[여전히 사이버 범죄자들에게 악용되는 IoT와 오픈소스

상위 12개 글로벌 익스플로잇의 50%가 IoT 장치를 타깃으로 삼아
포티넷, 2018년 4분기 ‘글로벌 보안 위협 전망 보고서’ 발표

[보안뉴스 원병철 기자] 여전히 사이버 범죄자들이 IoT 장치의 불안정성을 지속적으로 악용하고, 오픈소스 멀웨어 툴로 새로운 위협을 만드는 등 지속적으로 공격을 더욱 정교화하고 있다는 내용의 보고서가 발표됐다. 광범위하고 자동화된 통합 사이버보안 분야의 대표기업 포티넷코리아(조원균 대표)는 8일 자사의 보안연구소인 포티가드랩이 발간한 ‘2018년 4분기 글로벌 위협 전망 보고서’를 발표했다. 포티넷의 CISO(정보보호최고책임자) 필 쿼드(Phil Quade)는 “사이버보안 사물과 물리적 공간의 융합, 즉 Cy-Phy의 시대가 도래했다. 디지털 경제에서 이러한 융합은 여러 이점이 있지만, 자연스럽게 사이버보안 리스크도 높아지게 된다. 사이버 범죄자들은 이 새로운 디지털 컨버전스를 타깃으로 하는 익스플로잇을 면밀히 관찰 및 개발하고 있다. 가시성, 자동화, 민첩한 분할(segmentation) 등 사이버보안의 기본 요소들은 Cy-Phy 디지털 미래에서의 기업의 성공을 돕고, 악의적인 사이버범죄를 방어하기 때문에 그 어느 때보다 중요하다고 할 수 있다”고 말했다. 이번 보고서의 핵심 내용은 다음과 같다.

△익스플로잇 지수 사상 최고 수준

사이버 범죄가 전반적으로 다소 감소했지만 기업별 익스플로잇 건수는 10% 증가했으며, 감지된 고유 익스플로잇은 5% 증가한 것으로 나타났다. 동시에 봇넷은 더욱 복잡해지고 탐지가 어려워졌다. 봇넷 감염 시간은 15% 증가해 기업별 평균 감염 일수는 12일로 증가했다. 사이버 범죄자들이 공격을 확산시키기 위해 자동화 및 머신러닝을 채택함에 따라, 보안 조직들도 이러한 지능적인 방법에 대응하기 위해 이와 동일한 조치를 취해야 한다.

△모니터링 장치에 대한 모니터링

물리적 사물과 사이버 보안의 컨버전스로 인해 공격 면이 확대되고 있으며, 사이버 범죄자들은 점점 더 이를 공격 대상으로 삼고 있다. 상위 12개 글로벌 익스플로잇의 50%가 IoT 장치를 타깃으로 하고 있으며, 상위 12개 중 4개는 IP-지원 카메라와 관련이 있었다. 사이버 범죄자들은 이러한 장치에 액세스함으로써 사적인 상호작용을 염탐(Snoop)하거나, 악의적인 현장 활동을 벌이거나, 사이버 시스템에 진입하여 DDoS 또는 랜섬웨어 공격을 시작할 수 있다. 보안 기능을 제공하거나 모니터링 하는데 사용되는 장치에서도 숨겨진 공격을 인식하는 것이 중요하다고 할 수 있다.

​ 

샤오미 모바일 폰에 탑재된 기본 보안 앱, 취약점에 노출돼
모바일 장비에 있는 기본 보안 앱, 오히려 사용자 위험하게 해
트래픽 암호화 하지 않는 것도 문제, 여러 SDK로 개발된 것도 문제

[보안뉴스 문가용 기자] 샤오미 모바일 장비에 미리 설치된 보안 앱에서 심각한 취약점이 발견됐다. 보안 업체 체크포인트(Check Point)에 따르면 “샤오미 폰에 있는 가드 프로바이더(Guard Provider)라는 앱이 문제”라고 한다. “보안 앱인 가드 프로바이더 때문에 오히려 사용자들이 사이버 공격에 노출되어 있습니다. 앱에서 나오고 앱으로 들어가는 네트워크 트래픽이 전혀 보호되지 않기 때문입니다. 게다가 같은 앱에서 여러 개의 SDK(소프트웨어 개발 키트)가 발견되기 때문에 더 위험합니다.”

체크포인트는 앱에서 취약점들이 발견되는 건 일종의 ‘SDK 피로도(SDK fatigue)’의 결과로 나타나는 현상이라고 설명한다. “앱을 개발할 때 너무 많은 SDK를 사용하면 원래 취약해집니다. 위협 행위자들은 가드 프로바이더의 이러한 문제들을 통해 같은 와이파이에 접속하고, 중간자 공격을 실행할 수 있게 됩니다.”

