APT공격 출발점 … 초기탐지 중요 자바·플래시 등 알려지지 않은 `SW취약점` 이용 … 백신에 안 걸려
현대인들은 하루 대부분의 시간을 웹 서비스를 이용하고 있다고 해도 과언이 아닙니다. 일상생활 대부분의 활동을 웹으로 하고 있는 셈입니다. 그러자 웹의 취약성을 노린 악성코드, 바이러스는 물론 악의적인 목적을 가지고 특정 목표를 겨냥해 장시간 공격을 진행하는 지능형지속위협(APT) 공격의 위험성도 높아지고 있습니다. 국내에서 APT 공격은 2013년에 언론사와 금융 기관을 노린 3.20 사이버테러로 널리 알려졌습니다. 보안업체 파이어아이의 조사에 따르면 한국은 작년 한 해 파이어아이가 추적한 전체 4198 건의 APT 공격 중 417건의 공격을 받아 미국에 이어 세계 2위의 APT 공격 타깃 국가에 오르기도 했습니다.
이러한 대형 보안사고나 APT 공격 사례에서 항상 언급되는 '익스플로잇(Exploit)' 이라는 개념이 있습니다. 익스플로잇은 흔히 '취약점을 이용한 공격'으로 알려졌지만 웹의 취약점을 노린 스크립트 파일 '웹쉘(Web-Shell)'과는 조금 다릅니다. 익스플로잇은 주로 인터넷 익스플로러, 자바, 플래시 등 소프트웨어의 알려지지 않은 취약점을 이용합니다. 이 취약점을 이용해 정상적인 파일 또는 웹페이지의 극히 일부 소스코드만을 변경하는 방식으로 숨어있기 때문에 일반적인 백신 솔루션에서는 정상 파일로 인지하는 경우가 많습니다.
익스플로잇을 활용한 APT 공격이 방화벽, IPS, 게이트웨이, 백신 등 기존 보안 체계로는 탐지나 대응이 어려운 이유도 사이버 공격의 규모와 방법이 점차 조직화, 대형화되면서 APT 공격을 위한 사전 작업이 교묘해지고 변종 코드가 속출하고 있기 때문입니다.
해커들은 공격 목표를 설정한 후 대상 조직의 직원 및 보안 정책, 애플리케이션, 시스템 등 사전 조사를 통해 상세한 프로필을 구축합니다. 이를 토대로 잠재 공격 대상이 자주 가는 웹 페이지를 해킹해 익스플로잇을 심어놓거나 조직, 지위, 개인 정보, SNS 등 사회공학적인 방법을 총동원해 익스플로잇이 포함된 스피어 피싱 이메일을 보냅니다.
웹 페이지에 익스플로잇을 심어놓은 워터링 홀(Watering Hall) 공격의 예로 올해 초 미국의 포털 사이트 야후의 광고 서버 해킹 사건을 들 수 있습니다. 야후 페이지 방문 시 광고 페이지에 삽입된 익스플로잇이 다운되면서 최종적으로 사용자도 모르게 악성코드에 감염된 것이죠. 자바(Java) 관련 취약점을 이용한 익스플로잇으로 야후 방문자 수를 고려했을 때 상당수의 방문자가 감염되었을 것으로 예상돼 논란이 있었습니다. 파이어아이는 국내에서도 잇따른 개인정보 유출 사건 이후 국내 기업 대상 APT 공격 탐지 횟수가 증가했다고 밝혀, 유출된 개인정보가 실제 기업을 대상으로 하는 사이버 공격의 주요한 소스로 사용되고 있을 가능성도 있다고 밝혔습니다.
공격 대상의 PC나 모바일 단말기에 익스플로잇이 침투하게 되면 이미 공격 단계의 절반은 성공했다고 볼 수 있습니다. 한번 설치된 익스플로잇은 이후 실제 악성코드에게 길을 터주는 역할을 하면서 해당 컴퓨터의 원격 접속 권한을 획득하게 됩니다. 이후 그 시스템을 거점으로 수면 아래에서 정보를 수집하면서 내부의 주요 서버들을 스캐닝하고 더 높은 관리 권한을 획득하기 위해 내부 네트워크와 연결된 조직 내 다른 컴퓨터의 취약성을 탐색하게 됩니다. 시스템이 장악되고 나면 APT, 제로데이 공격처럼 손쓸 틈도 없이 전체 시스템이 위험에 빠질 수 있게 되는 것이죠.
