내 생의 멋진 날

체크포인트, 기업 네트워크의 숨겨진 보안 위협 발표

기업들에게 가장 영향을 주는 보안 위협은 봇·멀웨어와 같은 숨겨진 보안 위협과 실수로 인한 정보유출 등으로 나타났다.

글로벌 인터넷 보안 기업 체크포인트(www.checkpoint.com)가 전 세계 기업들에게 영향을 주는 주요 보안 위협을 다룬 ‘2013 시큐리티 리포트’에서 이같이 발표했다.

이번 보고서는 네트워크 보안을 위태롭게 하는 주요 보안 위협과 위험한 웹 애플리케이션, 의도하지 않은 실수로 의한 데이터 유출 등에 대해 다루었다. 특히 이 보고서는 이러한 위협들을 막는 방법에 대한 보안 권고도 함께 담고 있다.

2012년 네트워크 공격자와 IT 전문가들 간의 경쟁이 치열해지면서 대부분의 치명적인 위협은 네트워크 관리자들이 대응하지 못하는 숨겨진 상태로 머물게 되었다. 이런 위협들은 회사 직원들의 위험한 온라인 활동과 악의적인 해커들이 배포한 변종 공격 도구들에 의해 유발되고 있다.

또한 이것들은 고의적이지 않더라도 기업 네트워크에 취약점을 만들어 낸다. 강력한 보안 청사진 설계를 위해서는 자신의 네트워크에서 발생하는 활동에 대해 정확히 인지하고 완벽하게 이해하고 있어야 한다.

체크포인트 2013 시큐리티 리포트는 900여 개 회사들의 조사에 기초하여 기업과 조직의 네트워크에 숨겨진 위험 요소를 밝히고 있다. 주요 보안 위협은 다음과 같다.

△ 숨겨진 보안 위협

크라임웨어(Crimeware)에서 핵티비즘(Hacktivism)까지 사이버 공격들은 올해 계속해서 진화하며 모든 규모의 기업들에게 영향을 미치게 될 것으로 전망된다. 이번 조사에 다르면 63%의 기업들은 봇(Bot)에 감염된 바 있고, 그 중 절반 이상은 적어도 하루에 한번 새로운 멀웨어(Malware)에 감염되었던 것으로 나타났다. 이번 보고서는 악명 높은 봇넷을 포함하는 주요 위험 요소들의 리스트와 국가별 주요 멀웨어 위치, 주요 벤더들의 취약점과 노출 및 산출국별 SQL 감염 사건 등 놀라운 결과물들을 공개하고 있다.

△ 웹 2.0 어플리케이션의 위험성

웹 2.0의 변화는 해커들에게 기업 네트워크에 침투할 새로운 옵션들을 제공했다. 이번 조사에서 91%의 기업들은 보안 위험이 잠재된 어플리케이션을 사용하고 있음을 발견했다. 익명화 서비스(Anonymizer)와 P2P 애플리케이션, 파일 저장 및 공유 애플리케이션 및 주요 소셜 네트워크 등의 위험한 웹 애플리케이션들은 기업 네트워크에 뒷문을 열어줄 수 있다.

△ 데이터 손실 사고

최근 들어 기업과 조직의 데이터에 대한 접근성과 이동 가능성은 어느 때 보다 높아졌으며, 이는 더 많은 데이터 손실이나 유출로 이어진다. 절반 이상의 기업과 조직들은 적어도 1회 이상의 잠재적 정보 유출을 겪었다. 이번 보고서에서는 PCI 관련 정보뿐만 아니라 HIPAA 등의 보호되어야 할 의료정보까지 다양한 종류의 민감한 데이터 유출이나 손실을 다루었다. 또한 향후 정보 유출의 경향이 높은 산업들에 대해서도 밝혔다.

체크포인트코리아 박성복 지사장은 “이번 조사는 대다수의 조직과 기업들이 인식하지 못하고 있는 네트워크상의 취약점들과 보안 위험 요소들에 대해 다루었다”며 “이제 IT 전문가들은 봇넷부터 구성원이 사용하는 위험한 웹 애플리케이션과 정보 유출까지 진화하고 있는 보안 위협의 지속적인 흐름으로부터 기업과 조직을 보호할 수 있는 보안 청사진을 만들 수 있게 되었다”고 밝혔다.

