Offcanvas

보안

"사이버 스파이 그룹 ‘털라’, 위성 네트워크 취약점을 악용해 정체 숨겨"

2015.09.10 편집부  |  CIO KR
카스퍼스키랩이 사이버 스파이 그룹인 털라(Turla)가 그 활동과 위치를 은닉하며 탐지되지 않을 수 있었던 이유를 밝혀냈다. 털라는 철저히 정체를 숨기기 위해 그동안 글로벌 위성 네트워크의 보안 취약점을 활용했다는 분석이다. 

털라는 고도로 정교화 된 사이버 스파이 그룹으로, 지난 8년 이상 활동해 왔다. 털라 사이버 스파이 그룹은 카자흐스탄, 러시아, 중국, 베트남, 미국을 비롯해 45개 이상의 국가에서 수백 대의 컴퓨터를 감염시켰다. 공격 대상 조직의 유형으로는 정부 기관과 대사관, 군대, 교육 기관, 연구 조사 기관, 제약사 등이 있다.

회사에 따르면 털라의 공격은 초기 Epic 백도어가 공격 대상의 프로파일링을 시작한다. 그런 다음 중요도가 높은 공격 대상에 한해 공격자가 다음 단계에서 광범위한 위성 기반 통신 메커니즘을 사용한다. 이는 활동의 흔적을 감추는데 사용된다.

위성 통신은 대개 TV 방송과 보안 통신에 사용되는 것으로 알려져 있지만, 인터넷 액세스를 제공하는 역할도 하고 있다. 인터넷 연결이 불안정하거나 느리거나 아예 사용할 수 없는 외딴 지역에서 주로 위성 통신을 통한 인터넷 액세스 서비스가 사용된다. 위성 기반 인터넷 연결 중 가장 널리 사용되면서도 저렴한 방식은 다운스트림 전용 연결이다.

이 경우 사용자 PC의 송신 요청은 기존의 회선(유선 또는 GPRS 연결)을 통해 전달되고 모든 수신 트래픽은 위성을 통해 들어온다. 이 기술로 사용자는 비교적 빠른 속도로 다운로드를 실행할 수 있지만, 한 가지 단점이 있다. 모든 다운스트림 트래픽이 암호화되지 않은 상태로 PC로 돌아온다는 점이다. 굳이 비싼 장비나 소프트웨어를 사용하지 않더라도 적절한 장비만 있으면 누구나 악의를 가지고 간단하게 트래픽을 가로채어 사용자가 다운로드한 링크의 모든 데이터에 액세스할 수 있다.

털라 그룹은 이러한 취약점을 다른 방식으로 활용한다. 악성 코드 인프라에서 가장 중요한 부분인 C&C(명령/제어) 서버의 위치를 숨기는 데 사용한 것이다. C&C 서버는 공격 대상 시스템에 배포된 악성 코드의 ‘본거지’와도 같다. 이러한 서버의 위치를 찾아내면 조사자가 공격 배후의 행위자에 대한 상세 정보를 파악할 수 있다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.