따라서 익스플로잇의 초기 탐지와 차단 여부가 APT 방어에 매우 중요한 단계라고 볼 수 있습니다. 게다가 최근의 사이버 공격은 기존의 보안 매커니즘을 무력화하거나 우회하는 방식으로 점점 교묘하게 진화하고 있습니다.
최근 파이어아이가 발견한 인터넷 익스플로러(IE) 이용 익스플로잇의 경우 윈도 7, 윈도 8.1 등 최신 OS에 탑재된 보안 기술을 무력화한다는 것이 알려지면서 미국과 영국 등 전 세계 정부와 많은 보안업체들이 보안 위험성을 경고하고 나선 바 있습니다. 만약 취약한 버전의 IE 사용자가 웹 익스플로잇이 숨겨진 웹사이트에 접속하기만 해도, 익스플로잇이 자동 실행되면서 피해를 입을 수 있기 때문입니다. 사이버 보안업체 맨디언트의 보고서에 따르면 2013년 기준 기업들이 APT 공격을 인지하는데 걸리는 시간이 평균 243일에 달한다고 합니다. 새로운 악성코드와 알려지지 않은 (Unknown) 사이버 공격이 기존 시스템은 물론 모바일로도 세를 확장하고 있습니다. APT 공격 과정에 있어 핵심적인 단계이자 시발점인 익스플로잇을 막는 것이 중요한 이유입니다.
이런 상황에서 자바 애플리케이션의 취약점을 이용한 제로데이 공격은 감소할 것으로 예상됩니다. 자바 익스플로잇은 개발이 비교적 용이함에도 불구하고, 2013년 2월 이후 새로운 자바 제로데이 익스플로잇 공격이 출시되는 빈도가 급감했습니다. 그 이유는 자바 1.7에서 제공하는 보안 경고창 덕분입니다. 화이트 해커인 보안 연구가들의 자바 익스플로잇에 대한 관심이 증가한 것도 주효했습니다. 너무 소수의 사람들만이 보안에 취약한 자바 버전을 사용하고 있어, 익스플로잇 제작자들이 계속해서 더 많은 버그를 찾기가 어렵다는 것도 하나의 이유가 됐습니다.
하지만 브라우저 기반의 취약점은 증가할 것으로 예상됩니다. 공격자는 점차 브라우저 상의 ASLR(address space layout randomization: 특정 프로세스가 사용 하는 메모리 주소를 무작위로 부여 함으로써 익스플로잇 공격을 방어 하기 위한 기법)를 우회하고 있습니다. 새롭게 발견되는 자바 및 고전적인 인풋-파싱(Input-parsing) 취약점을 통한 공격은 둔화될 것으로 보이는 반면, 브라우저의 제로데이 취약점을 포함한 공격들은 증가할 것으로 보입니다.
강은성기자 esther@dt.co.kr
이러한 대형 보안사고나 APT 공격 사례에서 항상 언급되는 '익스플로잇(Exploit)' 이라는 개념이 있습니다. 익스플로잇은 흔히 '취약점을 이용한 공격'으로 알려졌지만 웹의 취약점을 노린 스크립트 파일 '웹쉘(Web-Shell)'과는 조금 다릅니다. 익스플로잇은 주로 인터넷 익스플로러, 자바, 플래시 등 소프트웨어의 알려지지 않은 취약점을 이용합니다. 이 취약점을 이용해 정상적인 파일 또는 웹페이지의 극히 일부 소스코드만을 변경하는 방식으로 숨어있기 때문에 일반적인 백신 솔루션에서는 정상 파일로 인지하는 경우가 많습니다.
익스플로잇을 활용한 APT 공격이 방화벽, IPS, 게이트웨이, 백신 등 기존 보안 체계로는 탐지나 대응이 어려운 이유도 사이버 공격의 규모와 방법이 점차 조직화, 대형화되면서 APT 공격을 위한 사전 작업이 교묘해지고 변종 코드가 속출하고 있기 때문입니다.
해커들은 공격 목표를 설정한 후 대상 조직의 직원 및 보안 정책, 애플리케이션, 시스템 등 사전 조사를 통해 상세한 프로필을 구축합니다. 이를 토대로 잠재 공격 대상이 자주 가는 웹 페이지를 해킹해 익스플로잇을 심어놓거나 조직, 지위, 개인 정보, SNS 등 사회공학적인 방법을 총동원해 익스플로잇이 포함된 스피어 피싱 이메일을 보냅니다.
