휴대폰 제조사들에게 배포했고, 엊그제는 이를 기념해 야심찬(?) ‘아이폰·블랙베리 장례식’ 퍼포먼스를 거행하기도 했다는데요.


윈도폰7은 디자인과 사용자환경(UI), 호환성, 성능면에서 윈도모바일과는 전혀 다르게, 획기적으로 설계돼 있다고 알려져 있습니다. 더불어 보안측면, 적어도 스마트폰 악성·유해 애플리케이션 방지를 위한 대책도 크게 강화돼 있다고 평가할 수 있습니다.


기존 윈도 모바일의 개방성은 버리고 애플의 아이폰과 같은 폐쇄적인 정책을 따라갔기 때문입니다.


MS는 그간 PC의 ‘윈도’ 운영체제(OS)를 대상으로 엄청난 공격에 시달려왔죠. 그래서 보안이 강화된 OS를 만들고자 오랫동안 아주 많은 공을 들였습니다. 스마트폰 플랫폼의 보안위협도 예외는 아닐 것입니다.


악성·유해 앱 대책 강화... 윈도폰 마켓플레이스, 애플 폐쇄정책 따라가는 MS


MS는 연초 윈도폰7을 처음 공개하면서, 차세대 모바일 플랫폼인 윈도폰7부터는 자사 앱스토어인 윈도폰 마켓플레이스를 통해서만 애플리케이션(앱)을 설치할 수 있도록 정책을 가져가겠다고 발표했습니다.


보안을 위해 윈도폰 마켓플레이스에서 제공될 스마트폰 앱에는 ‘디지털서명’ 기술도 기본 적용할 예정이랍니다.


앞으로 윈도폰 마켓플레이스는 검증된 인증서를 사용해 프로그램 개발·게시자를 확인, 보증할 수 있는 디지털서명이 적용된 앱만 제공하게 됩니다. 디지털서명이 없는 앱은 사용자가 구매하거나 내려받을 수 없습니다. 아마도 마켓플레이스에 등록이 안되겠지요.


당연히 설치한 앱의 업데이트도 마켓플레이스를 통해서만 할 수 있습니다.


디지털서명은 기존 PC OS에서 이미 제공하는 MS의 기술입니다. 디지털서명이 안된 파일을 사용자들이 내려 받고자 할 경우 ‘보안경고’를 띄워주기도 합니다.


아래는 MS 윈도 사이트(http://windows.microsoft.com/ko-KR/windows/home)에서 검색해본 디지털서명의 정의입니다.


디지털 서명이란?

이 도움말 항목에 정보는 Windows Internet Explorer 7 및 Windows Internet Explorer 8에 적용됩니다.
디지털 서명은 파일에 추가될 수 있는 전자 보안 표시입니다. 디지털 서명으로 파일의 게시자와 디지털 서명을 한 후 변경된 파일을 확인할 수 있습니다.
파일에 유효한 디지털 서명이 없으면 파일이 올바른 출처에서 제공된 것인지 또는 게시된 후 바이러스 등으로 인해 변경되지 않았는지를 확인할 방법이 없습니다. 파일을 만든 사람과 파일의 내용이 열어도 안전한 내용인지 확실하지 않으면 파일을 열지 않는 것이 더 안전합니다.
디지털 서명이 유효하더라도 파일 내용이 위험할 수 있습니다. 게시자의 ID와 어디에서 파일을 다운로드하는지를 기반으로 파일 내용에 대한 신뢰 여부를 결정하십시오.


블랙베리를 제공하는 림(RIM, 리서치인모션)과 구글도 안드로이드 보안을 위해 모든 앱에 이같은 디지털서명을 적용토록 하고 있습니다.


물론 안드로이드는 자체서명된(Self-Signed) 인증서를 허용하고 있어, 악성 앱을 유포하는데 악용될 수 있는 허점을 지적받고 있지만요.


위의 MS 설명에도 밝히고 있지만 디지털서명이 돼 있다고 해서 해당 프로그램이 모두 악의적인 행위를 하지 않을 것이라고는 볼 수 없습니다. 이미 PC환경에서는 실제 디지털서명을 악용한 악성코드도 나와 있고요. 


그래서 MS는 디지털서명뿐만 아니라 윈도폰 마켓플레이스에 등록되는 앱을 일정기준에 따라 사전 심사/검증절차를 거친다는 방침입니다.


폐쇄성을 기반으로 한 윈도마켓플레이스 정책으로 악성프로그램, 또는 유해프로그램 대책을 강화하고자 하는 MS의 방침이 뚜렷하게 드러납니다.


따라서 기존 윈도모바일 6.x버전을 지원하는 앱을 윈도폰7 사용자에게 제공하기 위해서는 별도로 윈도마켓플레이스 등록절차를 거쳐야 합니다.


