러시아의 우크라이나 침공은 ‘의도하지 않은 결과의 법칙’을 가장 예상치 못한 방식으로 보여줬다. 현재 전 세계적으로 가장 왕성하게 활동하는 랜섬웨어 공격 집단이 우크라이나 침공을 공개적으로 지지했다가 역풍을 맞아 운영 능력에 일시적으로 타격을 입었고, 그 과정에서 랜섬웨어 공격 집단의 내밀한 정보가 대량으로 노출되는 전례 없는 결과를 낳았다. 콘티 랜섬웨어란? 암호화 기술이 발전하면서 새로운 애플리케이션과 비즈니스 모델이 등장했다. 달갑지 않지만 랜섬웨어가 대표적이다. 클라우드 컴퓨팅과 결합한 치명적인 변종인 RaaS(Ransomware-as-a-Service)도 나타났다. RaaS 기법을 사용하는 공격자 가운데 2021년 가장 큰 성공을 거둔 집단이 바로 러시아 기반의 콘티(Conti)다. 랜섬웨어의 기본적인 전제는 컴퓨터 시스템의 데이터를 암호화해서 해독 키를 가진 사람만 데이터를 해독할 수 있는 상태로 만드는 것이다(콘티의 경우 AES-256 변형). 그런 다음 이 해독 키를 피해자에게 판매하는 수법을 사용한다. 훔친 데이터를 공개하겠다고 위협하는 이중 갈취(dual-extortion)와 결합되는 경우도 많다. 콘티는 이런 기본 ‘비즈니스 모델’을 정교하게 다듬어 2021년에만 2억 달러에 가까운 금액을 갈취했다. 기본적인 랜섬웨어 개념에서 다양한 변형이 파생됐다. 가장 두드러진 공격 세력은 조직화된 범죄 집단이다. 이런 범죄 조직의 상당수는 러시아 정보국의 암묵적인(또는 명시적인) 승인 하에 러시아에 본거지를 두고 활동하는 것으로 알려졌다. 이들은 러시아 내의 기업은 공격하지 않는 경우가 많다. 2021년 콜로니얼 파이프라인에 대한 공격은 콘티의 소행은 아니었지만, 랜섬웨어 문제에 대한 많은 관심과 정부의 전면적인 규제 대응을 촉발했다. 이 공격으로 미국 석유 인프라의 상당 부분이 랜섬웨어에 장악됐으며 콜로니얼 파이프라인은 범죄 조직이 요구한 75BTC를 지불했다. (이후 미국 연방수사국이 몸값의 상당 부분을...
2022.04.06
러시아의 우크라이나 침공은 ‘의도하지 않은 결과의 법칙’을 가장 예상치 못한 방식으로 보여줬다. 현재 전 세계적으로 가장 왕성하게 활동하는 랜섬웨어 공격 집단이 우크라이나 침공을 공개적으로 지지했다가 역풍을 맞아 운영 능력에 일시적으로 타격을 입었고, 그 과정에서 랜섬웨어 공격 집단의 내밀한 정보가 대량으로 노출되는 전례 없는 결과를 낳았다. 콘티 랜섬웨어란? 암호화 기술이 발전하면서 새로운 애플리케이션과 비즈니스 모델이 등장했다. 달갑지 않지만 랜섬웨어가 대표적이다. 클라우드 컴퓨팅과 결합한 치명적인 변종인 RaaS(Ransomware-as-a-Service)도 나타났다. RaaS 기법을 사용하는 공격자 가운데 2021년 가장 큰 성공을 거둔 집단이 바로 러시아 기반의 콘티(Conti)다. 랜섬웨어의 기본적인 전제는 컴퓨터 시스템의 데이터를 암호화해서 해독 키를 가진 사람만 데이터를 해독할 수 있는 상태로 만드는 것이다(콘티의 경우 AES-256 변형). 그런 다음 이 해독 키를 피해자에게 판매하는 수법을 사용한다. 훔친 데이터를 공개하겠다고 위협하는 이중 갈취(dual-extortion)와 결합되는 경우도 많다. 콘티는 이런 기본 ‘비즈니스 모델’을 정교하게 다듬어 2021년에만 2억 달러에 가까운 금액을 갈취했다. 기본적인 랜섬웨어 개념에서 다양한 변형이 파생됐다. 가장 두드러진 공격 세력은 조직화된 범죄 집단이다. 이런 범죄 조직의 상당수는 러시아 정보국의 암묵적인(또는 명시적인) 승인 하에 러시아에 본거지를 두고 활동하는 것으로 알려졌다. 이들은 러시아 내의 기업은 공격하지 않는 경우가 많다. 2021년 콜로니얼 파이프라인에 대한 공격은 콘티의 소행은 아니었지만, 랜섬웨어 문제에 대한 많은 관심과 정부의 전면적인 규제 대응을 촉발했다. 이 공격으로 미국 석유 인프라의 상당 부분이 랜섬웨어에 장악됐으며 콜로니얼 파이프라인은 범죄 조직이 요구한 75BTC를 지불했다. (이후 미국 연방수사국이 몸값의 상당 부분을...
2022.04.06
교육을 하고 경고를 해도 사람들은 사회공학 기법에 여전히 속는다. 설상가상으로 사이버 범죄자들은 새로운 공격을 시도하고 있다. 사회공학 기법에 당하는 이유를 팬데믹 피로, 원격근무 또는 너무 많은 정보 탓으로 돌릴 순 있지만 이를 식별하는 것 자체를 방심하는 직원들이 많은 것 같다. 프루프포인트(Proofpoint)에 따르면 사이버 범죄자들은 지난해 재작년보다 더 많이 사회공학 해킹에 성공했다. 보안 전문가 3,500명을 대상으로 한 설문조사에 의하면 2021년 기업의 무려 80% 이상이 이메일 피싱 공격을 경험했다. 2020년보다 46%나 급증한 수치다. 보안업체 프린시플 로직(Principle Logic)의 수석 컨설턴트 케빈 비버는 “오늘날 수많은 혼란과 소음으로 오토파일럿 상태인, 즉 (사회공학 기법을 주의하는) 시늉만 하는 사람이 많다. 이로 인해 공격자는 자신이 우위에 있다는 사실을 알고 있다”라고 지적했다. 스탠퍼드 대학 연구진에 따르면 데이터 유출의 약 88%가 직원의 실수로 발생한다. 피싱에 속는 이유로는 주의 산만(45%)이 가장 많이 꼽혔다. 아울러 원격근무자의 57%는 재택근무를 할 때 주의가 더 산만하다고 답했다. 피싱 이메일을 클릭하는 가장 큰 이유는 합법적인 이메일이나 고위 경영진 또는 유명 브랜드에서 보낸 이메일이라고 인식하기 때문이다. 인간의 실수로 인한 침해의 결과는 그 어느 때보다 크다. 프루트포인트는 2021년 랜섬웨어에 직접 연결된 맬웨어 페이로드를 포함한 약 1,500만 건의 피싱 메시지를 확인했다고 밝혔다. 소포스(Sophos)에 의하면 2021년 랜섬웨어 공격에 따른 평균 총 복구 비용은 미화 185만 달러에 달했다. 직원들은 왜 (과거와) 똑같은 오래된 수법에도 여전히 속아 넘어가는 걸까? 노우비4(KnowBe4)의 CEO 스투 스주워만은 지난 2016년 사람들이 사회공학 기법에 넘어가게 만드는 7가지 치명적인 약점(호기심, 예의, 잘 속음, 탐욕, ...
사회공학 해킹 소셜 엔지니어링 사이버 공격 랜섬웨어 악성코드 악성 소프트웨어 이메일 피싱 피싱 공격 전화 피싱
2022.03.30
교육을 하고 경고를 해도 사람들은 사회공학 기법에 여전히 속는다. 설상가상으로 사이버 범죄자들은 새로운 공격을 시도하고 있다. 사회공학 기법에 당하는 이유를 팬데믹 피로, 원격근무 또는 너무 많은 정보 탓으로 돌릴 순 있지만 이를 식별하는 것 자체를 방심하는 직원들이 많은 것 같다. 프루프포인트(Proofpoint)에 따르면 사이버 범죄자들은 지난해 재작년보다 더 많이 사회공학 해킹에 성공했다. 보안 전문가 3,500명을 대상으로 한 설문조사에 의하면 2021년 기업의 무려 80% 이상이 이메일 피싱 공격을 경험했다. 2020년보다 46%나 급증한 수치다. 보안업체 프린시플 로직(Principle Logic)의 수석 컨설턴트 케빈 비버는 “오늘날 수많은 혼란과 소음으로 오토파일럿 상태인, 즉 (사회공학 기법을 주의하는) 시늉만 하는 사람이 많다. 이로 인해 공격자는 자신이 우위에 있다는 사실을 알고 있다”라고 지적했다. 스탠퍼드 대학 연구진에 따르면 데이터 유출의 약 88%가 직원의 실수로 발생한다. 피싱에 속는 이유로는 주의 산만(45%)이 가장 많이 꼽혔다. 아울러 원격근무자의 57%는 재택근무를 할 때 주의가 더 산만하다고 답했다. 피싱 이메일을 클릭하는 가장 큰 이유는 합법적인 이메일이나 고위 경영진 또는 유명 브랜드에서 보낸 이메일이라고 인식하기 때문이다. 인간의 실수로 인한 침해의 결과는 그 어느 때보다 크다. 프루트포인트는 2021년 랜섬웨어에 직접 연결된 맬웨어 페이로드를 포함한 약 1,500만 건의 피싱 메시지를 확인했다고 밝혔다. 소포스(Sophos)에 의하면 2021년 랜섬웨어 공격에 따른 평균 총 복구 비용은 미화 185만 달러에 달했다. 직원들은 왜 (과거와) 똑같은 오래된 수법에도 여전히 속아 넘어가는 걸까? 노우비4(KnowBe4)의 CEO 스투 스주워만은 지난 2016년 사람들이 사회공학 기법에 넘어가게 만드는 7가지 치명적인 약점(호기심, 예의, 잘 속음, 탐욕, ...