체크포인트는 믿을 수 있는 보안 업계 리더로서 모든 규모의 조직과 기업이 비즈니스 요구에 맞는 보안 청사진과 아키텍처를 구현해 주고 있다. 체크포인트의 우수한 제품군들은 기업과 조직에게 이 보고서에서 확인된 모든 종류의 위협을 방지할 수 있는 멀티 레이어 보안을 제공한다.

IPS, 애플리케이션 컨트롤, URL 필터링, 안티 바이러스, 안티 봇 등의 소프트웨어 블레이드를 구동하는 체크포인트 보안 게이트웨이는 최신 위협을 방어하고 예방해 준다.

또한, 체크포인트 쓰렛클라우드는 소프트웨어 블레이드에 실시간 인텔리전스와 시그니처를 제공해 준다. 체크포인트 시큐어 웹 게이트웨이는 멀웨어가 우글거리는 웹사이트에 대한 접근과 익명화 서비스(Anonymizer)와 같은 고위험 애플리케이션의 사용을 차단한다. 그리고 체크포인트 DLP 소프트웨어 블레이드는 기업과 조직의 중요한 정보가 의도치 않게 손실 또는 유출되는 것을 선제적으로 막아준다.

HTML 태그에 대한 필터링 되지 않아 발생...다음 “신속히 조치중”

국내 대형 포털사이트인 다음의 카페·블로그에서 XSS(Cross Site Scripting) 보안 취약점이 발견되어 해당 사용자들의 주의가 필요하다.

이번에 발견된 취약점은 HTML 태그에 대한 필터링이 제대로 이루어지지 않아 발생하는 취약점으로 해당 서비스 사용자는 CSRF, 악성코드 배포, 하이재킹 공격 등 2, 3차 피해를 입을 수 있어 각별히 주의해야  한다.

이번 보안 취약점을 발견한 국제정보보안교육센터(i2sec) 황도경 씨는 “이번에 발견한 XSS취약점은 HTML 태그에 대한 적절한 필터링이 이뤄지지 않아 발생하는 취약점으로 상황에 따라 CSRF, 하이재킹, 악성코드 배포로 이어질 수 있어 주의해야 한다”면서 “현재 다음 측에 이러한 취약점 내용을 전달한 상황”이라고 설명했다. 

이어서 그는 “다음은 소규모 사이트가 아닌 대형 포털 사이트이기에 많은 사람들이 회원으로 가입돼 있고 이용자들 또한 매우 많다. 이에 경각심을 갖고 빠른 대응 조치를 취해야 한다고 생각한다”고 덧붙였다.

이번 다음의 XSS 취약점을 살펴보면 아래와 같다.

위의 그림처럼 해당 스크립트를 입력한 후 게시물을 등록할 수 있다. 그런 다음 사용자가 블로그를 방문하거나 카페의 게시물을 읽게 되면 브라우저에서 해당 스크립트가 정상적으로 동작되는 것을 확인할 수 있다.

     ▲ Explorer 9                              ▲ Chrome 24

       ▲ Opera 12

中 61398 해커부대, 우리나라 대상으로 사이버 공작 수행 확인돼

박근혜 정부 대중정책 영향...美-中 이어 韓-中 외교 분쟁 불씨 되나?

중국의 해커부대가 미국을 대상으로 대규모 사이버 공격을 감행한 것으로 드러나 미국과 중국 간에 긴장감이 고조되는 가운데 해당 부대가 한국을 타깃으로도 사이버 공작을 수행한 것으로 확인돼 큰 파장이 예상된다. 

맨디언트 사가 밝힌 인민해방군 61398부대가 2006년부터 전 세계를 대상으로 사이버 공격에 사용한 악성코드는 총 49개 시리즈가 있는 것으로 분석됐다.  

이렇듯 중국 해커부대가 사용한 이들 악성코드 시리즈 중에 일부가 한국을 타깃으로 한 공격에 사용된 정황이 국내 악성코드 추적 전문그룹인 이슈메이커스랩에 의해 확인된 것.  

해당 악성코드를 추적한 이슈메이커스랩의 최상명 수석연구원은 “기존에 추적하고 있던 몇몇 악성코드 시리즈가 중국에서 제작된 것으로 추정하고 있던 차에 이번 중국 해커부대의 존재를 통해 해당 악성코드가 그들에 의해 제작된 것을 알게 됐다”며, “그들이 제작한 악성코드 일부가 2011년경 국내에 사용된 정황을 확인했다”고 말했다.

