Offcanvas

악성코드

“기업 침투, 5시간이면 충분하다” 산스 인스티튜트 보고서

윤리적 해커(Ethical Hacker)를 대상으로 한 최신 설문조사 결과는 가장 일반적인 초기 액세스 수단이 무엇인지 그리고 엔드투엔드 공격이 어떻게 발생하는지 등 다양한 인사이트를 제공한다.  산스 인스티튜트(SANS Institute)와 보안 회사 비숍 폭스(Bishop Fox)의 최신 보고서(2022 SANS Survey Report: Inside the Minds & Methods of Modern Adversaries)에 따르면 윤리적 해커의 약 40%가 (자신이) 테스트한 대부분의 환경에 침입할 수 있다고 밝혔다. 약 60%는 취약점만 파악하면 5시간 안에 침투할 수 있다고 말했다.   이번 설문조사는 정보 보안 분야에서 다양한 수준의 경력과 전문성을 갖추고 있는 300명 이상의 윤리적 해커를 대상으로 실시됐다. 보고서에 의하면 정찰, 악용, 권한 상승, 데이터 유출 등 공격 체인의 각 단계당 평균 ‘5시간’을 필요로 했으며, 엔드투엔드 공격에는 24시간 미만이 소요되는 것으로 조사됐다.  특히 윤리적 해커가 침투 테스트를 하거나 레드팀(모의 적군)으로 참여할 때 사용할 수 있는 기술이 제한돼 있다는 점을 고려한다면 기업들이 평균 탐지 시간과 평균 격리 시간을 개선해야 할 필요가 있다고 보고서는 전했다.    해커는 단 ‘몇 시간’ 만에 공격 가능한 취약점을 찾는다 특정 환경의 취약점을 파악하는 데 필요한 시간을 묻는 질문에 전체 응답자의 57%가 ‘10시간 이하’라고 말했다. 16%는 ‘6~10시간’, 25%는 ‘3~5시간’, 11%는 ‘1~2시간’, 5%가 ‘1시간 미만’이라고 답했다.  28%는 ‘모른다’라고 전했다(그 이유는 다양했으며, 10시간 이상 걸린다는 의미는 아니었다). 이는 많은 윤리적 해커가 (중요한 지표가 아니거나 시간에 민감한 사안이 아니라는 점에서) 경계 탐색 및 조사에 소요되는 시간을 추적하지 않기 때문일 수 있다. 아울러 (테스트한) 환경의 규모부터...

해커 윤리적 해커 침투 테스트 레드팀 취약점 네트워크 보안 내부 침투 테스트 애플리케이션 보안 클라우드 보안 데이터 유출 권한 상승

3일 전

윤리적 해커(Ethical Hacker)를 대상으로 한 최신 설문조사 결과는 가장 일반적인 초기 액세스 수단이 무엇인지 그리고 엔드투엔드 공격이 어떻게 발생하는지 등 다양한 인사이트를 제공한다.  산스 인스티튜트(SANS Institute)와 보안 회사 비숍 폭스(Bishop Fox)의 최신 보고서(2022 SANS Survey Report: Inside the Minds & Methods of Modern Adversaries)에 따르면 윤리적 해커의 약 40%가 (자신이) 테스트한 대부분의 환경에 침입할 수 있다고 밝혔다. 약 60%는 취약점만 파악하면 5시간 안에 침투할 수 있다고 말했다.   이번 설문조사는 정보 보안 분야에서 다양한 수준의 경력과 전문성을 갖추고 있는 300명 이상의 윤리적 해커를 대상으로 실시됐다. 보고서에 의하면 정찰, 악용, 권한 상승, 데이터 유출 등 공격 체인의 각 단계당 평균 ‘5시간’을 필요로 했으며, 엔드투엔드 공격에는 24시간 미만이 소요되는 것으로 조사됐다.  특히 윤리적 해커가 침투 테스트를 하거나 레드팀(모의 적군)으로 참여할 때 사용할 수 있는 기술이 제한돼 있다는 점을 고려한다면 기업들이 평균 탐지 시간과 평균 격리 시간을 개선해야 할 필요가 있다고 보고서는 전했다.    해커는 단 ‘몇 시간’ 만에 공격 가능한 취약점을 찾는다 특정 환경의 취약점을 파악하는 데 필요한 시간을 묻는 질문에 전체 응답자의 57%가 ‘10시간 이하’라고 말했다. 16%는 ‘6~10시간’, 25%는 ‘3~5시간’, 11%는 ‘1~2시간’, 5%가 ‘1시간 미만’이라고 답했다.  28%는 ‘모른다’라고 전했다(그 이유는 다양했으며, 10시간 이상 걸린다는 의미는 아니었다). 이는 많은 윤리적 해커가 (중요한 지표가 아니거나 시간에 민감한 사안이 아니라는 점에서) 경계 탐색 및 조사에 소요되는 시간을 추적하지 않기 때문일 수 있다. 아울러 (테스트한) 환경의 규모부터...