2022.03.30
‘로키로커(LokiLocker)’라고 불리는 신종 랜섬웨어가 작년 8월부터 사이버 범죄자 사이에서 서서히 인기를 끌고 있다는 연구 결과가 나왔다. 이 악성 프로그램은 흔치 않은 코드 난독화 기술을 사용하며, 공격 대상을 타깃으로 쓸 수 있는 파일 삭제 구성요소를 포함한다. 블랙베리(BlackBerry)의 리서치 앤 인텔리전스 팀(Research & Intelligence Team)이 3월 16일 발표한 보고서에 따르면 로키로커는 영어를 사용하는 피해자와 윈도우 PC를 타깃으로 하는 비교적 새로운 랜섬웨어 제품군이다. 이 위협은 지난 2021년 8월 중순 처음 발견됐다. 보고서는 “2016년에 악명 높았던 ‘로키(Locky)’라는 오래된 랜섬웨어 제품군이나 인포스틸러인 로키봇(LokiBot)과 혼동해서는 안 된다. 록빗(LockBit) 랜섬웨어와 몇 가지 유사점(레지스트리 값, 랜섬 노트 파일 이름)을 공유하지만 직계는 아닌 것으로 보인다”라고 밝혔다. 지금까지 로키로커의 서비스형 랜섬웨어(RaaS) 오퍼링은 소수의 협력자(몸값을 챙기기 위해 랜섬웨어를 배포하는 사이버 범죄자 또는 사이버 범죄 그룹)와만 공유된 것으로 조사됐다. 블랙베리 연구진은 현재 로키로커를 공유한 협력자는 약 30명 수준이라고 추정했다. ‘로키로커’의 기술 로키로커는 닷넷 프로그래밍 언어로 작성됐지만 코드는 코이VM(KoiVM)과 결합된 컨퓨저EX(ConfuserEx)의 수정된 버전으로 난독화됐다. 닷넷 애플리케이션용 오픈소스 코드 보호기인 코이VM과 컨퓨저EX는 리버스 엔지니어링을 어렵게 만들어 상용 애플리케이션의 독점 소스코드를 보호한다. 하지만 때때로 악성 소프트웨어 개발자는 보안 프로그램 및 연구진의 탐지를 피하기 위해 이러한 프로그램을 사용한다. “로키로커는 코이VM을 닷넷 애플리케이션의 가상화된 보호기로 사용한다. 이는 분석을 복잡하게 만드는 흔치 않은 방법이다. 아직 다른 위협 행위자가 이런 방식을 활용하는...
랜섬웨어 악성 소프트웨어 악성코드 로키로커 블랙베리 서비스형 랜섬웨어 닷넷 사이버 범죄 맬웨어
2022.03.17
‘로키로커(LokiLocker)’라고 불리는 신종 랜섬웨어가 작년 8월부터 사이버 범죄자 사이에서 서서히 인기를 끌고 있다는 연구 결과가 나왔다. 이 악성 프로그램은 흔치 않은 코드 난독화 기술을 사용하며, 공격 대상을 타깃으로 쓸 수 있는 파일 삭제 구성요소를 포함한다. 블랙베리(BlackBerry)의 리서치 앤 인텔리전스 팀(Research & Intelligence Team)이 3월 16일 발표한 보고서에 따르면 로키로커는 영어를 사용하는 피해자와 윈도우 PC를 타깃으로 하는 비교적 새로운 랜섬웨어 제품군이다. 이 위협은 지난 2021년 8월 중순 처음 발견됐다. 보고서는 “2016년에 악명 높았던 ‘로키(Locky)’라는 오래된 랜섬웨어 제품군이나 인포스틸러인 로키봇(LokiBot)과 혼동해서는 안 된다. 록빗(LockBit) 랜섬웨어와 몇 가지 유사점(레지스트리 값, 랜섬 노트 파일 이름)을 공유하지만 직계는 아닌 것으로 보인다”라고 밝혔다. 지금까지 로키로커의 서비스형 랜섬웨어(RaaS) 오퍼링은 소수의 협력자(몸값을 챙기기 위해 랜섬웨어를 배포하는 사이버 범죄자 또는 사이버 범죄 그룹)와만 공유된 것으로 조사됐다. 블랙베리 연구진은 현재 로키로커를 공유한 협력자는 약 30명 수준이라고 추정했다. ‘로키로커’의 기술 로키로커는 닷넷 프로그래밍 언어로 작성됐지만 코드는 코이VM(KoiVM)과 결합된 컨퓨저EX(ConfuserEx)의 수정된 버전으로 난독화됐다. 닷넷 애플리케이션용 오픈소스 코드 보호기인 코이VM과 컨퓨저EX는 리버스 엔지니어링을 어렵게 만들어 상용 애플리케이션의 독점 소스코드를 보호한다. 하지만 때때로 악성 소프트웨어 개발자는 보안 프로그램 및 연구진의 탐지를 피하기 위해 이러한 프로그램을 사용한다. “로키로커는 코이VM을 닷넷 애플리케이션의 가상화된 보호기로 사용한다. 이는 분석을 복잡하게 만드는 흔치 않은 방법이다. 아직 다른 위협 행위자가 이런 방식을 활용하는...
2022.03.17
오늘날 사이버 범죄자는 혼자 해킹에 나서기보다 랜섬웨어 갱단 등의 조직적이고 불법적인 비즈니스로 자리매김하고 있다. 점점 더 많은 랜섬웨어 그룹이 등장하고 있으며, 기존 그룹은 주요 기업을 해킹하면서 계속 성장하고 있다. 랜섬웨어 갱단, 강탈 그룹, 디도스 공격자의 성공률 증가는 결코 우연이 아니다. 그 이면에는 다양한 계층의 위협 행위자로 구성된 조직적인 구조가 있다. 이들은 최종 목표를 달성하고 각자의 몫을 받기 위해 협력한다. 초기 액세스 브로커(Initial Access Broker; IAB) IAB는 엔터프라이즈 액세스 권한을 구매자(다른 공격자)에게 판매하는 위협 행위자 계층이다. 데이터 유출 시장, 포럼, 폐쇄적인 메시징 앱 채널과 채팅 그룹 등에서 활동한다. 하지만 IAB는 데이터 유출, 암호화, 삭제 등의 후속적인 활동을 수행하진 않는다. 영업 비밀을 훔칠 것인지, 랜섬웨어를 배포할 것인지, 스파이웨어를 설치할 것인지, 데이터를 유출할 것인지 등 이 액세스 권한을 악용할 방식을 결정하는 건 구매자의 몫이다. 클라우드용 암호 없는 인증 서비스 업체 클라우드 라디우스(Cloud RADIUS)의 수석 소프트웨어 엔지니어 벤 리차드슨은 “과거에 IAB는 주로 기업 데이터를 파괴하거나 IP 또는 재무 데이터를 훔치려는 범죄자에게 해당 기업의 액세스 권한을 판매했다”라며, “이때는 공격 횟수가 적었기 때문에 수요가 많지 않았다. 일반적으로 스파이 행위 및 절도를 위해 비즈니스 경쟁업체에서 고용하는 경우가 많았다”라고 설명했다. 이어서 그는 랜섬웨어 시대가 기하급수적인 ‘IAB’ 수요 증가를 초래했다고 언급했다. IAB는 이제 랜섬웨어 갱단에 고용돼 갱단이 기밀 파일을 암호화하고 백업을 파괴할 수 있도록 타깃 회사를 해킹하고 있다. 서비스형 X(X as a service) 현재, ‘서비스형 X(X-as-a-Service)’라는 용어는 비교적 새로운 비즈니스 모델을 구성하는 서비스형...
