Cappuccino sapiens

삼성 모바일 폰의 ‘내 디바이스 찾기’서 취약점 4개 발견

“비밀번호 하나로 돌려막는 당신을 노리는” 사전대입공격이란
'판매자 계정 도용' 신종 사기피해 급증…G마켓·옥션 '나몰라라'

팀뷰어, 심각한 보안취약점 주의…최신 버전으로 업데이트 해야

페이스북, 파이선 코드 분석 도구인 파이사를 오픈소스로 전환

트로이 헌트, ‘해브 아이 빈 폰드’를 오픈소스로 전환한다

병원 살리는 컨설턴트, “망하는 곳은 조직문화부터 고쳐야”

인공위성 해킹에 필요한 비용이 단돈 35만 원?

51% 공격으로 최악의 한주 보낸 ETC

[기고] 진화하는 인증 시장, 패스워드가 사라진다?!

High-Speed Trader Virtu Discloses $6.9 Million Hacking Loss

Shellshock은 2014년 9월에 공개된 제로데이 취약점(CVE-2014-6271)으로, 당시 같은 해에 등장한 OpenSSL의 Heartbleed 취약점과 마찬가지로 업계에 큰 파장을 주었습니다. 운영체제 명령어 인젝션 타입인 Shellshock은 NIST의 취약점 평가시스템 CVSS (Common Vulnerability Scoring System)에서 10점 만점에 10점을 받을 정도로 심각한 취약점 이었습니다.

Shellshock은 Debian GNU/Linux의 bash 쉘이 갖는 취약점으로, CGI (Common Gateway Interface) 환경에서 함수 실행시 입력 값을 검증하지 않음으로써 내부 시스템 명령어 실행이 가능하고, 이를 통해 패스워드 파일과 같은 내부 정보를 유출하거나, 특권 사용자로 권한을 상승하여 시스템을 장악할 수 있습니다.

Bash 쉘의 이러한 버그는 30년 동안 존재하였으며, 2014년에 ShellShock 취약점이 발견된 이후, 많은 서버에서 지속적으로 발견되어 왔습니다. 현시점에서 Shellshock 취약점은 발견될 당시보다는 그 위력이나 위험성이 낮을 것입니다. 하지만, 이러한 취약점이 기업의 어느 서버에 존재하는 한, 여전히 기업의 네트워크를 통해 시스템에 침투할 가능성은 존재하게 됩니다.

ShellShock과 같은 취약점은 공격이 간단하면서 공격에 많은 비용이 들지 않기 때문에 공격자들이 선호하는 취약점입니다. NTT의 “Global Threat Intelligence Report”에 따르면, 공격자들은 효과가 있었던 몇 년 전의 보안취약점을 악용하고 있는 것으로 조사되었습니다. 2018년 10월부터 2019년 9월간의 데이터를 분석한 결과, 많은 기업에서 Shellshock과 Heartbleed 취약점에 의한 공격을 경험한 것으로 나타났습니다. 보안 취약점을 악용한 공격 분포를 보면 다음과 같습니다.

- CVE-2014-6278 (GNU BASH, ShellShock), 60%

- CVE-2017-7269 (Microsoft Windows Server 2003 R2), 9%

- CVE-2018-1003 (Microsoft JET Database Engine), 4%

또한, '2020 IBM 엑스포스 위협 인텔리전스 인덱스' 보고서에 따르면 SW 취약점 스캐닝 및 취약점 공격 비율은 2018년 8%에서 지난해 30%로 급증한 것으로 조사됐으며, 해커들은 주로 마이크로소프트 오피스 및 윈도 서버 메시지 블록의 오래된 취약점을 악용한 것으로 나타났습니다.

제품 제조사는 CVE가 공개되기 이전에 패치된 버전을 빌드하며, 기업은 패치관리시스템을 통해 바로 업데이트가 가능합니다. 하지만, 여전히 많은 기업들이 적절한 패치관리시스템과 절차를 마련하고 있지 않으며, 여전히 잠재적인 보안취약점을 보유하고 있습니다.

기업은 보안위험분석을 통해, 취약점을 식별하고, 위험 우선순위에 따라 적합한 보안대책을 수립하여 대응할 필요가 있습니다. 보안위험분석 및 대책수립 단계는 다음과 같습니다.