윈도폰7의 멀티태스킹도 제한됩니다. 보안때문이라기 보다는 기존에 윈도 모바일이 느리다는 한계를 극복하기 위해 채택한 것 같은데요. 결과적으로 백그라운드에서 동작할 수 있는 악성코드 실행을 봉쇄하는데 큰 효과를 볼 수 있을 것으로 보입니다.


윈도폰7에서 제공될 멀티테스킹은 음악을 들으면서 인터넷익스플로러를 통해 검색을 하거나 문자메시지를 보내는 일을 동시에 할 수 있는 정도라고 합니다. 


IPSec VPN 기능 없애고 문서RM도 지원 안할 듯…기업 모바일오피스 보안 기능 모두 제외


그런데 RTM 버전 완료로 조금씩 공개되고 있는 윈도폰7에서 독특한 점을 발견했습니다.


MS에 따르면, 윈도폰7 RTM 버전에서는 오피스 문서에 적용되던 윈도 권한관리서비스(Rights Management Services)를 제공하지 않고, 윈도모바일 6.5에서 지원했던 IPSec VPN(가상사설망) 기능도 없습니다. 


윈도 RMS는 국내에서 많이 사용하는 기업용 DRM(디지털저작권관리), 즉 문서보안 기술입니다.


기밀문서가 외부로 유출되지 않도록 하기 위해 권한이 없는 사람이 전자문서를 무단으로 열람하거나 변경, 사용하지 않도록 보호하기 위한 기술이지요.


IPSec VPN은 암호화된 터널을 통해 정보를 전송할 수 있는 기술로, 스마트폰에서 기업 내부 업무시스템에 접속해 사용하는 환경에서는 기본적으로 필요한 보안기술로 지목되고 있습니다.


IPSec VPN 관련기능은 ‘다이렉트액세스’라는 이름으로 윈도7 개인용 일부버전(윈도7 얼티미트)에서도 무료로 기본 제공되는 것으로 알고 있습니다. 


윈도폰7에서 이들 기능이 제외돼 있다는 점은 MS가 윈도폰7이 개인용 시장에만 너무 집중하고 있는 것이 아닌가 하는 생각을 품게 됩니다. 


현재 국내에서는 스마트폰을 이용해 모바일 오피스, 모바일 워크플레이스 구축 움직임이 활발히 이뤄지고 있는데요.


윈도폰7을 갖고 기업 시장에 활발히 공급하고자 전략을 세우고 있는 통신사들의 전략은 어찌될지 모르겠습니다.


그동안 모바일 오피스 구축에서 가장 많이 이용됐던 윈도 모바일 플랫폼 차세대 버전이 늦게 나오면서 기업에는 적합지 않게 나올 경우? 과연 성공할 수 있을지 모르겠습니다.

한국MS 관계자는 이에 대해 “현재 윈도폰7 RTM 버전에서 두 기능이 제외돼 있다”고 인정하면서도, “정확한 것은 정식버전이 나와 봐야 안다”고 말했습니다.


정확한 것은 (국내는 아니지만) 일반에 정식으로 공개되는 오는 10월 알게 되겠지요.

이제 본격 승부수를 던지는 MS... 앞으로 스마트폰(OS) 시장의 최종 승자는 누가될 지 너무 궁금합니다. 


2010/09/13 14:36 2010/09/13 14:36

보안업체에서 발표한 악성코드 동향 분석자료를 보면, 몇 년 전부터 ‘지능화, 고도화’라는 표현이 계속해서 등장하고 있습니다.

사용자가 인지하지 못하도록 속이기 위해, 보안 제품에 걸리지 않도록 하기 위해 이같은 악성코드 제작 기술의 지능화, 고도화는 당연한 이야기로 받아들여 왔습니다.

이같은 지능화, 고도화된 악성코드 제작 및 유포, 감염 기법은 어디까지 발전할까요?

지난 1일 안철수연구소가 기자들을 초청해 ‘2010년 상반기 보안 위협 동향’을 총정리하는 시간을 가졌습니다. 지난해 7.7 DDoS(분산서비스거부) 공격이 발생한 지 1주년을 앞두고 있는 시점이어서 기자들의 관심은 DDoS에 많이 쏠렸지만, 이 자리에서 사용자PC를 감염시키기 위한 악성 기술이 ‘정말 눈 깜짝할 사이에 정말 고도로 발전하고 있구나.’ 새삼 느낄 수 있었습니다.

악성코드는 모든 사이버공격의 기본이 됩니다. PC나 서버 안에 저장돼 있는 개인정보 등 중요정보를 유출할 수도 있고, 시스템을 손상시킬 수도 있습니다. 스팸 공격이나 DDoS 공격도 유발할 수 있습니다.