사이버 범죄 사이버 범죄 그룹 초기 액세스 브로커 IAB 서비스형 랜섬웨어 데이터 브로커 랜섬웨어 갱단
2022.03.16
오늘날 사이버 범죄자는 혼자 해킹에 나서기보다 랜섬웨어 갱단 등의 조직적이고 불법적인 비즈니스로 자리매김하고 있다. 점점 더 많은 랜섬웨어 그룹이 등장하고 있으며, 기존 그룹은 주요 기업을 해킹하면서 계속 성장하고 있다. 랜섬웨어 갱단, 강탈 그룹, 디도스 공격자의 성공률 증가는 결코 우연이 아니다. 그 이면에는 다양한 계층의 위협 행위자로 구성된 조직적인 구조가 있다. 이들은 최종 목표를 달성하고 각자의 몫을 받기 위해 협력한다. 초기 액세스 브로커(Initial Access Broker; IAB) IAB는 엔터프라이즈 액세스 권한을 구매자(다른 공격자)에게 판매하는 위협 행위자 계층이다. 데이터 유출 시장, 포럼, 폐쇄적인 메시징 앱 채널과 채팅 그룹 등에서 활동한다. 하지만 IAB는 데이터 유출, 암호화, 삭제 등의 후속적인 활동을 수행하진 않는다. 영업 비밀을 훔칠 것인지, 랜섬웨어를 배포할 것인지, 스파이웨어를 설치할 것인지, 데이터를 유출할 것인지 등 이 액세스 권한을 악용할 방식을 결정하는 건 구매자의 몫이다. 클라우드용 암호 없는 인증 서비스 업체 클라우드 라디우스(Cloud RADIUS)의 수석 소프트웨어 엔지니어 벤 리차드슨은 “과거에 IAB는 주로 기업 데이터를 파괴하거나 IP 또는 재무 데이터를 훔치려는 범죄자에게 해당 기업의 액세스 권한을 판매했다”라며, “이때는 공격 횟수가 적었기 때문에 수요가 많지 않았다. 일반적으로 스파이 행위 및 절도를 위해 비즈니스 경쟁업체에서 고용하는 경우가 많았다”라고 설명했다. 이어서 그는 랜섬웨어 시대가 기하급수적인 ‘IAB’ 수요 증가를 초래했다고 언급했다. IAB는 이제 랜섬웨어 갱단에 고용돼 갱단이 기밀 파일을 암호화하고 백업을 파괴할 수 있도록 타깃 회사를 해킹하고 있다. 서비스형 X(X as a service) 현재, ‘서비스형 X(X-as-a-Service)’라는 용어는 비교적 새로운 비즈니스 모델을 구성하는 서비스형...
2022.03.16
비트코인을 품어내는 움직임이 그 어느 때보다 활발하다. AT&T, 마이크로소프트, 비자, 페이팔과 같은 기업들이 비트코인 결제를 수용하고 있으며, 심지어 소규모 기업들도 암호화폐에 뛰어들고 있다. HSB 조사에 따르면 미국 중소기업 중 3분의 1이 암호화폐를 결제수단으로 받아들이고 있는 것으로 나타났다. 만약 당신이 비트코인 투자자라면, 이것은 분명히 좋은 소식일 것이다. 호구가 계속 생겨난다는 증거이기 때문이다. 비트코인을 비토하는 이유가 뭐냐고? 왜냐하면 사기이기 때문이다. 항상 그래왔고, 앞으로도 그럴 것이다. 그것으로 충분하다. 비트코인은 신용화폐를 가진 은행과 같은 중개기관에 의존하지 않고 블록체인 보안 원장을 통해 직접 사고 팔고 환전할 수 있는 탈중앙화된 디지털 화폐다. 그것은 정부에 대한 신뢰 대신 암호 증명을 사용한다. 하지만, 신용화폐와 마찬가지로 결국 그것의 가치는 소유자의 시각에 달려 있다. 그렇다면 무엇이 문제일까? 보스턴대학 글로벌 개발정책 센터의 비상근 선임연구원인 로버트 맥컬리가 최근 설명한 것처럼 비트코인을 폰지 사기에 비유하는 것은 너무 호의적으로 표현하는 셈이 된다. “사실 폰지나 베르니 매도프(Bernie Madoff)와 달리, 비트코인은 수익 창출 자산이 아니라 영속 제로쿠폰으로 판매된다”라고 그는 표현했다. 다시 말해, 비트코인의 가치는 비트코인을 다른 사람에게 파는 것에서 비롯되기 때문에, 비트코인의 보유에 대한 수익을 아무도 보장하지 않는다. 어떤 가격에도 비트코인을 사려는 사람이 없는 날이 오면 어떻게 되겠는가? 바닥이 없다. 비트코인은 하루아침에 아무런 가치를 갖지 못할 수도 있다. 맥컬리는 비트코인에 대해 “궁극적으로 폰지 사기라기보다는 저가주에 대한 펌프 앤 덤프 사기처럼 보인다”라고 표현하며 다음과 같이 설명했다. “펌프 앤 덤프 사기에서, 트레이더들은 기본적으로 가치가 없는 주식을 구입하여, 그것을 띄워주고, 아마도 자신들끼리 가격을 높여서 거래한 후, 소문이나 가격 행동에 이...
2022.02.04
비트코인을 품어내는 움직임이 그 어느 때보다 활발하다. AT&T, 마이크로소프트, 비자, 페이팔과 같은 기업들이 비트코인 결제를 수용하고 있으며, 심지어 소규모 기업들도 암호화폐에 뛰어들고 있다. HSB 조사에 따르면 미국 중소기업 중 3분의 1이 암호화폐를 결제수단으로 받아들이고 있는 것으로 나타났다. 만약 당신이 비트코인 투자자라면, 이것은 분명히 좋은 소식일 것이다. 호구가 계속 생겨난다는 증거이기 때문이다. 비트코인을 비토하는 이유가 뭐냐고? 왜냐하면 사기이기 때문이다. 항상 그래왔고, 앞으로도 그럴 것이다. 그것으로 충분하다. 비트코인은 신용화폐를 가진 은행과 같은 중개기관에 의존하지 않고 블록체인 보안 원장을 통해 직접 사고 팔고 환전할 수 있는 탈중앙화된 디지털 화폐다. 그것은 정부에 대한 신뢰 대신 암호 증명을 사용한다. 하지만, 신용화폐와 마찬가지로 결국 그것의 가치는 소유자의 시각에 달려 있다. 그렇다면 무엇이 문제일까? 보스턴대학 글로벌 개발정책 센터의 비상근 선임연구원인 로버트 맥컬리가 최근 설명한 것처럼 비트코인을 폰지 사기에 비유하는 것은 너무 호의적으로 표현하는 셈이 된다. “사실 폰지나 베르니 매도프(Bernie Madoff)와 달리, 비트코인은 수익 창출 자산이 아니라 영속 제로쿠폰으로 판매된다”라고 그는 표현했다. 다시 말해, 비트코인의 가치는 비트코인을 다른 사람에게 파는 것에서 비롯되기 때문에, 비트코인의 보유에 대한 수익을 아무도 보장하지 않는다. 어떤 가격에도 비트코인을 사려는 사람이 없는 날이 오면 어떻게 되겠는가? 바닥이 없다. 비트코인은 하루아침에 아무런 가치를 갖지 못할 수도 있다. 맥컬리는 비트코인에 대해 “궁극적으로 폰지 사기라기보다는 저가주에 대한 펌프 앤 덤프 사기처럼 보인다”라고 표현하며 다음과 같이 설명했다. “펌프 앤 덤프 사기에서, 트레이더들은 기본적으로 가치가 없는 주식을 구입하여, 그것을 띄워주고, 아마도 자신들끼리 가격을 높여서 거래한 후, 소문이나 가격 행동에 이...
