아이온시큐리티

방위사업청 해킹 파장 어디까지? 침투경로 등 논란 커져

관리자

2019-01-16 07:22:42

방위사업청 해킹 파장 어디까지? 침투경로 등 논란 커져

관리자

2019-01-16 07:22:42

방위사업청 해킹 파장 어디까지? 침투경로 등 논란 커져

국정원, 공공기관 보안관제 중 방사청 IP 이상 트래픽 감지...방사청은 ‘몰라’

2018년 10월 첫 감지...국회 국방위원회 이종명 위원이 공개할 때까지 ‘쉬쉬’

인터넷 PC에 설치된 자료저장방지 솔루션 관리자 계정이 침투경로...방사청은 몰랐나

[보안뉴스 원병철 기자] 우리나라 군수품 조달과 방위력 개산사업을 수행하는 방위사업청(이하 방사청)이 지난 2018년 10월부터 11월까지 총 30대의 인터넷 PC가 해킹당한 것으로 드러났다. 국회 국방위원회 이종명 위원(자유한국당 의원)은 이와 같은 사실을 확인하고 1월 15일 공개했다.

방사청 해킹 사건 개요

방사청이 이종명 위원에게 보고한 자료에 따르면, 2018년 10월 26일 공공기관 대상으로 보안관제를 담당하는 국정원이 방사청 IP에서 이상한 트래픽을 감지하고 이를 방사청에 통보했다. 이에 방사청은 국정원의 협조로 감염이 의심되는 PC 30대 중 25대의 조사 및 분석을 11월 1~2일 양일간에 걸쳐 진행하는 한편, 전 직원을 대상으로 인터넷 PC 사용 자제를 공지했다.

11월 5일, 방사청은 조사를 마친 인터넷(전용) PC 25대에서 자료 유출이 없는 것으로 판단(PC 내 자료 미보유)하고, 실제 감염된 PC는 10대로 확인했다. 또한, 11월 6일에는 창원사무소에 있던 인터넷 PC 5대에 대한 회수와 조사를 진행한 끝에 PC 2대에 암호화된 자료가 있는 것이 확인되어 파일을 복원한 후, 안보에 영향이 있는 자료인지 조사를 진행한 것으로 알려졌다. 이어 11월 22일, 유출자료가 보안에 문제가 없는 것으로 확인했다는 게 방사청 측이 밝힌 내용이다.

방사청 해킹 사건의 문제점

①인터넷 PC에 방사청 자료가 암호화되어 저장된 이유는?

해당 조사에서 드러난 문제점 중 첫 번째는 인터넷 PC에 방사청 자료가 암호화되어 저장되어 있었다는 점이다. 창원사무소 인터넷 PC 2대에 저장된 파일은 원래는 삭제됐어야 할 파일이지만 ‘자료저장방지 솔루션’에 의해 암호화된 상태로 저장됐다. 그 이유는 자료저장방지 솔루션이 PC의 삭제대상 자료를 암호화해 약 30일간 저장한 후 삭제하기 때문이다. 인터넷망에서 업무를 하는 기관 담당자의 경우 자료 삭제 후, 소송 등으로 자료복구 필요성이 제기되기 때문에 30일간 보관하도록 하고 있다. 문제는 방사청 담당부서에서 이러한 사실을 몰랐기 때문에 파일을 삭제하면 바로 지워진 것으로 알았다는 점이다.

오피스 365의 취약점 통해 ZWSP 삽입하는 피싱 공격

사용자가 보는 것과 브라우저가 보는 것 다르다는 점 악용

URL 중간에 ZWSP 넣으면 사람 눈엔 링크, 브라우저에는 URL 아냐

[보안뉴스 문가용 기자] 오피스 365에서 발견된 취약점을 활용하면 자체 피싱 공격 보호 장치를 우회해 악성 메시지를 피해자에게 전달할 수 있다고 한다. 다행히 이 취약점은 최근에 패치됐다. 클라우드 보안 전문 업체인 아바난(Avanan)에 의하면, 이 취약점을 악용할 경우 이메일의 로 HTML(RAW HTML) 내 악성 URL의 한 중간에 ‘폭이 0인 공백(ZWSP)’을 삽입할 수 있게 된다고 한다. 이렇게 할 경우 URL이 망가지기 때문에 MS가 탑재한 악성 이메일 탐지 장치들이 작동하지 않게 된다. 세이프 링크(Safe Link)가 발동되는 것도 막을 수 있다고 한다. 게다가 ZWSP는 렌더링을 하지 않는다. 즉, 이메일을 받는 사람이 URL 중간에 있는 무작위 특수 문자들을 전혀 알아채지 못한다. 오피스 365의 취약점과 그것을 남용한 이메일 공격이 처음 발견된 건 작년 11월 10일의 일이다. MS는 이 문제를 보고 받고 1월 9일에 패치를 배포했다. 패치 이전, 이 문제 때문에 오피스 365 사용자 전부가 피싱 공격에 노출됐다. MS 오피스 365 고급 위협 보호(Advanced Threat Protection)을 사용하는 사람들도 예외는 아니었다. URL 명성 확인과 세이프 링크 모두 무용지물이었다.