그래서 공격자들은 웹사이트나 웹페이지에서, 스팸메일, USB를 통해 사용자PC를 몰래 감염시키기 위해 엄청난 노력을 기울입니다.

사용자가 인지하지 못하게 하기 위해서 악성코드 제작자 등 공격자들은 ‘사회공학기법’을 사용합니다. 안철수연구소는 “사회공학기법은 이제 모든 보안위협의 기본이 됐다.”고 선언하며 상반기 7대 보안이슈 중에서 첫 손에 꼽았습니다.

얼마 전 악성코드를 유포하기 위해 비씨카드 이용대금 명세서로 위장했던 악성 이메일도 수신인 이름만 표시돼 있지 않던 것을 빼면 진짜 이용대금 명세서 이메일과 똑같았습니다. 사전에 이러한 정보를 알고 있지 못했거나 아주 세심한 주의를 기울여 보지 않으면 판별이 누구나 어려웠을 것입니다.

사용자 삽입 이미지

지능적인 수법을 이용하는 대표사례가 바로 가짜백신입니다. 이대로 가다간 조만간 진짜 백신 개발업체(보안업체)가 공급하는 제품의 수준을 따라잡겠다는 생각이 들 정도로 놀랍습니다.

그 첫 번째는 ‘가짜백신의 세계화(?)’입니다. 최근의 가짜백신은 다국어 버전으로 개발되고 있답니다.

안철수연구소에 따르면, 영어, 러시아어, 중국어, 일본어, 한국어 버전까지 개발된 가짜백신이 있답니다.
사용자 삽입 이미지

시중 공급되는 국내 백신제품 중에서 5가지 언어를 완벽하게 제공하는 제품이 몇 개나 될까요?

이같은 가짜백신은 사용자 PC의 언어 환경에 맞게 설치된다고 합니다. 윈도OS 한글버전이 내 PC에 깔렸다면 가짜백신도 한국어 버전이 깔리게 되는 겁니다.

안철수연구소 시큐리티대응센터(ASEC) 전성학 실장은 “하나의 소프트웨어를 여러 언어와 환경에 맞게 통합적으로 개발하는 것이 쉽지 않은데, 가짜백신이 다국어 버전을 지원하고 있다”며, “예전에는 가짜백신 프로그램이 영어로 돼 있으면 악성으로 의심할 수 있었지만 한국어로 돼 있어 사용자는 의심없이 설치할 수 있다”고 설명했습니다.

한 해외 보안전문가가 한 말이 생각이 납니다. (누군지 기억은 안나는군요.) “한국은 최고의 암호기술을 갖고 있어 다른 나라보다 보안위협에 상대적으로 영향을 덜 받을 수 있다. 최고의 암호기술은 바로 한글”이라고. 이 강력한 한글 암호화 기법이 이제 유명 공격자들 사이에서 통하지 않을 만큼 알려져 있나보군요.

두 번째는 가짜백신의 검색엔진 최적화 기법 악용입니다. 가짜백신은 최근 포털 검색 상위에 노출할 수 있도록 인기검색어를 악용하는 ‘블랙햇 SEO(Serch Engine Opimization, 검색엔진 최적화)’ 기법을 이용하고 있답니다.

특정 단어를 검색하면 가짜백신을 설치하는 웹페이지를 상위권에 노출되도록 하기 때문에, 잘 모르는 사용자는 신뢰할 수 있는 포털사이트 검색페이지에서 맨 위에 올라와 있는 백신을 의심없이 클릭할 수 있습니다. 백신인 줄 알고 스스로 악성프로그램을 선택해 설치하게 되는 것입니다.
사용자 삽입 이미지

이 블랙햇 SEO 기법은 악성코드 유포를 노리고 유명 연예인 등의 웹사이트로 가장해 알리는 수법으로 악용되기도 합니다. 마이클잭슨, 김연아 동영상 가장 웹사이트가 알려진 사례였습니다.

트위터, 페이스북과 같은 SNS(소셜네트워크서비스)도 지능적으로 악성코드를 유포하려는 대중적인 통로로 본격 이용되기 시작했습니다.


특히 트위터같은 경우, 글쓰기가 140자로 제한돼 있다는 점을 악용합니다. 간략한 머리글로 호기심을 유발한 후 악의적인 단축 URL을 클릭하도록 하는 방법이죠.

예를 들어 내가 팔로우를 한 사람이 “이것 좀 봐. 대박 ㅋㅋ http://~~~” 이런 식으로 글을 남길 경우, 누구나 링크돼 있는 주소를 클릭할 것입니다. 일단 내가 아는 사람이 남기는 글이라 의심할 여지가 없을 것입니다.
사용자 삽입 이미지

더욱 문제는 단축 URL을 사용하기 때문에 이 주소의 신뢰성을 판단하기 어렵다는 겁니다. 어떤 웹사이트로 연결되는지 알기 힘듭니다.

