기업 대상 랜섬웨어에 문서 취약점 공격... 이스트시큐리티, 2020년 5대 보안이슈 발표

개인에서 기업으로 보안 공격 대상 변경... 다양한 경로로 침투 시도 예측

이스트시큐리티가 '2020년 예상 보안이슈 톱 5'와 '2019년 주요 보안이슈 톱 5'를 17일 발표했다.

이스트시큐리티는 갈수록 고도화된 수법을 활용하는 사이버 보안 위협 대비를 위해 △멀티 플랫폼이 활용된 공격 기법 확대 △개인에서 기업으로 랜섬웨어 공격타깃 변화 △조직에서 사용하는 관리 도구를 악용하는 공격 지속 △문서 파일 취약점을 활용한 스피어 피싱 고도화 △공급망 공격과 워터링 홀(Watering Hole) 공격 형태의 결합을 2020년 예상 보안이슈 톱 5로 꼽았다.

◇멀티 플랫폼이 활용된 공격 기법 확대

전통적인 이메일을 활용한 사회공학적 기법은 물론, 페이스북과 같은 SNS, 유튜브와 같은 동영상 사이트, 카카오톡 등을 통한 안드로이드 기반 악성 앱 전파 방식의 고도화 및 맞춤형 모바일 APT 공격의 범위가 확대될 전망이다. 맥OS 악성코드를 활용한 공격 역시 증가할 것으로 예상된다. 특히 국방·통일·외교·안보 및 대북 관계자를 겨냥한 표적 공격이 모바일로 집중될 것으로 보인다.

◇개인에서 기업으로 랜섬웨어 공격타깃 변화

불특정 다수에게 유포되던 랜섬웨어 공격은 점차 감소하는 추세를 보이고 있다. 다만, 향후 공격자들은 일단 공격에 성공하면 크게 수익을 낼 수 있는 자금력이 있는 기업을 타깃으로 하는 랜섬웨어 공격이 증가할 것으로 예상된다. 특히 서비스 범위가 넓은 인프라 제공업체 및 데이터저장소(DB) 등이 주요 타깃이 될 가능성이 높다.

◇조직에서 사용하는 관리 도구를 악용하는 공격 지속

윈도우관리도구(WMI), 원격접근 및 관리 툴, AD(ActiveDirectory), 계정관리 툴 등 조직에서 사용하는 정상적인 관리 도구 혹은 정상적인 관리 도구를 크래킹한 툴을 악용하는 방식으로 공격자들은 정상적인 프로세스로 가장하여 타깃에 조용히 접근할 것이다. 이러한 형태로 지속적이고 은밀하게 악성 행위를 수행하여, 정보를 탈취하고 APT 공격을 수행하는 시도가 2020년에도 지속적으로 나타날 것으로 예상된다.

◇문서 파일 취약점을 활용한 스피어 피싱 고도화

한글(.HWP), 워드(.DOC) 등의 문서 형식을 기반으로 한 스피어 피싱(Spear Phishing)은 전통적인 방식이지만 효과가 높은 공격 방식 중 하나로, 2020년에도 문서 파일 취약점을 활용한 공격이 지속될 것으로 전망된다. 보안 솔루션들이 문서 파일 취약점에 대한 대응 방법을 갖추기 시작함에 따라, 공격자들도 기존 공격 방식 활용과 더불어 보안솔루션을 우회 시도하는 새로운 고도화된 공격 기법이 도입할 것으로 전망된다. 따라서 조금이라도 의심스럽거나 신뢰하기 어려운 파일에 접근하지 않도록 각별한 주의가 요망된다.

◇공급망 공격과 워터링 홀 공격이 결합된 형태로 진화

기존 웹 취약점을 악용해 특정 타깃을 노리는 워터링 홀 공격에서 공급망 공격 형태의 개념이 결합된 형태로 공격 수법이 진화할 것으로 예상된다. 이 공격 수법은 정상 웹 사이트에 등록된 파일을 공격자가 악성 파일로 교묘히 바꿔치기해, 해당 분야의 웹 서비스를 이용하는 사용자들이 의심없이 악성 파일을 내려받도록 유도한다.
 

[사진=이스트시큐리티 제공]

이스트시큐리티는 올 한 해 발생한 주요 보안이슈 톱 5도 선정했다. 이스트시큐리티가 선정한 2019년 주요 보안이슈로는 △소디노키비(Sodinokibi)와 넴티(Nemty)의 등장과 갠드크랩(GandCrab) 운영 종료, △이모텟(Emotet) 악성코드의 급증 △다양한 형태로 사용자들의 계정정보를 수집하는 피싱 공격 성행 △꾸준히 유행하는 몸캠 피싱 △윈도7 운영체제(OS) 지원 종료 대응 이슈가 있다.