2022.02.04
애저와 AWS와 같은 퍼블릭 클라우드를 이용해 나노코어(Nanocore), 넷와이어(Netwire), 에이싱크랫(AsyncRAT)을 확산시키는 맬웨어 캠페인이 포착했다고 시스코가 밝혔다. 시스코 탈로스의 보안 연구원 케탄 라푸푸라사드와 벤차 스바처는 탈로스 블로그를 통해 클라우드 서비스를 악의적인 목적으로 악용하는 공격의 최신 사례라고 말했다. 설명에 따르면 해커들은 DuckDNS 동적 DNS 서비스를 사용하여 캠페인에 사용된 명령 및 제어 호스트의 도메인 이름을 변경해 위장했다. 해당 캠페인은 나노코어, 넷와이어, 에이싱크랫의 변종을 미국, 이탈리아, 싱가포르 지역에 지난 10월 26일부터 배포한 것으로 전해졌다. 이러한 변종에는 목표의 컴퓨터를 제어하여 명령을 내리고 정보를 훔칠 수 있는 여러 기능이 내장돼 있다는 설명이다. 감염된 ZIP 파일이 포함된 피싱 이메일 이용해 공격 시작 연구원들은 초기 감염 벡터가 ZIP 아카이브가 중독된 피싱 이메일임을 발견했다. 아카이브에는 악성 스크립트가 포함된 ISO 이미지가 포함돼 있었다. 스크립트가 실행되면 애저 또는 AWS에서 호스팅되는 서버에 연결해 맬웨어를 다운로드하는 방식이었다. 연구진은 “위협 행위자들이 클라우드 기술을 활용하는 동향이 증가하고 있다. 클라우드 서비스를 통해 공격자는 저렴하고 빠르게 인프라를 설정할 수 있다. 또 공격에 대한 추적이 더 어려워지기도 한다”라고 전했다. 자동화 위협 관리 솔루션 벤더 벡트라의 올리버 타바콜리 CTO는 맬웨어 명령 및 제어를 위해 외부의 인프라를 사용하는 것이 완전히 새로운 것은 아니라고 전했다. 그는 “클라우드 이전 시대에도 외부 컴퓨팅 인프라에 침입하여 맬웨어를 배포하는 양태가 있었다. 이제 공격자들이 퍼블릭 클라우드 인프라를 이용하고 있다. 쉽게 블랙리스트에 올릴 수 없는 인프라를 임대하는 것이다”라고 말했다. 클라우드 네이티브 네트워크 보안 서비스 벤더 발틱스의 수석 보안 연구원 데이비스 맥...
2022.01.24
애저와 AWS와 같은 퍼블릭 클라우드를 이용해 나노코어(Nanocore), 넷와이어(Netwire), 에이싱크랫(AsyncRAT)을 확산시키는 맬웨어 캠페인이 포착했다고 시스코가 밝혔다. 시스코 탈로스의 보안 연구원 케탄 라푸푸라사드와 벤차 스바처는 탈로스 블로그를 통해 클라우드 서비스를 악의적인 목적으로 악용하는 공격의 최신 사례라고 말했다. 설명에 따르면 해커들은 DuckDNS 동적 DNS 서비스를 사용하여 캠페인에 사용된 명령 및 제어 호스트의 도메인 이름을 변경해 위장했다. 해당 캠페인은 나노코어, 넷와이어, 에이싱크랫의 변종을 미국, 이탈리아, 싱가포르 지역에 지난 10월 26일부터 배포한 것으로 전해졌다. 이러한 변종에는 목표의 컴퓨터를 제어하여 명령을 내리고 정보를 훔칠 수 있는 여러 기능이 내장돼 있다는 설명이다. 감염된 ZIP 파일이 포함된 피싱 이메일 이용해 공격 시작 연구원들은 초기 감염 벡터가 ZIP 아카이브가 중독된 피싱 이메일임을 발견했다. 아카이브에는 악성 스크립트가 포함된 ISO 이미지가 포함돼 있었다. 스크립트가 실행되면 애저 또는 AWS에서 호스팅되는 서버에 연결해 맬웨어를 다운로드하는 방식이었다. 연구진은 “위협 행위자들이 클라우드 기술을 활용하는 동향이 증가하고 있다. 클라우드 서비스를 통해 공격자는 저렴하고 빠르게 인프라를 설정할 수 있다. 또 공격에 대한 추적이 더 어려워지기도 한다”라고 전했다. 자동화 위협 관리 솔루션 벤더 벡트라의 올리버 타바콜리 CTO는 맬웨어 명령 및 제어를 위해 외부의 인프라를 사용하는 것이 완전히 새로운 것은 아니라고 전했다. 그는 “클라우드 이전 시대에도 외부 컴퓨팅 인프라에 침입하여 맬웨어를 배포하는 양태가 있었다. 이제 공격자들이 퍼블릭 클라우드 인프라를 이용하고 있다. 쉽게 블랙리스트에 올릴 수 없는 인프라를 임대하는 것이다”라고 말했다. 클라우드 네이티브 네트워크 보안 서비스 벤더 발틱스의 수석 보안 연구원 데이비스 맥...
2022.01.24
악성 소프트웨어를 담은 USB 드라이브를 직원에게 발송하는 방식의 공격이 증가하고 있다고 FBI가 경고했다. ‘배드USB’(BadUSB) 공격의 행태와 이에 대처하는 방식을 살펴본다. FBI에 따르면, 2021년 8월에서 11월 사이에 운송, 방산 및 보험 분야의 조직을 대상으로 악성 소프트웨어가 담긴 USB 드라이브가 송달되는 공격이 다수 출현했다. 복지부와 아마존을 사칭하는 가짜 편지가 동봉됐으며, 미국 우편 서비스와 UPS를 통해 배송됐다. FBI는 이러한 ‘배드USB’ 공격의 배후로 FIN7 해커 조직을 지목했다. 트러스트웨이브 스파이더랩의 보안 연구 수석 칼 시글러는 “배드USB 공격은 피해자에게 기프트 카드나 송장이 담긴 것처럼 보이는 물리 USB 스틱을 발송한다. 이를 피해자의 시스템에 연결하도록 유인하는 것이다”라고 말했다. 그와 그의 맬웨어 연구팀은 2020년 악성 썸 드라이브를 조사하면서 이 공격 캠페인을 처음 발견한 바 있다. 시글러는 “USB 드라이브는 컴퓨터에서 USB 키보드로 인식된다. 자동으로 일반적으로 명령 셸을 호출하고 맬웨어를 다운로드하기 위한 명령이 입력되게 된다”라고 설명했다. 이후 진행되는 공격 양태는 다양하다. 크리덴셜 탈취에서 백도어 및 랜섬웨어 설치에 이른다. 시글러는 이러한 공격이 희귀하다는 점에서 꽤 효과적일 수 있다고 강조했다. 사이버리즌의 최고 비전 책임자이자 공동 설립자인 요시 나르에 따르면 재택 근무 동향을 활용하려는 공격일 수 있다. 그는 “재택근무 환경에서는 보호 방책이 줄어든다. 재택근무자가 업무용 컴퓨터나 홈 네트워크에 연결할 가능성이 높아진다. 업무용 네트워크에 쉽게 연결될 수 있는 것이다”라고 말했다. 이러한 공격을 막기 위한 조치들이 있다. 먼저 이 공격 유형을 보안 교육을 통해 알리고 모든 직원이 확인되지 않은 하드웨어를 시스템에 삽입하거나 연결하지 않도록 하는 것이다. 또 명령 셸 남용 및 다운로드될 수 있는 후속 맬웨어를 모니터링할 수...
2022.01.21
악성 소프트웨어를 담은 USB 드라이브를 직원에게 발송하는 방식의 공격이 증가하고 있다고 FBI가 경고했다. ‘배드USB’(BadUSB) 공격의 행태와 이에 대처하는 방식을 살펴본다. FBI에 따르면, 2021년 8월에서 11월 사이에 운송, 방산 및 보험 분야의 조직을 대상으로 악성 소프트웨어가 담긴 USB 드라이브가 송달되는 공격이 다수 출현했다. 복지부와 아마존을 사칭하는 가짜 편지가 동봉됐으며, 미국 우편 서비스와 UPS를 통해 배송됐다. FBI는 이러한 ‘배드USB’ 공격의 배후로 FIN7 해커 조직을 지목했다. 트러스트웨이브 스파이더랩의 보안 연구 수석 칼 시글러는 “배드USB 공격은 피해자에게 기프트 카드나 송장이 담긴 것처럼 보이는 물리 USB 스틱을 발송한다. 이를 피해자의 시스템에 연결하도록 유인하는 것이다”라고 말했다. 그와 그의 맬웨어 연구팀은 2020년 악성 썸 드라이브를 조사하면서 이 공격 캠페인을 처음 발견한 바 있다. 시글러는 “USB 드라이브는 컴퓨터에서 USB 키보드로 인식된다. 자동으로 일반적으로 명령 셸을 호출하고 맬웨어를 다운로드하기 위한 명령이 입력되게 된다”라고 설명했다. 이후 진행되는 공격 양태는 다양하다. 크리덴셜 탈취에서 백도어 및 랜섬웨어 설치에 이른다. 시글러는 이러한 공격이 희귀하다는 점에서 꽤 효과적일 수 있다고 강조했다. 사이버리즌의 최고 비전 책임자이자 공동 설립자인 요시 나르에 따르면 재택 근무 동향을 활용하려는 공격일 수 있다. 그는 “재택근무 환경에서는 보호 방책이 줄어든다. 재택근무자가 업무용 컴퓨터나 홈 네트워크에 연결할 가능성이 높아진다. 업무용 네트워크에 쉽게 연결될 수 있는 것이다”라고 말했다. 이러한 공격을 막기 위한 조치들이 있다. 먼저 이 공격 유형을 보안 교육을 통해 알리고 모든 직원이 확인되지 않은 하드웨어를 시스템에 삽입하거나 연결하지 않도록 하는 것이다. 또 명령 셸 남용 및 다운로드될 수 있는 후속 맬웨어를 모니터링할 수...