이미 지난 2~3월에 트위터에서 단축 URL을 이용해 악성코드를 유포하거나 피싱 웹사이트로 유도하는 사례도 발견됐다고 합니다.

제게 이런 일이 닥쳐도 피하기가 힘들 것 같습니다.

안철수연구소는 위험 웹사이트 차단 서비스인 ‘사이트가드’ 기반기술로 이같은 단축 URL의 신뢰성을 검증하는 방법을 연구하고 있답니다. 하반기에는 사업화가 가능할 것이라고 하는데요, 얼른 나왔으면 하네요.

가짜백신이나 피싱 사이트, SNS 악용한 신종 피싱 및 위협은 지난 상반기 두드러졌습니다. 앞으로 악성기법이 계속해서 더 지능적이고 고도화되겠지요.

어렵고 귀찮은 점도 있으나, 이러한 악의적인 기법은 PC와 인터넷을 사용하는 분들도 어느정도 상식적으로 알고 있어야 할 것으로 생각됩니다.

DDoS 공격은 사이버범죄자들이 보안에 취약한 PC를 대거 악성코드에 감염시켜 가해자로 만들었습니다. 앞으로 내 PC를 누군가가 공격에 악용할 지, 내 정보를 갖고 나가 어떤 범죄에 이용할 지 아무도 모릅니다.

*** 이 포스팅에 담긴 그림은 모두 안철수연구소가 제공한 자료라는 점을 밝힙니다.
 

2010/07/05 15:05 2010/07/05 15:05

지난 22일 NSHC가 하우리와 공동으로 개발한 아이폰 전용백신 ‘바이로봇 산네’ 출시가 발표된 직후, 인터넷상에서 논란이 뜨겁게 벌어졌습니다. 

이 백신 제품을 진짜 ‘아이폰 백신’이라고 할 수 있냐 하는 의견에서부터 아이폰의 특성상 악성코드가 발생할 위험이 거의 없는데 백신이 과연 필요한가 등이 주된 논쟁거리로 떠올랐습니다.

상당수의 아이폰 사용자들과 네티즌들은 아이폰 백신이란 개념도, 그 존재도 불가능하다는 의견을 피력했습니다. 현실적으로 아이폰 악성코드가 존재하지 않고, 앱스토어에 악성코드가 등록돼 제공되지 않는 한 ‘아이폰 백신’ 자체가 무의미하다는 이유에서입니다.

그 이유로 앞서 NSHC가 이 백신의 ‘세계 최초’ 출시를 알리며 “앱스토어 등록 절차를 밟고 있다”고 했던 홍보 행위나 기자와 언론이 이 보도자료를 기사로 쓰고 보도하는 것 자체가 ‘무지의 소치’라는 비판을 받았습니다. (고백하자면, 저도 그 기사를 쓴 기자 중 한사람입니다.)

이번 논란과 혼란이 촉발된 가장 중요한 사실은 이 업체가 개발한 백신의 애플 ‘앱스토어’ 등록이 좌절된 데 있다고 봅니다. 너무 단순화하는 것인지는 모르지만 ‘가장 먼저’라는 점을 부각하려다가 오히려 그로 인해 뭇매를 맞게 됐습니다.

이 업체가 개발한 제품이 애플로부터 앱스토어 등록 승인이 거부된 것이 알려진 뒤로, 보안업계와 금융권 등에서 혼란이 계속 커지고 있는 것 같습니다.

아이폰 뱅킹 서비스가 제공되고 있고, 이로 인해 금융감독원이 바이러스 예방 조치 등을 담은 스마트폰 전자금융서비스 안전대책을 내놓았기 때문에 NHSC의 백신의 앱스토어 등록 좌초는 그 사안이 가볍지 않습니다.

또 “아이폰 백신을 개발 중이고, 올해 출시하겠다”고 했던 보안업체들도 문제가 됩니다.

기야는 안철수연구소와 잉카인터넷 등 국내 보안업체들이 준비해온 아이폰 백신 개발을 중단, 관련 사업을 하지 않기로 했다는 이야기까지 나올 정도입니다.

어떤 보안업체는 이제와서 “못해서 안한 게 아니라 이런 상황을 감안해 백신을 성급히 개발하지 않은 것”이라고 이러한 상황을 끼워 맞추기도 합니다.

아이폰 뱅킹 서비스를 제공하고 있는 하나은행, 기업은행도 혼란스러워 하고 습니다. 아이폰 뱅킹 애플리케이션에 백신 등 보안 기술을 적용할 수도, 안할 수도 없는 애매한 상황에 처했습니다.

‘스마트폰 전자금융서비스 안전대책’을 내놨던 금융감독원은 일단 “현재로서는 아이폰 뱅킹 안전성은 보장돼 있는 상태로, 향후 추이를 지켜보고 향후 방송통신위원회 등과 공조해 필요하면 추가로 방침을 정하겠다”는 입장입니다.