웹 페이지에 익스플로잇을 심어놓은 워터링 홀(Watering Hall) 공격의 예로 올해 초 미국의 포털 사이트 야후의 광고 서버 해킹 사건을 들 수 있습니다. 야후 페이지 방문 시 광고 페이지에 삽입된 익스플로잇이 다운되면서 최종적으로 사용자도 모르게 악성코드에 감염된 것이죠. 자바(Java) 관련 취약점을 이용한 익스플로잇으로 야후 방문자 수를 고려했을 때 상당수의 방문자가 감염되었을 것으로 예상돼 논란이 있었습니다. 파이어아이는 국내에서도 잇따른 개인정보 유출 사건 이후 국내 기업 대상 APT 공격 탐지 횟수가 증가했다고 밝혀, 유출된 개인정보가 실제 기업을 대상으로 하는 사이버 공격의 주요한 소스로 사용되고 있을 가능성도 있다고 밝혔습니다.
공격 대상의 PC나 모바일 단말기에 익스플로잇이 침투하게 되면 이미 공격 단계의 절반은 성공했다고 볼 수 있습니다. 한번 설치된 익스플로잇은 이후 실제 악성코드에게 길을 터주는 역할을 하면서 해당 컴퓨터의 원격 접속 권한을 획득하게 됩니다. 이후 그 시스템을 거점으로 수면 아래에서 정보를 수집하면서 내부의 주요 서버들을 스캐닝하고 더 높은 관리 권한을 획득하기 위해 내부 네트워크와 연결된 조직 내 다른 컴퓨터의 취약성을 탐색하게 됩니다. 시스템이 장악되고 나면 APT, 제로데이 공격처럼 손쓸 틈도 없이 전체 시스템이 위험에 빠질 수 있게 되는 것이죠.
따라서 익스플로잇의 초기 탐지와 차단 여부가 APT 방어에 매우 중요한 단계라고 볼 수 있습니다. 게다가 최근의 사이버 공격은 기존의 보안 매커니즘을 무력화하거나 우회하는 방식으로 점점 교묘하게 진화하고 있습니다.
최근 파이어아이가 발견한 인터넷 익스플로러(IE) 이용 익스플로잇의 경우 윈도 7, 윈도 8.1 등 최신 OS에 탑재된 보안 기술을 무력화한다는 것이 알려지면서 미국과 영국 등 전 세계 정부와 많은 보안업체들이 보안 위험성을 경고하고 나선 바 있습니다. 만약 취약한 버전의 IE 사용자가 웹 익스플로잇이 숨겨진 웹사이트에 접속하기만 해도, 익스플로잇이 자동 실행되면서 피해를 입을 수 있기 때문입니다. 사이버 보안업체 맨디언트의 보고서에 따르면 2013년 기준 기업들이 APT 공격을 인지하는데 걸리는 시간이 평균 243일에 달한다고 합니다. 새로운 악성코드와 알려지지 않은 (Unknown) 사이버 공격이 기존 시스템은 물론 모바일로도 세를 확장하고 있습니다. APT 공격 과정에 있어 핵심적인 단계이자 시발점인 익스플로잇을 막는 것이 중요한 이유입니다.
이런 상황에서 자바 애플리케이션의 취약점을 이용한 제로데이 공격은 감소할 것으로 예상됩니다. 자바 익스플로잇은 개발이 비교적 용이함에도 불구하고, 2013년 2월 이후 새로운 자바 제로데이 익스플로잇 공격이 출시되는 빈도가 급감했습니다. 그 이유는 자바 1.7에서 제공하는 보안 경고창 덕분입니다. 화이트 해커인 보안 연구가들의 자바 익스플로잇에 대한 관심이 증가한 것도 주효했습니다. 너무 소수의 사람들만이 보안에 취약한 자바 버전을 사용하고 있어, 익스플로잇 제작자들이 계속해서 더 많은 버그를 찾기가 어렵다는 것도 하나의 이유가 됐습니다.
하지만 브라우저 기반의 취약점은 증가할 것으로 예상됩니다. 공격자는 점차 브라우저 상의 ASLR(address space layout randomization: 특정 프로세스가 사용 하는 메모리 주소를 무작위로 부여 함으로써 익스플로잇 공격을 방어 하기 위한 기법)를 우회하고 있습니다. 새롭게 발견되는 자바 및 고전적인 인풋-파싱(Input-parsing) 취약점을 통한 공격은 둔화될 것으로 보이는 반면, 브라우저의 제로데이 취약점을 포함한 공격들은 증가할 것으로 보입니다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