국내에 사용된 악성코드는 61398 해커부대가 제작한 49개 시리즈 중 하나로 전 세계 항공우주산업과 방위산업관련 기관 및 기업을 대상으로 한 공격에 사용됐다는 게 최 수석의 설명이다. 해당 악성코드는 주로 PDF 문서와 워드 문서의 취약점을 이용해 이메일 첨부파일로 전달되는 형태의 APT 공격에 활용됐으며, 우리나라에도 이메일의 PDF 문서 첨부파일로 사용됐다.

악성코드는 유포할 때마다 해당 악성코드를 식별하기 위한 코드를 개별적으로 악성코드에 삽입·관리하는데, 국내에 사용된 악성코드에서 한국 국가코드 등 국내를 대상으로 관리한 흔적이 발견됐다는 얘기다.

해당 악성코드는 웹을 통한 HTTP 프로토콜을 기반으로 C&C 서버와 통신을 하며, 통신 시 데이터는 스트림 암호를 사용해 암호화한 후, BASE64로 인코딩해 통신하는 것으로 분석됐다. 

또한, 해당 악성코드는 OS 버전, 로그인된 사용자 정보, 하드디스크 용량 정보, CPU 정보 등의 시스템 정보를 전송하고, 추가 악성코드 다운로드 및 실행, 파일 수집 등 감염된 대상의 각종 정보를 수집하기 위한 목적으로 제작된 것으로 알려졌다. 

이슈메이커스랩 최상명 수석연구원은 “중국 해커부대뿐만 아니라 북한 해커부대 등 다양한 국가의 지원을 받는 해커조직들이 국내를 대상으로 공격을 하고 있지만, 정작 이러한 내용들이 추적 및 관리가 되지 않아 공격을 당한 것만 알고 실제 누가 어떤 목적으로 공격을 하고 있는지, 어떤 곳들이 대상인지 제대로 식별되지 못하고 있다”며, “국가적인 차원에서 관련 데이터베이스를 구축·식별할 수 있는 체계를 갖추고, 조직을 운영해 민·관·군에서 함께 정보를 공유하는 것이 절실히 필요한 시점”이라고 강조했다.

이렇듯 중국 해커부대가 우리나라까지 공격대상으로 삼은 것이 확인됨에 따라 25일 공식 출범하는 박근혜 정부의 향후 대중국 정책에도 적지 않은 영향을 미칠 것으로 보인다.  

중국서 과금형 악성코드 주의보...감염 시 원격 제어 가능해져

모바일 백신업체 NQ 모바일이 발견한 ‘빌 쇼커(Bill Shocker)’는 이미 중국 내 62만대의 스마트폰을 감염시켰고, 전세계 안드로이드 기기에 위협이 되고 있다.

빌 쇼커는 악성코드 제작자에 의해 설계된 SDK로, 텐센트(Tencent) QQ 메신저와 소후(Sohu) 뉴스 등 중국에서 가장 인기 있는 여러 앱을 감염시킨다. 감염 시 써드파티 앱과 여타 경로를 통해 추가적인 감염이 가능하다. 

이 악성코드는 모바일 기기 사용자가 알아차리지 못하도록 백그라운드로 다운로드된다. 감염된 후에는 연락처, 인터넷 연결, 그리고 전화 걸기와 문자 보내기 등 기기를 원격으로 제어하는 것이 가능해진다.

빌 쇼커에 감염돼 스마트폰이 좀비가 되면, 광고업체들이 수익을 올릴 수 있는 문자메시지를 전송하게 된다. 여러 사례에서, 스마트폰 사용자가 계약한 요금제에서 제공하는 수준을 넘어서기 때문에 사용자들이 추가 요금을 지불해야 하는 경우가 발생하고 있다.

NQ 모바일의 악성 앱 탐지 및 분석 시스템인 리스크랭커(RiskRanker)에 따르면, 빌 쇼커는 자체로 업그레이드할 수 있고, 다른 앱으로 자동 확장돼 잠재적인 위험성이 배가되는 것으로 알려졌다.

빌 쇼커는 요금이 부과되는 메시지를 원격으로 전송하는데 사용될 수 있기 때문에 NQ 모바일은 이 악성코드가 안드로이드 사용자들에게 심각한 위협이 될 것으로 예상하고 있다.

이에 스마트폰 전용 백신의 엔진을 수시로 업데이트하고 주기적으로 악성코드를 검사하며, 의심스러운 애플리케이션은 다운로드 받기 전에 반드시 리뷰 등 이용자가 스스로 올리는 평판을 확인할 것을 권고했다.

아울러 중국 이동 통신사들이 추가적인 확산을 막는데 적극 나서야 한다고 강조했다.