저는 이러한 혼란이 ‘애플의 입장’을 제대로 알지 못해서는 아닐까? 하는 의구심이 생깁니다.

현재 아이폰 운영체제 설계 원리나 플랫폼 특성으로 인해, 애플의 정책상 아이폰 백신 등 보안 제품의 앱스토어 등록은 당연히 거부될 것이란 의견이 지배적입니다.

애플의 정책이, 또 백신 등록 승인 거절 이유가 “우리 플랫폼과 애플리케이션의 앱스토어 등록 프로세스로는 아이폰은 안전하니, 백신같은 보안 제품은 필요 없다. 현재도, 앞으로도.”라면, 오히려 해결책은 단순할 수도 있습니다.

보안업체는 백신 개발은 당연히 중단하고 아이폰 백신 사업을 포기한다고 결정할 수도 있을 것입니다. 금융감독원은 스마트폰 전자금융서비스 안전대책 등 보안지침을 수정해야 할테지요. 

그런데 그게 아니라면 어떨까요? 앱스토어 등록이 거절된 이유가 그런 게 아니라 단순한 오류나 테스트 과정에서 생긴 문제라면 어떨까요? 이 또한 가정이지만 말입니다.

그래서 저는 우선 애플의 정책과 입장을 알고 싶었습니다. 이번 아이폰 백신 소동과 관련해 ‘바이로봇 산네’의 앱스토어 등록 승인 거부된 이유나 향후 백신 등 보안 제품의 등록 관련 정책에 관한 애플의 공식적인 입장을 애플코리아에 요구했습니다. 돌아온 답변은 비슷합니다만.

“아이폰은 마이크로소프트 윈도 모바일 운영체제 등과는 달리 무언가를 다운로드하기 위한 통로는 앱스토어 뿐이고, 프로그램이 등록되기 전에 사전검열을 거치므로 악성코드가 들어올 구멍이 없고, 백신도 필요 없다”는 것이 애플코리아 관계자의 설명입니다.

이것도 “공식적인 입장이 아닌, 비공식적인 정보로서”만의 답변이라는 점을 전제로 받았을 뿐입니다.

이대로라면, 현재로선 아무리 백신같은 보안 제품을 개발해도 앱스토어 등록은 어려울 것입니다.

아마 멀티태스킹이 안되므로 하나은행이나 기업은행 아이폰 뱅킹 애플리케이션에 백신을 삽입해 하나의 애플리케이션으로 만들어 업데이트하려고 하더라도 백신 특성상 어려울 테지요.

그런데 미래는 어떤 상황이 벌어질 지 아무도 모릅니다. 맥 OS와 아이폰에서도 취약점이 발견되고도 있고, 아이폰 차기 버전이 어떻게 달라질 지도 모릅니다. 아이폰으로 다양한 연결성과 활용성을 갖고 있는만큼 현재에도 미래에도 100% 안전할 수는 없습니다.

애플의 정책도 상황 변화에 따라 얼마든지 바뀔 수 있다고 봅니다.

보안업계 아이폰 백신 사업 철수설이 오늘 불거지자, 안철수연구소에 확인해 봤습니다.

아이폰 보안 제품을 이르면 1분기, 늦어도 2분기 안에는 예정대로 선보일 예정이랍니다. 기존에 선보였던 심비안용이나 윈도모바일 등 모바일 백신에 국한된 방식이 아니라 아이폰에서 나타날 수 있는 다양한 위협으로부터 보호할 수 있는 보안 솔루션이 될 것이란 이야기입니다. 악성코드로부터 보호할 수 있는 기능도 당연히 포함된답니다.

다행입니다. 이러한 소동이 생겼다고 바로 “포기한다”고 선언했으면 아주 크게 실망했을 겁니다.

물론, 안철수연구소도 이번 이슈가 생긴 뒤 이전보다는 신중하게 접근하고 있다는 것을 느낄 수는 있습니다.

애플이든, 마이크로소프트이든, 삼성전자이든 간에 “우리 제품은 안전하다”고 하더라도, 보안 전문업체들은 새로운 취약점은 없는지, 보안위협은 발생하지 않는지 계속 경계하면서 준비해, 만일의 사태가 발생하면 해결책을 내놔야 할 역할이 있습니다.

잉카인터넷도 내부적으로 먼저 아이폰 보안 제품 관련 정책을 정한 뒤 선보이겠다는 입장입니다.

시만텍에도 물어봤습니다. 시만텍은 오는 7~8월 중 아이폰 백신이 나올 거라네요.

현재 앱스토어 등록 승인이 거절됐음에도 개인적으론 아직 그 시점이 언제이든 향후 아이폰 보안 제품이 상용화될 수 있는 여지는 충분하다고 생각하고 있습니다.