결국 SDK를 많이 사용하면 SDK와 SDK 간의 커뮤니케이션에서 틈이 생길 수밖에 없고, 이 틈 속에 공격자들은 악성 코드를 주입할 수 있게 된다는 것이 ‘SDK 피로도’의 본질이라고 체크포인트는 설명한다. “비밀번호를 훔치고, 랜섬웨어를 설치하고, 사용자를 추적하는 등의 행위가 가능합니다.”

SDK를 많이 사용할 경우 앱이 비정상적으로 종료할 가능성도 높다고 체크포인트는 지적한다. “심하면 기계가 마비될 수도 있습니다. 바이러스와 멀웨어아 감염될 확률이 높은 것은 물론이고 프라이버시도 새나갈 수 있죠. 배터리도 더 빨리 닳고, 기계의 성능은 갈수록 떨어질 수밖에 없습니다. 여러 SDK를 사용하는 건 여러 모로 폐해가 많은 개발 행위입니다.”

​ 

참조사이트  

 http://www.dailysecu.com

 http://www.boannews.com

 http://www.boan.com

 http://www.dt.co.kr/

 http://www.datanet.co.kr/

 http://www.itdaily.kr

 [패치 및 업데이트]

금일 최신 패치 및 업데이트는 없습니다.

 [최신 바이러스 정보]

​

 Unwanted/Win64.XMR-Miner

최초 발견일: 2019-04-08
종    류: 유해가능
형    태: 실행파일
감염/설치경로: 파일실행, 메일, 다운로드
설   명: Trojan/Win32.Fareit.C3134683는 감염된 시스템 내의 모든 파일을 암호화하는 Hermes2.1 랜섬웨어이다.

  ​http://www.viruschaser.com 

 http://www.viruslist.com

 http://alyac.altools.co.kr/

 http://www.ahnlab.com/

[보안TIP]

사물인터넷 시대를 미리부터 환영하는 주요 멀웨어 7

[보안뉴스 문가용 기자] 사물인터넷의 시대라는 것이 보안 업계에서는 그리 달갑지만은 않다. 사이버 공격자들을 위한 공격의 경로만 넓어지고 있기 때문이다. 이들은 이미 연구와 시행착오를 시작했고, 실력을 더 단단히 굳혀가고 있다. 사물인터넷 장비들을 가지고 봇넷을 만들기도 하고, 암호화폐를 채굴하기도 하며, 데이터를 탈취하기도 한다. 정확히 어떤 멀웨어들이 가장 큰 위협이 되는 걸까? 이번 주 본지에서는 주요 IoT 멀웨어 7가지를 정리해보았다.

1. 가프짓(Gafgyt)
원래 가프짓은 디도스 공격을 하던 리눅스 봇넷으로 약 2014년부터 존재해왔다. 현재의 가프짓도 여전히 디도스 공격을 가할 수 있다. 하지만 오래된 멀웨어들이 다 그렇듯, 가프짓도 지난 5년여 간 많은 기술들을 새롭게 익혔다. 

가장 먼저 가프짓이 장착한 새 기술은 IoT 장비들 내에 있던 특정 취약점들을 익스플로잇 하는 것이었다. 이 기술 덕분에 가프짓은 라우터, 모뎀, 방화벽, 보안 카메라, DVR 등에 침투할 수 있게 되었다. 물론 이 문제는 패치로 본질상 해결되긴 했다. 하지만 세상에는 아직도 패치가 적용되지 않은 기계들이 많이 남아있고, 그래서 가프짓은 유효한 위협이다. 

가프짓은 계속해서 변화해왔다. IoT 침투 능력을 바탕으로 정보를 훔치는 기능을 덧입고, 다른 멀웨어 페이로드들을 심는 기능도 갖추더니, 장비들을 데리고 봇넷 군단을 만들 수도 있게 되었다. 지금의 가프짓은 이전 버전들보다 훨씬 더 유연하고, 기능도 많고, 따라서 위험하다. IoT의 위험을 얘기하면서 가프짓을 빼놓을 수 없다.

2. 하지메(Hajime)
사이버 보안이라는 분야에서 좋은 놈과 나쁜 놈을 구분해낸다는 것이 그리 쉽지 않을 때가 있다. 특히 멀웨어라는 결론이 내려지기 전, 특정 기능을 가진 소프트웨어를 보고 악의적인 목적을 가지고 만들어졌는지 그 반대인지 구별하는 것은 불가능에 가깝다. 일본어로 ‘시작’이라는 뜻을 가진 하지메 멀웨어가 바로 이런 경계선에 놓여 있다. 하지메는 나쁘게 보면 사물인터넷 기계를 장악하는 소프트웨어다. 하지만 장악 후 다른 멀웨어의 공격을 막아준다. 물음표가 뜨는 부분이다.