2022.01.21
2021년의 마지막 날이다. 보안 전문가들이 다가오는 2022년의 보안 문제를 전망하고 있다. 내년에 어떤 일이 일어날지 예측하는 것도 중요하지만 올 한 해를 달군 보안 위협을 뒤돌아보면서 교훈을 얻는 것도 중요하다. 솔라윈즈 공격: 벤더의 보안 태세를 알고 있어야 한다 솔라윈즈 소프트웨어 공급망 공격이 발생한 지 1년이 됐지만 아직도 이 공격 유형의 가능성을 완전하게 파악하지는 못했다. 공격자들은 은밀했고, 공격을 받은 회사 가운데 하나인 파이어아이(FireEye)가 침입을 모니터링하고 감지하는 역량이 뛰어났기 때문에 포착될 수 있었다. 기업들이 이러한 공격이 발생했는지 알 수 있는 도구와 리소스를 갖추고 있는지 의문이다. 이를 몰랐을 뿐만 아니라 알 수 있을 만한 리소스도 없는 회사가 많으리라 예상된다. 마이크로소프트에 따르면 공격자들은 높은 액세스 권한을 가진 계정을 포함해 조직의 기존 사용자 및 계정을 모방하는 SAML 토큰을 위조할 수 있었다. 이는 조직에 설치한 소프트웨어의 출처를 고려해야 한다는 뜻이다. 여기에 조직의 보안 프로세스는 말할 것도 없고, 소프트웨어 벤더와 해당 업체의 보안 프로세스까지도 신뢰할 수 있는지 확인해야 한다. 교훈: 소프트웨어 벤더와 (해당 업체의) 보안 프로세스를 검토하라. 특히 액세스 권한이 높은 계정의 비정상적인 행위를 찾아야 한다. 새 연합 트러스트를 생성하거나 메일읽기(mail.read) 또는 메일읽기/쓰기(mail..readwrite) 등의 작업을 수행하는 프로세스에 인증이 추가될 때도 조사해야 한다. 이 밖에 네트워크 경계 방화벽에서 알려진 C2 엔드포인트를 차단해야 한다. 익스체인지 서버 공격: 레거시 시스템을 보호하라 지난 3월 매우 파괴적인 공격이 발생했다. 로컬로 설치된 익스체인지 서버가 제로-데이 결함을 사용하는 직접적인 공격을 받은 것이다. 마이크로소프트는 처음엔 (이것이) 표적 공격이라고 밝혔지만, 이...
솔라윈즈 해킹 공급망 공격 보안 네트워크 보안 보안 위협 보안 사고 익스체인지 서버 공격 제로데이 취약점 프린트나이트메어 랜섬웨어 사이버 공격
2021.12.31
2021년의 마지막 날이다. 보안 전문가들이 다가오는 2022년의 보안 문제를 전망하고 있다. 내년에 어떤 일이 일어날지 예측하는 것도 중요하지만 올 한 해를 달군 보안 위협을 뒤돌아보면서 교훈을 얻는 것도 중요하다. 솔라윈즈 공격: 벤더의 보안 태세를 알고 있어야 한다 솔라윈즈 소프트웨어 공급망 공격이 발생한 지 1년이 됐지만 아직도 이 공격 유형의 가능성을 완전하게 파악하지는 못했다. 공격자들은 은밀했고, 공격을 받은 회사 가운데 하나인 파이어아이(FireEye)가 침입을 모니터링하고 감지하는 역량이 뛰어났기 때문에 포착될 수 있었다. 기업들이 이러한 공격이 발생했는지 알 수 있는 도구와 리소스를 갖추고 있는지 의문이다. 이를 몰랐을 뿐만 아니라 알 수 있을 만한 리소스도 없는 회사가 많으리라 예상된다. 마이크로소프트에 따르면 공격자들은 높은 액세스 권한을 가진 계정을 포함해 조직의 기존 사용자 및 계정을 모방하는 SAML 토큰을 위조할 수 있었다. 이는 조직에 설치한 소프트웨어의 출처를 고려해야 한다는 뜻이다. 여기에 조직의 보안 프로세스는 말할 것도 없고, 소프트웨어 벤더와 해당 업체의 보안 프로세스까지도 신뢰할 수 있는지 확인해야 한다. 교훈: 소프트웨어 벤더와 (해당 업체의) 보안 프로세스를 검토하라. 특히 액세스 권한이 높은 계정의 비정상적인 행위를 찾아야 한다. 새 연합 트러스트를 생성하거나 메일읽기(mail.read) 또는 메일읽기/쓰기(mail..readwrite) 등의 작업을 수행하는 프로세스에 인증이 추가될 때도 조사해야 한다. 이 밖에 네트워크 경계 방화벽에서 알려진 C2 엔드포인트를 차단해야 한다. 익스체인지 서버 공격: 레거시 시스템을 보호하라 지난 3월 매우 파괴적인 공격이 발생했다. 로컬로 설치된 익스체인지 서버가 제로-데이 결함을 사용하는 직접적인 공격을 받은 것이다. 마이크로소프트는 처음엔 (이것이) 표적 공격이라고 밝혔지만, 이...
2021.12.31
백신과 치료약이 우리를 코로나19에서 해방해줄 거라는 희망이 희망 고문으로 끝나가는 한 해다. 백신은 부족하나마 바닥을 기던 우리 삶의 질을 조금 높여줬음에도 치료약이 지지부진하기 때문이다. 그래도 들리는 몇 가지 반가운 소식이 새해에는 어느새 우리 현실로 다가올 수 있기를 희망해 본다. 지난 2년 동안 주간 개인정보 뉴스레터를 만드느라 매주 개인정보 사고와 규제 등 개인정보 관련 뉴스를 찾아보고, 매달 기고를 위해 국내외 보안 위협 관련 이슈를 분석하면서 한 가지 깨달음을 얻었다. “해 아래 새것이 없다!” 새해 보안 위협을 전망하는 것은 미래의 예측력을 자랑하기 위해서가 아니라 각 조직에서 어떤 보안 목표와 전략을 세우고, 보안 투자를 결정하는 데 도움이 되기 위해서일 것이다. 하지만 미래를 예측하는 것은 쉽지 않다. 분명한 것은 올해의 보안 위협은 작년의 연장선 위에 있다는 것이다. 물론 새롭게 나타난 것도 있지만 말이다. 이번 달 칼럼에서 올해의 보안 위협을 좀 더 상세하게 정리해 보려고 한 이유다. 굳이 새해 보안 위협 전망을 하지 않더라도 자연스럽게 새해의 보안 이슈를 조망해 볼 수 있지 않을까 한다. 2021년 ‘올해의 보안 위협’은 작년에 이어 단연코 랜섬웨어다. 랜섬웨어는 미국 대형 보험사 CNA(3월), 세계를 떠들썩하게 했던 미국 송유관 업체 콜로니얼 파이프라인과 세계적인 프랑스 보험사 AXA(5월), 세계 최대의 브라질 육류가공회사 JBS SA(6월) 등 세계적으로 막대한 피해를 줬고, 2020년 11월 대형 유통기업에 이어 국내 자동차 기업의 국외 법인(2월), 10위권의 배달대행업체(5월) 등 국내에서도 피해가 커서 과학기술정보통신부에서 ‘랜섬웨어 대응 지원반’을 운영하기도 했다. 지능형 표적 공격을 통한 랜섬웨어 유포, 서비스형 랜섬웨어 확산, 중요 정보를 훔친 뒤 암호화와 디도스 공격으로 협박하는 이중·삼중 갈취형 랜섬웨어 공격은 범인이 피해자에게 본인 물건을 돈을 내고 도로 사가라는 파렴치...