그리고 애플의 정책이 무엇이건 간에, 아니 애플과 협조하는 방안을 강구하면서 보안 업체들이 계속해서 아이폰을 대상으로 나타날 수 있는 잠재위협으로부터 안전하게 보호해 줄 수 있는 보안 기술을 연구 개발해줬으면 좋겠습니다.

이번에 어려움을 겪기도 했지만 많은 것을 배웠을 NSHC와 하우리도 마찬가지입니다. 

2010/01/27 18:05 2010/01/27 18:05

크리스마스를 겨냥한 악성코드가 올해에도 어김없이 나타났습니다.

에스지어드밴텍, 잉카인터넷 등 보안업체들은 23일부터 크리스마스 축하카드로 위장된 악성 이메일이 국내에서 발견됐다면서 사용자들의 각별한 주의를 당부하고 있습니다.

이 이메일에는 악성코드가 첨부돼 있으니, 클릭하지 마시고 수상한 이메일은 삭제해야 합니다.

오늘, 내일뿐만 아니라 연말연시 계속해서 이같은 악성 이메일, 악성코드가 발생할 수 있으므로 백신 업데이트와 실시간 감시 등 보안에 신경써야 할 것으로 보입니다.

다음은 잉카인터넷 시큐리티대응센터(ISARC)에서 분석한 악성코드 이메일 분석 내용입니다.

국내에 유입된 것이 확인된 이번 이메일은 다음과 같이 발신인 등이 정상적인 크리스마스 축하 카드처럼 교묘하게 위장되어 있으며, 악성코드가 첨부파일에 압축된 상태로 포함되어 존재한다.

보낸 사람 : e-cards@123greetings.com
메일 제목 : You have received a Christmas Greeting Card!
첨부 파일 : Christmas Card.zip (382,011 바이트)

이메일 본문에는 다양한 플래시 파일이 링크되어 보여질 수 있다.

http://c.123g.us/flash/branded_loader.swf
http://i.123g.us/c/edec_c_newjingle/card/113366.swf
http://i.123g.us/c/edec_c_newjingle/card/113413.swf
http://i.123g.us/c/edec_c_newjingle/card/105278.swf



이메일에 첨부되어 있는 압축파일(Christmas Card.zip) 내부에 Christmas Card.chm(공백) .exe 이름의 실행 파일이 포함되어 있다.

압축 해제 후 사용자가 보기에 .chm 확장자 이후 약 60여개의 공백을 포함하고 있어 실행파일(exe)이 아닌 것처럼 오인하도록 위장된 상태이다.

압축 내부에 포함된 악성코드 파일은 2009년 12월 23일 날짜로 등록된 것을 확인할 수 있으며, 아이콘은 크리스마스 트리 장식 모양을 하고 있다.



해당 파일이 실행되어 컴퓨터가 감염될 경우 시스템 폴더에 wmimngr.exe, wpmgr.exe 라는 이름의 2개의 파일이 생성된다.


실행된 악성코드는 SMTP 를 통해서 Mass Mailer 기능 등이 수행된다.



 

2009/12/24 10:40 2009/12/24 10:40

2009년을 마감해야 할 시점이 점점 눈앞에 다가오고 있다보니, 최근 보안업계에도 올 한 해 이슈화된 보안위협이나 굵직한 사건을 뒤돌아보는 자료가 풍년을 이루고 있습니다.

백신업체인 하우리도 오늘 비슷한 자료를 발표했는데요, 제목은 ‘2009년 악성코드 동향으로 살펴보는 유형별 특징’입니다.

올해 내내 수많은 컴퓨터 사용자들을 가장 괴롭혔던 10개의 악성코드를 뽑은 자료인데요, 보안 팁(TiP)까지 제시하고 있어 유용할 것으로 생각됩니다.

종류가 많아 헷갈릴 수 있는 악성코드 유형과 특징, 하우리가 붙이는 악성코드 명명법도 덤으로 제공했습니다.

이 기회에 말썽을 일으키고 때론 큰 피해를 주는 악성코드에 대한 이해를 높여보시는 것도 좋겠다는 생각에 올려봤습니다.

2
009년은 Conficker, Waledac, IRCBot, NateOn, DDoS-Agent, Joker, Clampi, Delf, Zbot, SecurityTool 등 다양한 악성코드 및 지속적인 변종바이러스의 출현으로 인해 PC사용자들이 백신 소프트웨어의 필요성을 몸소 체감할 수 있었던 한 해로 기억된다.

한 해 동안 발생한 대표적인 악성코드를 재확인하며, 2010년 보다 안전한 PC생활을 다같이 기대해 보길 바란다.

[Worm.Win32.Conficker.169360]

2008년 10월부터 발견되기 시작, 2009년에 많은 콘피커 변종 악성코드들이 제작돼 윈도 시스템에 많은 피해를 입혔다.