하지메는 미라이(Mirai)라는 대표적인 사물인터넷 멀웨어가 공격한 하드웨어를 재차 공격하는 멀웨어로서 처음 등장했다. 하지메는 장비에 침투한 후 통제권을 가져가고 미라이가 장악한 열린 포트들을 닫기 시작했다. 하지메의 침해 원리는 미라이의 그것보다 훨씬 더 발전된 형태이긴 했지만, 아직 하지메로부터 퍼진 디도스 공격이나 암호화폐 채굴 페이로드가 발견된 사례는 없다. 하지만 하지메 봇넷으로 편입된 기기들은 수만에 다다른다.

인터넷에서는 하지메와 같은 성격의 소프트웨어를 두고 ‘자경단 멀웨어(vigilante malware)’라고 부른다. 미라이로부터 보호해주는 것은 분명하지만 여기에는 대가가 따른다. 소유주가 아닌 제3자가 장비를 제어하면서, 소유주가 모르는 변화를 기계에 적용하고, 적용된 변화가 바뀌지 않도록 한다는 것이다. 즉 하지메가 닫아 둔 포트는 열리지 않는다. 원격 관리 등의 합법적인 목적으로서의 사용이 불가하게 된다는 것이다. 다행히 장비 업데이트와 미라이를 막기 위한 방화벽 규칙 설정을 통해 하지메도 차단할 수 있다.

3. 암네지아 봇(Amnesia Bot)
암네지아는 사물인터넷 장비에 침투해 취약한 파일들을 암호화하고, 자신이 감염시킨 사물인터넷 장비들로부터 기업 내 네트워크에 연결된 각종 생산 시스템들을 공격하기 시작한다. 암네지아는 기능이라는 면에서 광범위하다는 특징을 보여준다. 7천개 이상의 파일 유형을 암호화할 수 있기 때문이다. 다만 사용자가 암네시아에 앱 관리자 권한을 허용하는 단계가 있어야만 암호화를 시작할 수 있기 때문에, 입력 기능이 없는 기계는 암네지아로부터 비교적 안전하다.

암네지아의 이러한 특징 때문에 가장 큰 위협을 느껴야 하는 건 POS 단말기들과 키오스크를 운영하는 사람들이다. POS 단말기나 키오스크가 유지 관리를 위한 업데이트를 진행하려고 한다며 사용자의 허용을 구할 때가 특히 위험한 순간이다. 이건 진짜 업데이트를 위한 메시지일 수도 있고, 공격자들이 설정한 가짜일 수도 있기 때문이다. 다행히 보안 업체 엠시소프트(Emsisoft)가 무료로 암네지아 피해자들을 위한 복호화 툴을 배포하고 있다.

4. 사토리(Satori)
사토리는 미라이의 변종으로서 세상에 처음 등장했다. 하지만 그 후 독자적인 진화를 거쳐 현재는 완전 별개의 위협이 되어버렸다. 지금 이 시간에도 사토리 개발자들은 새로운 시도를 계속해서 진행하고 있으며, 사토리는 꾸준히 업그레이드 되는 멀웨어 중 하나로 남아있다. 공격할 수 있는 CPU와 시스템 종류도 많아지고 있고, 페이로드를 떨어트리는 방법도 늘어나고 있다. 그러나 결론은 일관되게 디도스뿐이긴 하다.

디도스만 할 줄 아는 사토리라고 해서 무시해서는 안 된다. 사물인터넷 멀웨어의 대표와 같은 미라이도 비디오 게임 서버를 운영하는 사람들 간의 다툼으로부터 비롯됐다는 걸 기억해야 한다. 그 사소한 싸움이 전 세계 주요 기업들의 사업이 일시적으로 중단되는 사태로 번졌던 것이다. 사토리가 익스플로잇 하는 취약점의 수를 늘려가고 있다는 건 중대한 문제다. 앞으로 이 사토리가 어떤 식으로 변할지 아무도 예측할 수 없다. 실제로 최근에는 스팸 생성과 암호화폐 채굴 기능이 일부 사토리 봇넷에서 발견되기 시작했다. 

이 변화무쌍하고 잠재력 높은 사토리를 처음부터 막으려면 어떻게 해야 할까? 미라이를 막는 것과 같다. 사물인터넷 장비 내 모든 요소들을 완전히 패치하고, 업데이트를 미리미리 해두는 것이 바로 그것이다. 그리고 장비가 연결된 네트워크에 방화벽과 침투 방지 시스템을 설치하고 올바른 규칙을 설정하는 것도 중요하다. 