- 잠재적인 취약점 진단을 통해 취약점을 식별합니다.

시스템 도입 및 업데이트, 네트워크 구조변경 등으로 인한 운영환경의 변경이 있을 경우, 그리고 주기적인 보안취약점 진단을 통해 취약점을 식별합니다. 대상은 네트워크, 시스템, DBMS, WEB/WAS, 운영체제, 응용프로그램, PC를 포함한 모든 IT시스템 및 S/W를 대상으로 합니다.   

- 취약점에 대한 심각도를 결정합니다.

취약점이라고 해서 모두 침해가 가능한 수준의 위험을 가지고 있는 것은 아닙니다. 시스템 및 운영환경에 따라, 취약점은 악용 가능한 수준으로 변경될 수 있어, 이에 대한 주기적인 모니터링이 필요합니다. 식별된 취약점을 모두 한꺼번에 제거하는 것은 과도한 자원(인력, 시간, 비용)낭비가 될 수 있으며, 서비스 운영에 영향을 줄 수도 있습니다. 따라서, 식별된 취약점에 대해 운영환경에 따른 심각도를 정하여 관리할 필요가 있습니다. 심각도는 기밀성, 무결성, 가용성에 따라 점수를 계산하기도 하며, 기업환경 및 서비스에 따라 합리적인 계산식을 사용해도 무방합니다.

- 잠재적인 보안영향에 대한 대응계획을 수립합니다.  

취약점 심각도(상, 중, 하)에 따라, 잠재적인 보안영향을 고려하여 단기, 중기, 장기적인 보안대책을 수립합니다. 취약점은 모두 제거하는 것이 바람직하나, 운영환경에 따라 기능을 대체 또는 운영환경 보완 등을 통해 취약점의 보안영향도를 낮 출 수도 있습니다.

암을 치료하는 방식은 직접적인 암을 제거하는 방식도 있지만, 적절한 식이요법과 약물치료를 통해 치료하는 방식도 있습니다. 잠재적인 보안취약점 역시, 식별하고 주기적인 모니터링과 영향도 측정을 통해 관리함으로써, 과도한 보안투자 없이 적절한 보안통제가 가능합니다. 다만, 이러한 보안취약점에 대한 진단, 심각도 측정, 보안계획 수립시 반드시 보안전문가의 의견을 청취할 필요가 있습니다.  

<참고자료>

1. Understanding the Shellshock Vulnerability

2. https://nvd.nist.gov/vuln/detail/CVE-2014-6271

3. https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2014-6271

4. 2020 IBM 엑스포스 위협 인텔리전스 인덱스

5. Attackers still exploiting old vulnerabilities, says NTT report

모든 윈도에 적용되는 ‘윈도 DNS 취약점’ 발견... 심각도 10.0

MS 오피스의 매크로 기능 통해 맥OS로 침투하는 것 가능하다

퀄컴 스냅드래곤에서 400개 넘는 취약점 나와 수천만 장비 위협

“북한, 가상화폐 1조8천억원 탈취…일부 현금화”

암호화폐 시장 강세 흐름 따라 늘어나는 '도둑들'

글로벌 칼럼 | 보안 데이터 폭증에 대비하기

클라우드 네이티브 환경을 위한 범용 정책 엔진 OPA의 이해
오픈 뱅킹이 ID 네트워크에 의미하는 것
[전문가 기고] 커스텀 플레이북 이용해 BAS를 실제 해커처럼 사용하기

[보안칼럼] 2020년 랜섬웨어 공격을 통해 알아본 6가지 특성과 보안대책
IBM, 다임러에 IBM 퍼블릭 클라우드 성공적 구축… 보안 강화 및 상호 관계 확대에 나서

FBI says an Iranian hacking group is attacking F5 networking devices

Hacked government, college sites push malware via fake hacking tools

TeamViewer Flaw Could Let Hackers Steal System Password Remotely

장마가 길어지면서 예상치 못한 집중호우로 인해 댐의 한계수용 수준마저 넘겨 버렸습니다. 급기야 8월 5일 부터 팔당댐과 의암댐을 시작으로 8월 9일 현재 청평댐, 춘천댐 등 거의 모든 댐이 댐방류를 하고 있습니다. 댐의 방류에 따라 인근 하류에 있는 마을과 농경지가 잠기고 주민들은 마을을 떠나 대피하고 있는 상황입니다.