이 웜은 윈도 MS08-067 보안취약점, 이동식 저장 매체(USB) 및 취약한 암호를 가진 공유폴더를 통해서 전파된다.

악성코드는 감염PC의 IP 정보를 서버에 저장하고, 특정 웹 페이지에 접속을 시도한다. 감염시스템의 보안을 취약하게 하기 위해 DNS 관련 API를 후킹해, 마이크로소프트(MS)와 안티바이러스 업체 사이트의 특정 문자열이 들어간 웹사이트에 접근하지 못하게 한다.

<
보안Tip>
전세계적으로 대부분의 PC사용자들은 MS 운영체제를 사용하고 있다. 많은 사용자를 확보하고 있는 만큼, 이를 노리는 악성코드 제작자는 끊임없이 생겨나고 있다. 이를 대비하기 위해서는 수시로 MS 보안패치를 적용해 악성코드에 감염되지 않도록 주의해야 한다.

[I-Worm.Win32.Waledac.411136]

2월 14일 발견되기 시작했으며, ‘발렌타인데이 웜’이라고도 불린다. 이메일을 통해 전파되며, 감염시스템에서 스팸 메일을 대량으로 발송하여 트래픽 과부하를 일으키기도 한다.

“You have a A Valentine's Day Greeting!”이라는 메일 제목을 사용하며, 메일 내용의 해당 주소를 클릭하면 이미지와 함께 click here를 유도한다.

변종 ‘Waledac’ 웜의 경우 발렌타인데이, 오바마 대통령 등 사회적 이슈를 이용해서 메일 수신자의 클릭을 유도하여 악성코드를 설치한다.


<보안Tip>
특정일의 이슈를 이용한 바이러스는 해마다 증가하고 있으며, 해를 거듭할수록 이미지나 링크를 이용한 위장메일 또한 진화를 거듭하고 있다. 그러므로 특정일을 기념하는 제목으로 수신된 메일 중, 신뢰하지 않는 메일은 바로 삭제하도록 한다.

[Backdoor.Win32.IRCBot.15872.I]

2월 11일 발견되기 시작했으며, 시스템 날짜를 2090년으로 바꾸는 ‘2090 바이러스’ 알려진 악성코드의 변종으로 감염 시스템의 날짜를 2070년 1월 1일 오전 10시로 변경해서 2070 바이러스로 불리기도 한다.

윈도 MS08-067 취약점, 네트워크 공유폴더 및 이동식 저장매체(USB)를 통해 전파된다. 특정 IRC 채널에 접속을 시도하며, 트로이 목마를 다운로드 받기도 한다. 시스템 날짜의 변경으로 인해 감염시스템에서 서비스에 문제가 발생하기도 한다.

<보안Tip>
개인PC의 보안이 아무리 뛰어나도 공유폴더나 이동식 저장매체를 사용하는 경우에는 보안의 경계가 약해지기 때문에 백신 소프트웨어 설치 및 최신 업데이트를 통해 이를 예방해야 한다.

오토런(AutoRun) 바이러스 감염 예방을 위해 이동식 저장매체는 자동실행 설정을 해제한 후 사용할 것을 권장한다.

[Spyware.NateOn.Dr]

과거 2001년부터 유행하던 MSN 바이러스와 비슷한 형태의 악성코드로, 국내에서 많이 사용되는 네이트온(Nateon) 메신저를 통해 전파된다.

2009년 한 해 동안 꾸준히 변종이 보고됐다. 변종에 따라 여러 종류의 사진을 보여주며, 유명 온라인 게임의 계정정보를 훔쳐내며 다른 악성코드를 감염시킨다.

<보안Tip>
메신저는 24시간 대화가 가능하며, 파일을 주고받는 데도 용이하다. 편리한 만큼 악성코드에 의한 침해사고도 쉽게 이뤄지므로, 백신 소프트웨어의 실시간감시기를 켜두어 악성코드의 감염으로부터 PC를 보호하는 것이 현명하다.

[Trojan.Win32.DDoS-Agent.Gen]

7월 7일 공격이 시작됐으며 ‘7.7 DDoS’ 대란이라고 불릴 정도로 국가 공공기관, 금융권과 주요 포털사이트 등이 DDoS 공격에 의해 접속 지연 또는 서비스 중지 사태를 유발했다.

DDoS 공격에 대응하기 위해 모든 사용자들을 위해 전용백신을 무료로 배포하던 안티바이러스 업체의 홈페이지도 공격당할 정도로 사회적으로 문제가 되었던 악성코드이다.

<보안Tip>
사이버공격으로부터 보호받기 위해서는 공격을 감지할 수 있어야 한다. 최소한의 대응을 위해서는 1PC 1백신을 설치하고 최신 엔진 업데이트를 유지해야 한다.