강은성 강은성의 보안 아키텍트 랜섬웨어 보안 위협 CSO CISO 지능형 표적 공격 디도스 공격 공급망 공격 악성코드 개인정보 유출
2021.12.31
백신과 치료약이 우리를 코로나19에서 해방해줄 거라는 희망이 희망 고문으로 끝나가는 한 해다. 백신은 부족하나마 바닥을 기던 우리 삶의 질을 조금 높여줬음에도 치료약이 지지부진하기 때문이다. 그래도 들리는 몇 가지 반가운 소식이 새해에는 어느새 우리 현실로 다가올 수 있기를 희망해 본다. 지난 2년 동안 주간 개인정보 뉴스레터를 만드느라 매주 개인정보 사고와 규제 등 개인정보 관련 뉴스를 찾아보고, 매달 기고를 위해 국내외 보안 위협 관련 이슈를 분석하면서 한 가지 깨달음을 얻었다. “해 아래 새것이 없다!” 새해 보안 위협을 전망하는 것은 미래의 예측력을 자랑하기 위해서가 아니라 각 조직에서 어떤 보안 목표와 전략을 세우고, 보안 투자를 결정하는 데 도움이 되기 위해서일 것이다. 하지만 미래를 예측하는 것은 쉽지 않다. 분명한 것은 올해의 보안 위협은 작년의 연장선 위에 있다는 것이다. 물론 새롭게 나타난 것도 있지만 말이다. 이번 달 칼럼에서 올해의 보안 위협을 좀 더 상세하게 정리해 보려고 한 이유다. 굳이 새해 보안 위협 전망을 하지 않더라도 자연스럽게 새해의 보안 이슈를 조망해 볼 수 있지 않을까 한다. 2021년 ‘올해의 보안 위협’은 작년에 이어 단연코 랜섬웨어다. 랜섬웨어는 미국 대형 보험사 CNA(3월), 세계를 떠들썩하게 했던 미국 송유관 업체 콜로니얼 파이프라인과 세계적인 프랑스 보험사 AXA(5월), 세계 최대의 브라질 육류가공회사 JBS SA(6월) 등 세계적으로 막대한 피해를 줬고, 2020년 11월 대형 유통기업에 이어 국내 자동차 기업의 국외 법인(2월), 10위권의 배달대행업체(5월) 등 국내에서도 피해가 커서 과학기술정보통신부에서 ‘랜섬웨어 대응 지원반’을 운영하기도 했다. 지능형 표적 공격을 통한 랜섬웨어 유포, 서비스형 랜섬웨어 확산, 중요 정보를 훔친 뒤 암호화와 디도스 공격으로 협박하는 이중·삼중 갈취형 랜섬웨어 공격은 범인이 피해자에게 본인 물건을 돈을 내고 도로 사가라는 파렴치...
2021.12.31
펄스와 히타치 ID의 보고서에 따르면 사이버 공격자들이 랜섬웨어 공격을 위해 기업 직원들에게 접근하고 있다. 북미 지역 기업의 약 48%에 속하는 직원들이 이러한 접근을 보고했다. 이번 보고서는 100명의 IT 및 보안 임원을 대상으로 사이버 보안 인프라의 최근 변화, 사이버 공격 대처 능력, 정치의 역할 등을 조사한 결과를 대상으로 작성됐다. 응답자의 대다수(73%)는 10,000 명 이상의 직원을 보유한 기업의 종사자들이었다. 보고서에 따르면, 응답자의 83%가 재택근무로 전환한 이후 그러한 시도가 더욱 두드러졌다고 답했다. 주의태만과 사고를 방지하기 위한 직원 교육 내부접근 시도가 증가한 결과 지난 12개월 동안 69%의 응답자가 사이버보안에 대해 직원 교육을 시작했다고 밝혔으며, 향후 12개월 이내에 실시하겠다고 약속한 비율도 20%에 달했다. 사이버 보안에 대한 직원 교육을 마친 임원의 응답을 살펴보면, 89%는 피싱 공격에, 95%는 보안 암호 생성에, 95%는 이들 암호의 안전 유지에 초점을 맞췄다고 응답했다. 콘스텔레이션 리서치의 애널리스트인 리즈 밀러는 “사이버 보안 교육은 인간적인 실수에 가장 취약한 사람들이나 잘 식별하도록 도울 수 있다. 그러나 불만이나 악의를 가진 직원들로 인한 문제는 막기 어렵다”라고 말했다. 밀러에 따르면, 일부 직원의 악의적인 의도에 의해 유발된 내부자 위협을 처리하는 좋은 방법에는 계정으로부터의 엄청난 트래픽 양, 다중 지리적 로그인을 가진 단일 사용자, 일관되지 않거나 비정상적인 액세스 활동, 직장에서의 노골적으로 부정적인 감정과 같은 지표에 주의하는 것 등이 있다. 목록에서 최우선 순위인 SaaS, 제로 트러스트 및 IAM 거의 모든 보안 전문가들이(99%) 보안 관련 디지털 전환 노력의 일환으로 SaaS로의 이동이 포함된다고 답했으며, 3분의 1 이상(36%)은 그들의 노력 중 절반 이상에 SaaS로의 이동이 포함된다고 답했다. 임원 중 약 86%가 보안이 요구되는 구형 시스템...
2021.12.17
펄스와 히타치 ID의 보고서에 따르면 사이버 공격자들이 랜섬웨어 공격을 위해 기업 직원들에게 접근하고 있다. 북미 지역 기업의 약 48%에 속하는 직원들이 이러한 접근을 보고했다. 이번 보고서는 100명의 IT 및 보안 임원을 대상으로 사이버 보안 인프라의 최근 변화, 사이버 공격 대처 능력, 정치의 역할 등을 조사한 결과를 대상으로 작성됐다. 응답자의 대다수(73%)는 10,000 명 이상의 직원을 보유한 기업의 종사자들이었다. 보고서에 따르면, 응답자의 83%가 재택근무로 전환한 이후 그러한 시도가 더욱 두드러졌다고 답했다. 주의태만과 사고를 방지하기 위한 직원 교육 내부접근 시도가 증가한 결과 지난 12개월 동안 69%의 응답자가 사이버보안에 대해 직원 교육을 시작했다고 밝혔으며, 향후 12개월 이내에 실시하겠다고 약속한 비율도 20%에 달했다. 사이버 보안에 대한 직원 교육을 마친 임원의 응답을 살펴보면, 89%는 피싱 공격에, 95%는 보안 암호 생성에, 95%는 이들 암호의 안전 유지에 초점을 맞췄다고 응답했다. 콘스텔레이션 리서치의 애널리스트인 리즈 밀러는 “사이버 보안 교육은 인간적인 실수에 가장 취약한 사람들이나 잘 식별하도록 도울 수 있다. 그러나 불만이나 악의를 가진 직원들로 인한 문제는 막기 어렵다”라고 말했다. 밀러에 따르면, 일부 직원의 악의적인 의도에 의해 유발된 내부자 위협을 처리하는 좋은 방법에는 계정으로부터의 엄청난 트래픽 양, 다중 지리적 로그인을 가진 단일 사용자, 일관되지 않거나 비정상적인 액세스 활동, 직장에서의 노골적으로 부정적인 감정과 같은 지표에 주의하는 것 등이 있다. 목록에서 최우선 순위인 SaaS, 제로 트러스트 및 IAM 거의 모든 보안 전문가들이(99%) 보안 관련 디지털 전환 노력의 일환으로 SaaS로의 이동이 포함된다고 답했으며, 3분의 1 이상(36%)은 그들의 노력 중 절반 이상에 SaaS로의 이동이 포함된다고 답했다. 임원 중 약 86%가 보안이 요구되는 구형 시스템...
2021.12.17
널리 사용되는 ‘Log4j’ 라이브러리에 버그가 있으면 공격자는 Log4j를 사용하여 로그를 작성하는 모든 시스템에서 임의의 코드를 실행할 수 있다. 아파치 재단이 거의 모든 자바 애플리케이션에 포함된 로깅 도구 Log4j의 치명적인 제로데이 취약점에 관한 긴급 업데이트를 발표했다. 이는 ‘Log4Shell’로 명명됐으며, 식별자는 CVE-2021-44228이다. 이 취약점은 Log4j 라이브러리의 버그를 통해 발생하는데, 이를 통해 공격자는 Log4j를 사용하여 로그 메시지를 작성하는 시스템에서 임의의 코드를 실행할 수 있다. 따라서 Log4j를 포함하는 애플리케이션 사용자라면 누구나 즉시 주의를 기울여야 한다. Log4Shell을 해결해야 하는 이유 Log4j는 많은 자바 애플리케이션에서 사용되는 라이브러리다. 현재 가장 널리 쓰이는 자바 라이브러리이기도 하다. 대부분의 자바 애플리케이션은 데이터를 기록하며, Log4j가 주로 활용된다. 여기서 문제는 Log4j를 찾는 것이다. 자바 패키징의 작동 방식 때문에 Log4j가 애플리케이션의 어딘가 숨어 있을 수 있고, 심지어는 그 사실을 모르고 있을 가능성이 크다. 자바 생태계에서 종속성은 자바 라이브러리로 사용할 수 있는 패키지인 JAR(Java archive) 파일로 배포된다. 메이븐(Maven), 그래들(Gradle) 등 일반적으로 사용되는 도구는 자바 애플리케이션을 빌드할 때 JAR 파일을 자동으로 추가할 수 있다. JAR이 종속성을 충족하기 위해 다른 JAR을 포함할 수도 있다. 즉, 취약점이 애플리케이션에서 여러 수준 아래에 숨겨질 수 있다. 어떤 경우에는 하나의 종속성이 수백 개의 다른 종속성을 가져와 (이를) 찾기 훨씬 더 어려울 수 있다. 기본적으로 자바 세계에서는 JAR에 중첩된 JAR에 JAR이 중첩될 수 있다. 이는 모든 것을 조사해야 하는 수많은 계층을 만든다. 이에 따라 Log4j가 ...