정부의 적절한 통제와 조기 경보에 따라 신속하게 주민들이 대피함에 따라  사상자는 없었지만, 급격한 수위의 증가와 침수로 인해 재산적인 피해는 예상됩니다. 하지만, 최근 북한의 예고 없는 황강댐 방류와 같이 외부의 인위적인 요인과 홍수 관리시스템의 오류 또는 외부로 부터의 시스템 해킹 등이 발생할 경우 상당한 인명피해가 발생할 수 있습니다.

정부는 정보통신 시설 중 국가·사회적으로 중요한 시설에 대해 2001년도 부터 국가 주요정보통신 기반시설로 지정하여 관리하고 있으며, 2010년도 스턱스넷의 이란 원자력시설 공격 이후에는 제어시스템의 위험성에 대한 심각성을 인지한 후, 철도, 정수, 교통, 댐, 인공위성 등 OT (Operation Technology)시설에 대해서도 주요 정보통신 기반시설로 지정하여 관리하고 있습니다.

OT시설이 기존 수동제어 방식에서 전자제어 시스템으로 전환하고, 다시 최근에는 일반 IT기업 수준의 통신망과 IT시스템을 갖추게 됨에 따라, IT기업이 겪게 되는 동등 수준의 보안위협에 노출되어 있습니다. 특히나, 보안전문가가 부족하고 보안에 대한 대응체계 구축 및 운영경험이 상대적으로 적은 OT시설의 경우, 앞으로도 당분간은 사이버공격의 주요 타깃이 될 것으로 예상됩니다.

Ponemon 연구소에서 미국의 370개 오일 및 가스 보안전문가들을 대상으로 실시한 설문조사에 따르면, OT시설에 대한 보안전문가들의 근심이 어떤 것인지를 알 수 있습니다.

  - OT(Operation Technology)영역은 일반 IT영역보다 보안위협에 있어 더욱 심각

  - 공급망에 미치는 사이버 위험은 설명하기 어려울 정도

  - 많은 오일 및 가스회사들이 사이버공격과 보안사고에 대한 준비 부족

  - 가장 심각한 보안위협은 보안인식 부족과 내부자 위협

  - 사이버보안 대책은 변화하는 디지털화의 속도를 쫓아가지 못함
   (응답자의 35%만이 사이버보안에 대한 준비를 잘하고 있다고 응답)

2020년 상반기에 OT시설에서 발생한 주요 사이버공격과 멀웨어는 다음과 같습니다.

  - 1월, Ryuk 랜섬웨어 공격으로 30백만달러 손실, ICS 시스템 24~72시간 정지

  - 2월, ICS 프로세스 중단하는 EKANS 랜섬웨어 등장

  - 4월, 오일 및 가스 시설을 공격하는 Agent Tesla 스파이웨어 활동

오일 및 가스 시설을 포함한 OT시설에 대한 사이버 보안위협이 증가함에 따라, 보안을 강화하기 위한 투자가 무엇보다도 필요한 시기입니다. OT보안을 위해 필요한 요소는 다음과 같습니다.

  - 보안위험 분석 및 대책수립: OT보안전략 수립, 위험 및 취약점 평가, 보안대책 수립 및 이행

  - 가시성 확보: 모든 OT/ICS 장치 식별, N/W 및 보안구성 검토, 데이터 분석·분류, 데이터 접근 경로 확인

  - 데이터 보호 및 접근통제 강화: 데이터 및 단말 보호, OT 계정관리 및 접근 통제

  - 침해사고 분석 및 대응: OT SoC 구축 및 모니터링, 보안사고 대응 절차 자동화

< 참조 자료 >

 -  ICS 시스템의 프로세스 노리는 랜섬웨어, 에칸스 등장

 - April 2020’s Most Wanted Malware: Agent Tesla Remote Access Trojan Spreading Widely In COVID-19 Related Spam Campaigns