[X97M.Joker]

5월부터 발견되기 시작해, 매크로 바이러스의 특성상 변형하기가 쉬워 계속해서 변종이 발생하고 있다.

엑셀 파일을 실행할 때마다, 다른 엑셀 문서를 감염시킨다. 초기 악성코드는 오후 4시 44분 44초가 되면 특정 파일을 삭제한 것처럼 메시지를 보여준 후 “뻥임” 이라는 메시지 창을 보여주지만 변종에 따라서 증상이 다르게 나타나기도 한다.

<보안Tip>
매크로 바이러스에 감염되면, 감염된 문서를 사용하는 동안 열려있는 중요한 문서들이 영향을 받는다. 따라, 중요한 문서는 별도로 보관해 두고 저장하기 전에 반드시 백신 소프트웨어로 감염여부를 확인할 후 저장하는 습관을 가지도록 한다.

[Trojan.Win32.Clampi.513024]

주로 소셜 네트워크 사이트나 메신저를 통해서 전파된다. 국내는 9월 21일에 발견됐으며, 주로 영어 사용국의 은행이 표적이 됐다.

사용자가 금융사이트에 접속해서 인터넷 뱅킹 시도 시 로그인 정보를 가로채가는 악성코드다. 클램피 악성코드로 인해 아이디나 패스워드 등 개인정보가 노출되어 많은 금융거래 범죄에 이용됐다.

<보안Tip>
금융거래는 인터넷 메신저나 모바일, 전화 등의 간접매체를 통해서 요청하는 경우, 신뢰할 수 없는 경우가 많으니 주의하도록 하자.

[Trojan.Win32.Delf.15872.O]

델프(Delf) 악성코드는 어도비 취약점을 이용해서 악성 PDF 파일을 생성한 후 이를 통해 전파되는 바이러스로, 다오놀(Daonol)로 불리기도 한다.

국내에서는 10월 14일에 발견되어, 계속해서 변종 바이러스가 발생하고 있다.

어도비 취약점을 이용해 전파되므로, 관련 제품의 최신 업데이트에 주의를 기해야 한다. 감염 후 재부팅 시 검은 화면에 마우스만 나타나며, 정상적으로 부팅이 이루어지지 않는 부팅 장애를 일으킨다.

<보안Tip>
주로 사용하는 프로그램 목록을 확인하고, 불필요한 프로그램은 제어판의 ‘프로그램추가/제거’를 통해 프로그램을 제거한다. 설치된 프로그램은 취약점을 보완할 수 있는 최신 업데이트 목록을 다운로드 받아 적용한 후 사용하도록 한다.

[Spyware.Zbot]

스파이웨어 Zbot의 변종 중 가장 이슈가 된, ‘Trojan.Win32.Scar’은 신종플루 관련 스팸메일 또는 해킹 당한 사이트를 통해 감염시킨다.

아크로뱃 리더의 파일 포맷인 PDF의 취약점을 이용하며, 다른 악성코드를 다운로드하여 추가 감염시킨다.

<보안Tip>
사회적 이슈는 악성코드 제작자의 좋은 표적이 되기 때문에, 이와 관련된 메일이나 사이트에 접속할 경우에는 각별히 주의해야 한다.

[Adware.SecurityTool.R]

허위 안티스파이웨어(Rogue), 즉 허위백신으로 Win32.Mndis.A 등에 의해 윈도 시스템의 주요 파일을 패치 한 뒤 허위 안티스파이웨어 제품을 감염시키고 사용자에게 요금 결재를 유도한다.

변종에 따라 바탕화면의 아이콘을 보이지 않게 하거나, 블루스크린과 유사한 화면을 보여주고 강제로 재부팅 시킨다.

<보안Tip>
허위백신의 진단결과는 신뢰하지 않도록 주의한다. 허위백신의 경우에는 허위 감염정보를 보여주고 사용자의 결재를 유도하는 것이 주된 특징이다.

네트워크 환경에 있는 PC사용자가 인터넷 사용 시 조금만 주의하면, 안전한 PC환경을 만들 수 있다. 그러나 대부분의 PC사용자들은 백신 소프트웨어를 설치해 놓을 뿐 최신 업데이트를 하지 않거나 MS 최신 보안패치를 받지 않는 등 사용자의 부주의로 악성코드에 감염되는 사례가 발생하곤 한다.

국내의 경우 무료백신 소프트웨어는 개인사용자에 국한된 것임을 인지하고, 기업에서는 기업용 백신을 설치해 기업의 중요한 파일이나 정보가 악성코드에 감염되지 않도록 백신 업데이트와 MS 최신 보안패치를 생활화하도록 하자.

* 악성코드 분류


* 악성코드 명명법


2009/12/23 10:42 2009/12/23 10:42