2021.12.14
널리 사용되는 ‘Log4j’ 라이브러리에 버그가 있으면 공격자는 Log4j를 사용하여 로그를 작성하는 모든 시스템에서 임의의 코드를 실행할 수 있다. 아파치 재단이 거의 모든 자바 애플리케이션에 포함된 로깅 도구 Log4j의 치명적인 제로데이 취약점에 관한 긴급 업데이트를 발표했다. 이는 ‘Log4Shell’로 명명됐으며, 식별자는 CVE-2021-44228이다. 이 취약점은 Log4j 라이브러리의 버그를 통해 발생하는데, 이를 통해 공격자는 Log4j를 사용하여 로그 메시지를 작성하는 시스템에서 임의의 코드를 실행할 수 있다. 따라서 Log4j를 포함하는 애플리케이션 사용자라면 누구나 즉시 주의를 기울여야 한다. Log4Shell을 해결해야 하는 이유 Log4j는 많은 자바 애플리케이션에서 사용되는 라이브러리다. 현재 가장 널리 쓰이는 자바 라이브러리이기도 하다. 대부분의 자바 애플리케이션은 데이터를 기록하며, Log4j가 주로 활용된다. 여기서 문제는 Log4j를 찾는 것이다. 자바 패키징의 작동 방식 때문에 Log4j가 애플리케이션의 어딘가 숨어 있을 수 있고, 심지어는 그 사실을 모르고 있을 가능성이 크다. 자바 생태계에서 종속성은 자바 라이브러리로 사용할 수 있는 패키지인 JAR(Java archive) 파일로 배포된다. 메이븐(Maven), 그래들(Gradle) 등 일반적으로 사용되는 도구는 자바 애플리케이션을 빌드할 때 JAR 파일을 자동으로 추가할 수 있다. JAR이 종속성을 충족하기 위해 다른 JAR을 포함할 수도 있다. 즉, 취약점이 애플리케이션에서 여러 수준 아래에 숨겨질 수 있다. 어떤 경우에는 하나의 종속성이 수백 개의 다른 종속성을 가져와 (이를) 찾기 훨씬 더 어려울 수 있다. 기본적으로 자바 세계에서는 JAR에 중첩된 JAR에 JAR이 중첩될 수 있다. 이는 모든 것을 조사해야 하는 수많은 계층을 만든다. 이에 따라 Log4j가 ...
2021.12.14
올 한 해 ‘최고정보보호책임자(CISO)’가 해결해야 했던 문제를 검토하면 미래를 더욱더 잘 계획하는 데 도움이 될 수 있다. CISO 입장에서 2021년은 썩 좋은 해가 아니었다. 솔라윈즈 사이버 공격부터 시작해 전례 없는 수준으로 증가한 랜섬웨어 공격으로 끝을 맺고 있어서다. 이에 따라 CISO는 일상적인 업무를 처리하는 동시에 코로나19 사태로 인한 지속적인 보안 문제, 인력 부족, 하이브리드 인력 관리, 주요 인프라 사이버 공격까지 처리해야 했다. 아울러 사이버 보안에서 암호화폐의 성장이 갖는 의미도 파악해야 했다. 2021년이 저물어 가고 있다. CISO가 직/간접적으로 해결해야 했던 사이버 공격과 표면화됐던 트렌드 및 문제를 살펴보면 2022년을 예측하는 데 도움이 될 수 있을 것이다. 1. 랜섬웨어(Ransomware) 랜섬웨어는 건재할 전망이다. 한 보고서에 따르면 지난 9월 말까지 무려 약 5억 건의 랜섬웨어 공격 시도가 있었다. 이 수치는 새해 전야까지 약 7억 건에 근접할 것으로 예상된다. 은행 업계만 하더라도 2021년 한 해 동안 랜섬웨어 공격이 1,300% 이상 증가했다. 그중에서도 콜로니얼 파이프라인(Colonial Pipeline) 랜섬웨어 공격이 가장 유명할 것이다. 이를 통해 미국인들은 중요 기반 시설에 대한 사이버 공격이 얼마나 치명적인지 처음으로 실감하게 됐다. 이 공격은 콜로니얼의 재무 부문을 노린 것이었지만 (이로 인해) 동부 지역의 석유 공급이 중단돼 상당한 패닉을 일으켰다. 에너지 그리드 또는 식량 공급을 장기간 중단시키는 공격은 언제든지 발생할 수 있다. 이를 방지하는 확실하고도 유일한 방법은 기업의 랜섬웨어 취약성을 지속적으로 모니터링하고 평가하는 도구를 사용하는 것이다. 2. 웹 사이트 복제(Website cloning) 올해에는 랜섬웨어에 많은 관심이 집중됐지만 내년에는 웹 사이트 복제 및 온라인 사기 문제가 더 심각해질 전망이다. ...
CSO CISO 보안 사이버 보안 랜섬웨어 대퇴직 웹 사이트 복제 암호화폐 사이버 공격
2021.12.09
올 한 해 ‘최고정보보호책임자(CISO)’가 해결해야 했던 문제를 검토하면 미래를 더욱더 잘 계획하는 데 도움이 될 수 있다. CISO 입장에서 2021년은 썩 좋은 해가 아니었다. 솔라윈즈 사이버 공격부터 시작해 전례 없는 수준으로 증가한 랜섬웨어 공격으로 끝을 맺고 있어서다. 이에 따라 CISO는 일상적인 업무를 처리하는 동시에 코로나19 사태로 인한 지속적인 보안 문제, 인력 부족, 하이브리드 인력 관리, 주요 인프라 사이버 공격까지 처리해야 했다. 아울러 사이버 보안에서 암호화폐의 성장이 갖는 의미도 파악해야 했다. 2021년이 저물어 가고 있다. CISO가 직/간접적으로 해결해야 했던 사이버 공격과 표면화됐던 트렌드 및 문제를 살펴보면 2022년을 예측하는 데 도움이 될 수 있을 것이다. 1. 랜섬웨어(Ransomware) 랜섬웨어는 건재할 전망이다. 한 보고서에 따르면 지난 9월 말까지 무려 약 5억 건의 랜섬웨어 공격 시도가 있었다. 이 수치는 새해 전야까지 약 7억 건에 근접할 것으로 예상된다. 은행 업계만 하더라도 2021년 한 해 동안 랜섬웨어 공격이 1,300% 이상 증가했다. 그중에서도 콜로니얼 파이프라인(Colonial Pipeline) 랜섬웨어 공격이 가장 유명할 것이다. 이를 통해 미국인들은 중요 기반 시설에 대한 사이버 공격이 얼마나 치명적인지 처음으로 실감하게 됐다. 이 공격은 콜로니얼의 재무 부문을 노린 것이었지만 (이로 인해) 동부 지역의 석유 공급이 중단돼 상당한 패닉을 일으켰다. 에너지 그리드 또는 식량 공급을 장기간 중단시키는 공격은 언제든지 발생할 수 있다. 이를 방지하는 확실하고도 유일한 방법은 기업의 랜섬웨어 취약성을 지속적으로 모니터링하고 평가하는 도구를 사용하는 것이다. 2. 웹 사이트 복제(Website cloning) 올해에는 랜섬웨어에 많은 관심이 집중됐지만 내년에는 웹 사이트 복제 및 온라인 사기 문제가 더 심각해질 전망이다. ...