 - OT ICS/SCADA 보안위협에 따른 대응전략

금융 데이터전문기관, 신용정보원·금융보안원…정보결합·익명처리 적정성평가 수행

좀비 영화 ‘반도’, 토렌트로 불법 다운로드했다간... 좀비 PC 된다

허위 결제 내역 정보 이용한 국내 포털 ‘네이트’ 피싱 메일 발견

[글로벌-Biz 24] 퀄컴, '스냅드래곤 칩' 결함으로 안드로이드폰 10억대 데이터 유출 위험

Chinese hackers have pillaged Taiwan’s semiconductor industry

iPhones most at risk from hackers

Security Modernization for the Cloud

4. 시사적 현안의 무기화

공격자들은 COVID-19 팬데믹과 같은 이슈를 이용해 사용자들의 관심을 유발하여 암호화 멀웨어를 다운받도록 유도합니다. 지난 6월, 슬로바키아 보안회사인 ESET는 COVID-19 추적앱으로 위장한 CryCryptor를 발견했으며, 이 멀웨어는 안드로이드 폰의 파일을 암호화하는 기능이 포함되어 있다고 밝혔습니다.

COVID-19은 랜섬웨어 공격 흐름에 변화를 주었습니다. 팬데믹 이전에는 일반기업 대비 헬스케어 회사를 대상으로 한 랜섬웨어 공격이 크게 증가하는 추세였으나, COVID-19 팬데믹 이후 공격이 감소하였으며, 어떤 랜섬웨어는 병원을 공격하지 않도록 설계된 것들도 있었습니다. 공격자들은 규모가 큰 병원이나 헬스케어 센터를 공격대상으로 삼을 수 있으며, 희생자가 데이터 복구의 시급성을 필요로 할 경우에는 비용지불을 기대할 수 있을 것입니다.

5. 랜섬웨어 공격자들의 체포 수 증가

예전에는 개별적으로 암호화 멀웨어 공격을 시도하는 경우, 그럭저럭 정부당국의 감시를 회피할 수 있었습니다. 그러나 최근에는 사법당국이 랜섬웨어와 같은 보안위협 인텔리전스 공유 및 대응체계를 강화함에 따라 랜섬웨어 공격자들에 대한 체포 건수가 증가하였습니다.

6. 딥페이크 랜섬웨어

트랜드마이크로에 따르면, 랜섬웨어 뿐만 아니라 딥페이크와 관련된 컴퓨터 범죄가 지속적으로 증가할 것이라고 예측하고 있습니다. Malwarebytes 역시 랜섬웨어와 딥페이크가 조합된 “딥페이크 랜섬웨어“ 공격이 가능하다고 보고 있습니다. 

Malwarebytes는 저자이자 AI 전문가인 Paul Andrei Bricman와 함께 이러한 보안위협에 대한 가능성에 대해 논의하였으며, 그 중 한가지 가능성은 딥페이크 랜섬웨어 공격자가 웹사이트에 게시된 특정인물의 비디오로 가짜 비디오 생성하여, 돈을 지불하지 않으면 가짜 비디오를 공개하겠다고 협박할 수 있습니다.

다른 한가지 가능성은 공격자는 영상물과 랜섬웨어를 결합하여, 영상물에 접근하는 사용자의 컴퓨터를 감염시킬 수 있습니다. 이러한 공격은 2015년에 페이스북 사용자들을 유인하기 위해 제작된 “Hot Video“와 유사합니다.

Malwarebytes는 현재까지 실질적으로 이러한 공격이 발생한 사례를 없다고 밝혔지만, 이러한 공격이 발생할 경우 희생자의 명성에 치명적인 해를 가할 수 있을 것이라고 이야기 하고 있습니다. 

랜섬웨어 공격에 대한 대응전략

진행중인 공격을 탐지하는 것 만으로는 랜섬웨어 공격을 방어하기에 충분하지 않습니다. 다음은 추가적인 랜섬웨어 대응전략을 보여 줍니다.

1. 가시성 확보

IT환경에 대한 충분한 가시성을 확보하지 않으면 랜섬웨어 공격을 모니터링할 수 없습니다. 공격자들은 보안 취약점을 악용하여 끊임없이 시스템 접근권한 획득과 내부 네트워크로의 침투를 시도할 것입니다. 따라서, 자산관리시스템을 이용해 사용중인 모든 H/W 및 S/W를 파악하고, 인공지능이 결합된 네트워크 모니터링 솔루션을 통해 내부 네트워크에서 활동 중인 랜섬웨어와 같은 공격들을 감시합니다.