◇소디노키비와 넴티의 등장과 갠드크랩 운영 종료

2019년 가장 주목받은 랜섬웨어 이슈는 소디노키비와 넴티의 등장이었다. 새로운 랜섬웨어가 유행하고 유포됨에 따라 자연스럽게 2018년과 2019년 상반기를 대표하던 갠드크랩 공격이 감소하고, 소디노키비와 넴티가 이 자리를 대체했다. 소디노키비는 2019년 4월에 공개된 랜섬웨어로, 최초에는 오라클 웹로직(Oracle Weblogic)의 취약점을 악용하여 유포됐고, 이후 갠드크랩와 유사하게 이메일 첨부파일을 활용한 공격방식을 사용하고 있다. 한편, 넴티는 지난 8월 말 발견된 신종 랜섬웨어로, 네이버, 한메일 등 사용자들에게 친숙한 도메인의 피싱 메일을 통해 유포되며, 소디노키비와 함께 2019년 4분기 국내에 최다 유포된 랜섬웨어 중 하나다.

◇이모텟 악성코드의 급증

이모텟 악성코드는 금융정보를 탈취하기 위한 악성코드로, 2014년에 처음 발견되었다. 국내에서는 2018년 하반기부터 점차 증가하기 시작하였으며, 2019년 들어 여러 가지 공격을 조건에 맞춰 수행할 수 있는 형태로 변경되면서 유포가 크게 증가했다. 이러한 특징으로 인해, 최근 사이버범죄 단체의 악성코드 유포에도 이모텟 악성코드가 활용되고 있는 정황도 발견되고 있다. 이모텟 악성코드는 구매 송장, 유튜브 홍보, 수수료 등 다양한 내용으로 위장한 피싱 이메일을 통해 유포된다. 주로 기업의 공개된 이메일 주소를 통해 유포되고 있으며, 감염 시에는 정보 유출, 추가 악성코드 다운로드 등 다양한 피해가 발생하는 만큼 기업 담당자들의 각별한 주의가 요구되고 있다.

◇다양한 형태로 사용자들의 계정정보를 수집하는 피싱 공격 성행

2019년에도 국내 유명 포털 로그인 페이지, 특정 공공기관, 뉴스레터, 스마트폰 제작사, 기업 그룹 메일 등을 사칭하여, 그룹 계정 메일 혹은 개인 계정 메일 담당자들의 계정정보를 수집하려는 목적으로 피싱 공격이 성행했다. 공격자들은 국내 유명 포털 로그인 페이지를 위장한 계정정보 수집 및 SNS 로그인 페이지를 위장한 피싱 페이지뿐만 아니라, 특정 공공기관으로 위장하여 이름과 주민등록번호를 수집하기도 했다. 특히 공공기관으로 위장한 페이지에서는 사용자의 의심을 덜기 위해서 사용자가 입력한 이름과 주민등록번호를 활용하여 허위로 사건 기록 화면까지 만들어서 보여주는 정교함까지 보였다.

◇꾸준히 유행하는 몸캠 피싱

2013년경부터 등장하기 시작한 몸캠 피싱 앱은 최근까지 은밀하고 꾸준히 유포되고 있다. 몸캠 피싱을 시도하는 공격자들은 스마트폰 채팅 앱을 통해 피해자를 물색하고, 음란 화상 채팅을 유도해 피해자의 음란 행위를 녹화한다. 그리고 피해자의 스마트폰에 악성 앱 설치를 유도하여 지인의 연락처를 탈취한 후, 음란 행위 영상을 지인에게 유포하겠다고 협박 후, 금전을 갈취하는 공격 형태를 지속적으로 수행한다. 이러한 몸캠 피싱의 피해자 규모는 지속적으로 커지고 있으며, 채팅을 하는 상대방이 전달하는 앱은 어떠한 경우라도 설치하지 않아야 한다.

◇국내외 개인정보 유출 사례 지속

국내 업체는 물론 해외에서 유명한 SNS 업체 및 금융업체를 통해 수억 건 이상의 개인정보가 인터넷에 노출되거나 유출된 사건이 발생했으며, 데이터베이스 설정 오류 문제로 인한 국가 단위의 개인정보 유출이 발생한 사례도 존재했다. 2019년 6월 행정안전부에서는 개인정보 보호 조치 강화 차원에서 접속기록 항목을 구체적으로 명시하고 접속기록의 보관/관리 기간을 연장하는 등의 내용을 담은 개인정보 안전성 확보조치 기준을 개정했다. 또한, 개인정보 유출 시 피해자에게 손해배상 책임이행을 보장하기 위한 '개인정보 손해배상 책임보상제도'를 도입했으며 2019년 연말까지 계도기간으로 운영 중인 상황이다.