2021.12.09
NCC 그룹의 일원인 폭스-IT(Fox-IT) 소속 사이버보안 및 위협 애널리스트는 랜섬웨어 공격을 받은 기업이피해를 완화할 수 있도록 협상의 기제를 설명했다. 관련 개념은 팹진 해크와 종유 우가 블랙햇 유럽(Black Hat Europe) 2021에서 발표했으며, 직후에는 NCC 그룹 블로그 게시물에 상세한 부연 설명이 실렸다. 자료의 출처는 2019년과 2020년 사이에 진행된 700건이 넘는 공격자와 피해자 간 협상을 대상으로 한 연구 내용과 다음 3대 주제를 탐구한 논문이다. 적들이 수익 극대화를 위해 경제 모델을 이용하는 방식 이 방식이 협상 단계 중 피해자의 처지에 대해 시사하는 점 랜섬웨어 피해자가 동등한 입장에서 경쟁하기 위해 활용 가능한 전략 연구팀은 “이번 실증적 연구는 랜섬웨어 생태계가 정교한 사업으로 발전했음을 시사한다. 각 랜섬웨어 조직은 저마다 수익 극대화를 위한 협상 및 가격책정 전략을 수립했다”고 설명했다. 협상의 주도권을 쥔 랜섬웨어 집단 이번 연구에 사용된 자료는 주로 두 가지 랜섬웨어 유형에 집중했다. 첫번째 자료는 적들이 상대적으로 미숙하고 요구 몸값이 낮았던 2019년에 수집됐으며, 피해자와 랜섬웨어 집단 간 협상 681건이었다. 30건의 협상으로 구성된 두번째 자료는 랜섬웨어 공격이 전세계 기업에 중대한 위협이 된 2020년 말과 2021년 초에 수집됐다. 분석 결과, 랜섬웨어 운영의 성숙도가 향상된 것으로 드러났다. 범죄 집단은 공격 비용을 계산하는 한편, 피해자 조직의 감염 장치/서버 수, 직원 수, 추정 매출액, 언론에 노출 시 미칠 영향 등 여러 변수에 근거한 몸값 책정 전략을 시행하고 있다. 이를 통해 공격자들은 피해자가 어느 정도의 몸값을 낼 지 협상에 들어가기도 전에 정확히 예측할 수 있다. 그러면 피해자 조직은 당장 불리한 위치에 처한다. 블로그 내용에 따르면 “협상에...
2021.11.29
NCC 그룹의 일원인 폭스-IT(Fox-IT) 소속 사이버보안 및 위협 애널리스트는 랜섬웨어 공격을 받은 기업이피해를 완화할 수 있도록 협상의 기제를 설명했다. 관련 개념은 팹진 해크와 종유 우가 블랙햇 유럽(Black Hat Europe) 2021에서 발표했으며, 직후에는 NCC 그룹 블로그 게시물에 상세한 부연 설명이 실렸다. 자료의 출처는 2019년과 2020년 사이에 진행된 700건이 넘는 공격자와 피해자 간 협상을 대상으로 한 연구 내용과 다음 3대 주제를 탐구한 논문이다. 적들이 수익 극대화를 위해 경제 모델을 이용하는 방식 이 방식이 협상 단계 중 피해자의 처지에 대해 시사하는 점 랜섬웨어 피해자가 동등한 입장에서 경쟁하기 위해 활용 가능한 전략 연구팀은 “이번 실증적 연구는 랜섬웨어 생태계가 정교한 사업으로 발전했음을 시사한다. 각 랜섬웨어 조직은 저마다 수익 극대화를 위한 협상 및 가격책정 전략을 수립했다”고 설명했다. 협상의 주도권을 쥔 랜섬웨어 집단 이번 연구에 사용된 자료는 주로 두 가지 랜섬웨어 유형에 집중했다. 첫번째 자료는 적들이 상대적으로 미숙하고 요구 몸값이 낮았던 2019년에 수집됐으며, 피해자와 랜섬웨어 집단 간 협상 681건이었다. 30건의 협상으로 구성된 두번째 자료는 랜섬웨어 공격이 전세계 기업에 중대한 위협이 된 2020년 말과 2021년 초에 수집됐다. 분석 결과, 랜섬웨어 운영의 성숙도가 향상된 것으로 드러났다. 범죄 집단은 공격 비용을 계산하는 한편, 피해자 조직의 감염 장치/서버 수, 직원 수, 추정 매출액, 언론에 노출 시 미칠 영향 등 여러 변수에 근거한 몸값 책정 전략을 시행하고 있다. 이를 통해 공격자들은 피해자가 어느 정도의 몸값을 낼 지 협상에 들어가기도 전에 정확히 예측할 수 있다. 그러면 피해자 조직은 당장 불리한 위치에 처한다. 블로그 내용에 따르면 “협상에...
2021.11.29
크립토마이너(Cryptominer) 맬웨어는 은밀하게 (시스템 내부로) 침투해 네트워크 및 기기의 성능을 저하시킨다. 그 피해를 최소화할 수 있는 몇 가지 작업과 도구를 소개한다. 아이슬란드가 비트코인 채굴에 이상적인 장소라는 얘기가 있다. 그런데 누군가의 컴퓨터 또한 암호화폐 채굴에 이상적인 타깃이 될 수 있다. 실제로 필자는 불법적으로 고객의 장치에서 크립토마이닝 소프트웨어를 작동시켰던 사례를 알고 있다. 암호화폐 채굴(Cryptomining)은 암호화폐를 생성하는 절차다. 유명 암호화폐 대부분이 수학 문제를 풀어서 암호화폐 단위를 생성하는 방식으로 채굴된다. 자신의 컴퓨터에서 암호화폐를 생성하는 작업은 합법이다. 하지만 특정 컴퓨터를 하이재킹해 암호화폐 채굴에 사용하면 범죄 행위로 간주된다. ‘크립토재킹(Cryptojacking)’은 악성 행위자가 웹 서버 및 브라우저를 통해 시스템을 장악할 때 발생한다. 악성 자바스크립트가 웹 서버에 주입되거나 심어져 사용자들이 웹 페이지를 열면 브라우저가 감염되고, 해당 컴퓨터는 암호화폐 채굴을 위한 장소가 된다. 암호화폐 채굴 맬웨어를 감지해 네트워크 및 기기를 공격으로부터 보호할 수 있을까? 물론이다. 네트워크 상에서 암호화폐 채굴자를 발견하는 간단한 방법을 살펴본다. 네트워크 성능 모니터링 먼저 네트워크의 시스템 성능을 검토해보자. 과도한 CPU 사용량이나 온도의 변화, 팬 속도가 빨라지는 현상을 나타났다면 의심해볼 수 있다. 이런 현상은 업무용 애플리케이션의 코딩이 잘못돼 나타나는 증상일 수 있지만, 시스템에 맬웨어가 숨겨져 있음을 알리는 신호일 수도 있다. 시스템에서 이상 징후를 발견하기 위한 기준선을 정해 놓으면 문제를 발견하기가 더 쉬워진다. 성능과 관련된 이상 징후를 관찰하는 것만으로는 부족하다. 최근 보안사고 사례에서 확인된 것처럼, 공격자들은 CPU 사용량이 잘 드러나지 않도록 하는 수법을 쓰고 있다. 최근 발간된 마이크로소프트 디지털 보안 보고서는 프랑스와 베트남의 정부 기...
2021.11.11
크립토마이너(Cryptominer) 맬웨어는 은밀하게 (시스템 내부로) 침투해 네트워크 및 기기의 성능을 저하시킨다. 그 피해를 최소화할 수 있는 몇 가지 작업과 도구를 소개한다. 아이슬란드가 비트코인 채굴에 이상적인 장소라는 얘기가 있다. 그런데 누군가의 컴퓨터 또한 암호화폐 채굴에 이상적인 타깃이 될 수 있다. 실제로 필자는 불법적으로 고객의 장치에서 크립토마이닝 소프트웨어를 작동시켰던 사례를 알고 있다. 암호화폐 채굴(Cryptomining)은 암호화폐를 생성하는 절차다. 유명 암호화폐 대부분이 수학 문제를 풀어서 암호화폐 단위를 생성하는 방식으로 채굴된다. 자신의 컴퓨터에서 암호화폐를 생성하는 작업은 합법이다. 하지만 특정 컴퓨터를 하이재킹해 암호화폐 채굴에 사용하면 범죄 행위로 간주된다. ‘크립토재킹(Cryptojacking)’은 악성 행위자가 웹 서버 및 브라우저를 통해 시스템을 장악할 때 발생한다. 악성 자바스크립트가 웹 서버에 주입되거나 심어져 사용자들이 웹 페이지를 열면 브라우저가 감염되고, 해당 컴퓨터는 암호화폐 채굴을 위한 장소가 된다. 암호화폐 채굴 맬웨어를 감지해 네트워크 및 기기를 공격으로부터 보호할 수 있을까? 물론이다. 네트워크 상에서 암호화폐 채굴자를 발견하는 간단한 방법을 살펴본다. 네트워크 성능 모니터링 먼저 네트워크의 시스템 성능을 검토해보자. 과도한 CPU 사용량이나 온도의 변화, 팬 속도가 빨라지는 현상을 나타났다면 의심해볼 수 있다. 이런 현상은 업무용 애플리케이션의 코딩이 잘못돼 나타나는 증상일 수 있지만, 시스템에 맬웨어가 숨겨져 있음을 알리는 신호일 수도 있다. 시스템에서 이상 징후를 발견하기 위한 기준선을 정해 놓으면 문제를 발견하기가 더 쉬워진다. 성능과 관련된 이상 징후를 관찰하는 것만으로는 부족하다. 최근 보안사고 사례에서 확인된 것처럼, 공격자들은 CPU 사용량이 잘 드러나지 않도록 하는 수법을 쓰고 있다. 최근 발간된 마이크로소프트 디지털 보안 보고서는 프랑스와 베트남의 정부 기...
2021.11.11
추천기사