2. 보안인식 제고

많은 랜섬웨어 공격들은 사회공학기법을 이용한 피싱공격이나 IT 운영 실수를 악용하고 있습니다. 이러한 점을 감안하여, 임직원들에게 다른 사회공학 기술과 피싱공격에 대한 사례전파 및 모의훈련 등의 보안교육을 함으로써 이러한 보안위협을 상당히 감소시킬 수 있습니다.

3. 강력한 보안통제 구현

잘 훈련된 경우라도, 이메일이 정상적이라고 판단하여 피싱공격에 당할 수 있습니다. 따라서, 기업은 의심스러운 링크나 악성 도메인과 같은 보안위협을 자동으로 탐지하고 차단할 수 있는 스팸 방지 솔루션을 도입합니다. 또한, 절차적·관리적 접근통제를 수립하고 내재화하여 강력한 보안통제를 구현합니다.

4. 침해사고 대응계획 수립

랜섬웨어 공격자들은 기업의 방어막을 뚫기 위해 끊임없이 새로운 기술을 개발하고, 보안헛점의 기회를 엿보며 공격할 것입니다. 따라서,  보안사고에 대응할 수 있는 전문조직을 구성하고, 보안역량을 강화해야 합니다. 또한, 침해사고 대응계획을 수립하고 정기적인 운영 및 점검을 통해 보안사고 발생시 신속하게 대응할 수 있어야 합니다.

※ 원문: 6 Ransomware Trends You Should Watch for in 2020

해커, 'DoH' 악용해 데이터 훔쳤다

인공지능 도구들 오픈소스로 풀리는 바람에 딥페이크 위협이 코앞

[CSRC@KAIST 차세대보안R&D리포트] 퍼징과 인공지능

다크웹에 VPN 계정정보 수천 건 유출…韓기업도 포함

"보안 전문가 키우고 싶으면 형사처벌 없애라"

캐논 서버 랜섬웨어 해킹, 10TB 데이터 탈취?

트위터 "보안 취약성으로 안드로이드용 앱 업데이트"

[의료 정보보호] 박종환 삼성서울병원 CISO “상시 보안점검 이외 테마점검 필요”

[의료 정보보호] 류기청 국립암센터 정보보호팀장 “코로나19 시대, 의료기관 보안위협 증가”

중국 데이터 안전법 초안의 공표와 시사점

Capital One fined $80 million for 2019 hack of 100 million credit card applications

랜섬웨어 공격은 불법적으로 기업의 네트워크에 침입하여 데이터를 암호화하고, 이를 볼모로 금전적인 이득을 취할 목적으로 수행하고 있으며, 이로 인한 기업의 데이터 손실 및 유실 뿐만 아니라 금전적으로도 상당히 심각한 피해를 주고 있습니다.

미국의 디지털 보안 및 데이터복구 회사인 Datto는 랜섬웨어로 인해 발생한 서비스 정지 등에 따른 기업의 피해는 년간 7천5백억달러(약 8조9천억원)에 달한다고 합니다. 그 외의 자료에 따르면, 랜섬웨어로 인해 기업은 시간당 평균 8천 5백달러의 손실(Govtech 조사결과)과, 크립토 멀웨어 사고당 65.645백달러의 비용손실이 발생한다(Coveware조사결과)고 이야기 하고 있습니다. 최근 스마트 기기 제조사인 가민은 랜섬웨어 공격을 당했으며, 8월 5일, 데이터 복구조건으로 해커에게 1천만 달러를 지불했다고 밝혔습니다.

랜섬웨어 공격은 새로운 상품개발을 저해하고 금전적인 피해로 인해 기업운영에 막대한 차질을 가져오고 있습니다. 따라서, 기업은 이러한 랜섬웨어 공격을 잘 이해하고 대응할 필요가 있습니다. 우선적으로 최근에 발생한 랜섬웨어 공격을 통해 변화된 공격패턴을 이해하는 것이 중요합니다. 여기서는 2020년에 발생한 랜섬웨어 공격을 통해 6가지 주요 공격특성에 대해 살펴보고, 대응방안에 대해 알아 보고자 합니다.