5. 페르시라이(Persirai)
사물인터넷 장비들 덕분에 물리 보안이 향상된 측면이 있다. 특히 이전에 없던 보안 카메라들이 등장하면서 우리는 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 항상 지켜볼 수 있게 됐다. 동시에 이런 장비들이 인터넷을 통해 연결되어 있기 때문에 사이버 공격의 위협은 더 커졌다. 허가되지 않은 눈이 인터넷을 통해 문간과 창문, 사업장에서 가장 중요한 장비들과 자재들을 염탐할 수 있게 된 것이다.

미라이가 제일 처음 등장해 공략하기 시작한 건 대부분 이런 사물인터넷 감시 카메라들이었다. 미라이의 변종으로서 출발했던 사토리 역시 감시 카메라들에 디도스 관련 페이로드들을 저장하거나, 감시 카메라들을 통해 디도스를 실시했다. 그 후 미라이는 다른 종류의 사물인터넷 장비들로도 퍼져갔고, 사토리는 여전히 감시 카메라들을 집중 공격하고 있다. 그래서 현재 감시 카메라의 가장 큰 위협은 사토리다.

미라이의 또 다른 변종인 페르시라이도 사토리처럼 카메라 종류의 사물인터넷 장비들에 집중하고 있다. 현재는 1천 개가 넘는 종류의 카메라들을 공격할 수 있는 기능을 갖추고 있는 것으로 알려져 있다. 감시 카메라를 다수 운영하고 있는 조직이라면, UPnP 기능을 비활성화 하고, 비밀번호들을 어렵게 바꾸고, 펌웨어 업데이트를 함으로써 페르시라이를 방어할 수 있다. 

6. VPN필터(VPNFilter)
미라이 및 그 변종들이 카메라 종류를 노렸기 때문에 얼마 전까지만 해도 사물인터넷 감시 카메라들이 제일 취약한 것처럼 느껴졌지만, VPN필터의 등장 이후부터는 그 느낌이 라우터들로 옮겨갔다. 특히 가정용 혹은 소규모 사무실용 라우터들이 큰 위험에 노출되었다는 소식이 눈에 띄게 늘어났다. 게다가 VPN필터는 장비를 껐다 켜도 사라지지 않았기 때문에 더 위협적으로 느껴졌다.

하지만 VPN필터는 기존에 등장했던 사물인터넷 멀웨어들과 달리 봇넷을 형성하려는 시도를 하지 않았다. 대신 라우터를 장악한 뒤 네트워크 구석구석에 침투해 각종 정보를 수집하는 페이로드가 심겨졌다. 그 뒤로 다른 장비들도 추가로 감염시키고, 네트워크 기능을 떨어트리며, 다른 봇넷의 노드 위치를 감추는 등의 기능도 하기 시작했다.

VPN필터를 제거 하려면 두 단계의 조치가 필요하다. 먼저는 공장 추기화를 해야 한다. 그런 후에 라우터를 인터넷에 연결시키기 전에 디폴트 관리자 비밀번호를 바꿔야 한다. 이렇게 해서 VPN필터를 제거했다면 그 후 관리도 중요하다. 펌웨어 패치와 업데이트가 바로 그것이다. 

7. 미라이(Mirai)
미라이는 사물인터넷 멀웨어의 대명사다. 상징성이라는 면에서 미라이의 아성을 뛰어넘을 사물인터넷 멀웨어는 아직 등장하지 않고 있다. 등장하자마자 당시 기준으로 가장 높은 용량의 디도스 공격을 실시했었고, 이 때문에 CNN, 트위터, 레딧, 넷플릭스 등 유명한 업체의 온라인 서비스 일부가 중단되기도 했었다. 그 엄청난 파괴력과, 영향을 준 기업의 이름들 덕분에 앞으로도 미라이를 뛰어넘는 멀웨어는 다시 나타나기 힘들지도 모른다.

현존하는 미라이는 처음 등장 시와 마찬가지로 여전히 디도스 공격에 집중하고 있다. 그 동안 여러 가지 변종들이 등장해 다른 목적으로도 사용되고 있긴 하지만 주력은 디도스다. 하지만 현재 미라이는 ‘서비스형 멀웨어(malware as a service)’로서 배포 형태가 바뀐 상태다. 즉 돈만 내면 아무나 미라이 공격을 할 수 있게 되었다는 것이다. 멀웨어가 다크웹에서 상업화 되기 시작하면 그 멀웨어는 새로운 전성기를 맞는 게 보통이므로, 미라이에서도 같은 수순을 예상할 수 있다. 미라이는 과거의 상징으로만 남아있는 게 아니라, 앞으로 더 커질 가능성이 있는 위협이다.

http://www.krcert.or.kr/data/secNoticeList.do

http://www.microsoft.com/korea/security/default.mspx

http://www.adobe.com/kr/downloads/updates/