1. 데이터 탈취 및 공개 협박

최근 몇 년까지만 해도 데이터 백업은 랜섬웨어 공격자의 데이터 랜섬을 묵살하고, 추가 비용없이 데이터를 복구함으로써 빠르게 서비스를 정상화하는 랜섬웨어 공격 대응기법 중 하나였습니다. 하지만, 최근에 와서는 데이터백업만으로는 랜섬웨어에 대한 공격에 대응할 수 없는 사건들이 발생하고 있습니다.

2019년 11월, 컴퓨터 장애를 해결해주는 Bleeping Computer의 웹사이트에 2십만명 이상의 직원을 보유한 보안인력회사의 네트워크에 Maze 랜섬웨어 공격이 발생했다는 글이 올라왔습니다. 공격자는 해당회사의 데이터를 암호화하기전에 외부 서버에 복사하고, 돈을 지불하지 않으면 데이터를 온라인에 공개하겠다고 협박하였습니다. 이러한 공격수법은 기존의 데이터 백업을 통한 복구를 무색하게 하였습니다.

이후 다른 랜섬웨어 역시 데이터 백업을 우회하고 랜섬을 거부하는 희생자를 협박하는 방식으로 진화를 해오고 있습니다. 이들 멀웨어 갱단들은 Maze의 데이터 유출과 데이터 공개 협박이라는 방식을 따랐으며, 올해 3월과 4월에 미국의 제조사와 헬스케어 회사를 공격할 때 이와 같은 수법을 사용했습니다.

2. 서로 다른 랜섬웨어와의 협업 증가

Maze는 암호화 멀웨어를 통해 이익을 극대화했다고 할 수 있을 정도는 아니었습니다. 랜섬웨어 군들은  몇몇의 변종들이 컴플라이언스를 준수하지 않는 기업의 데이터를 유출하고 위협하는 방식으로 진화했습니다. 2020년 6월 초 Bleeping Computer에 따르면, 보안회사인 KeLa는 한 건축회사의 데이터가 ”Maze News” 데이터 유출 웹사이트에 추가된 것을 발견하였으며, 훔친 데이터는 Maze의 공격에 의한 것이 아닌, LockBit RaaS (Ransomware-as-a-service) 플랫폼에 의해 감염된 데이터라고 전했습니다. 공격자들은 데이터 유출 플랫폼을 공유하고 덜 완성된 랜섬웨어 실행자들의 경험을 얻기 위해 LockBit와의 협업을 결정했다고 밝혔습니다.

3. 다른 유형의 멀웨어와 공조

랜섬웨어와 다른 형태의 멀웨어간의 공조는 탐지를 더욱 어렵게 하고 공격의 성공률을 높이게 됩니다. 이러한 공격형태는 2020년 상반기에 나타났습니다. 지난 3월, Bleeping Computer는 윈도우 시스템 성능향상 유틸리티를 다운받을 수 있는 포털을 통해 멀웨어가 유포되고 있음을 발견하였습니다. 일단 프로그램을 다운받으면 ”file2.exe” 파일과 함께 데이터를 암호화하는 ”coronavirus ransomware” 파일이 자동으로 다운로드 됩니다. 이 멀웨어는 ”file1.exe”파일과 함께 패스워드 유출 멀웨어를 배포하는 Kpot이라는 멀웨어에 랜섬웨어 멀웨어를 추가한 것으로, 감염된 컴퓨터로 부터 데이터를 훔친 후, 공격자가 미리 장악한 서버에 데이터를 전송합니다.      

2020년 5월, 보안솔루션 회사인 Group-IB는 PwndLocker랜섬웨어군의 후속 버전인 ProLock를 발견하였습니다. 이 공격은 두 종류의 초기 접근 벡터 중 한나를 선택하고, 공격 대상의 RDP(Remote Desktop Protocol) 서버에 접근하기 위해 약한 인증정보를 공격하였습니다. 어떤 경우에는 Qakbot를 문서에 심어 보내기도 했으며, 이후 프로세스 인젝션 기술을 실행하거나 .BMP 또는 .JPG파일에 숨겨진 ProLock 페이로드를 불러오기 위해 explorer.exe를 사용하는 등 다양한 전술을 시도했습니다.

※ 원문: 6 Ransomware Trends You Should Watch for in 2020