3일 전

수세 몰린 러시아, 대규모 사이버공격 조짐… 민간기업까지 위협할 수도

영국 국가사이버보안센터(NCSC), 우크라니아 정보국, 포레스터 리서치 등 여러 기관이 러시아가 대규모 사이버공격을 준비하고 있는 듯하다고 일제히 경고했다. 와이퍼 맬웨어, APT 등의 공격 수법으로 핵심 인프라와 민간 기업까지 위협받을 가능성이 있다는 전망이다.    린디 카메론 영국 국가사이버보안센터(NCSC) 소장이 28일(현지 시각) 채텀 하우스(영국 왕립 국제 문제연구소) 연설에서 러시아가 대규모 사이버공격을 준비하고 있다고 경고했다. 이는 여타 기관의 예측과도 일치한다.  며칠 전 우크라이나 보안국도 러시아가 우크라니아뿐만 아니라 동맹국의 핵심 인프라를 겨냥한 대규모 공격에 돌입할 조짐을 보인다고 발표했다. 이에 더해 포레스터 리서치는 러-우 사이버전쟁의 영향이 맬웨어를 통해 전쟁 지역을 넘어 유럽 전체로 퍼지고 있다고 전했다.    영국 NCSC, 올해 초부터 대응태세 강화 권고 러시아 사이버군은 전쟁 초기부터 사이버 공격에 공을 들여왔다. 우크라니아 정부가 시민과 소통하지 못하도록 방해하고, 금융 시스템을 망가뜨리고, 우크라니아 사이버군의 힘을 빼기 위해서다. 카메론 소장은 “러시아 사이버 공격의 가장 큰 특징은 와이퍼 맬웨어(wiper malware)다. 랜섬웨어처럼 침투한 장치의 데이터를 암호화하지만, 몸값을 받기 위해 암호를 풀지 않는다. 말 그대로 초기화(wipe)되는 셈이다”라고 설명했다.  올해 초부터 NCSC는 영국 기관에게 사이버 보안 태세를 단단히 갖추라고 권고해왔다. 카메론 소장은 “아직 공격을 당해보지 않았기 때문에 ‘벌써부터 호들갑을 떨 필요가 있나?’라고 마음속에 의문을 가질 수 있다. 네 대답은 ‘그렇다’이다”라고 말했다.  또한 그는 최근 러시아가 전쟁에서 수세에 몰렸다고 방심해서는 안 된다고 강조했다. 그는 “러시아는 사이버전에서 여전히 과감한 공격을 단행할 수 있다”라며 영국의 여러 기관 및 네트워크 보호 관리자들이 사이버보안의 고삐를 더 바...

사이버전쟁 랜섬웨어 와이퍼맬웨어 와이퍼악성코드 APT공격 데이터 침해 데이터 유출

2022.09.29

영국 국가사이버보안센터(NCSC), 우크라니아 정보국, 포레스터 리서치 등 여러 기관이 러시아가 대규모 사이버공격을 준비하고 있는 듯하다고 일제히 경고했다. 와이퍼 맬웨어, APT 등의 공격 수법으로 핵심 인프라와 민간 기업까지 위협받을 가능성이 있다는 전망이다.    린디 카메론 영국 국가사이버보안센터(NCSC) 소장이 28일(현지 시각) 채텀 하우스(영국 왕립 국제 문제연구소) 연설에서 러시아가 대규모 사이버공격을 준비하고 있다고 경고했다. 이는 여타 기관의 예측과도 일치한다.  며칠 전 우크라이나 보안국도 러시아가 우크라니아뿐만 아니라 동맹국의 핵심 인프라를 겨냥한 대규모 공격에 돌입할 조짐을 보인다고 발표했다. 이에 더해 포레스터 리서치는 러-우 사이버전쟁의 영향이 맬웨어를 통해 전쟁 지역을 넘어 유럽 전체로 퍼지고 있다고 전했다.    영국 NCSC, 올해 초부터 대응태세 강화 권고 러시아 사이버군은 전쟁 초기부터 사이버 공격에 공을 들여왔다. 우크라니아 정부가 시민과 소통하지 못하도록 방해하고, 금융 시스템을 망가뜨리고, 우크라니아 사이버군의 힘을 빼기 위해서다. 카메론 소장은 “러시아 사이버 공격의 가장 큰 특징은 와이퍼 맬웨어(wiper malware)다. 랜섬웨어처럼 침투한 장치의 데이터를 암호화하지만, 몸값을 받기 위해 암호를 풀지 않는다. 말 그대로 초기화(wipe)되는 셈이다”라고 설명했다.  올해 초부터 NCSC는 영국 기관에게 사이버 보안 태세를 단단히 갖추라고 권고해왔다. 카메론 소장은 “아직 공격을 당해보지 않았기 때문에 ‘벌써부터 호들갑을 떨 필요가 있나?’라고 마음속에 의문을 가질 수 있다. 네 대답은 ‘그렇다’이다”라고 말했다.  또한 그는 최근 러시아가 전쟁에서 수세에 몰렸다고 방심해서는 안 된다고 강조했다. 그는 “러시아는 사이버전에서 여전히 과감한 공격을 단행할 수 있다”라며 영국의 여러 기관 및 네트워크 보호 관리자들이 사이버보안의 고삐를 더 바...

2022.09.29

“크립토재커가 1달러 벌 때마다 피해자는 53달러 손해본다” 시스딕

사이버 보안 업체 시스딕(Sysdig)의 ‘2022 클라우드 네이티브 위협 보고서(2022 Sysdig Cloud Native Threat Report)’에 따르면 크립토재커가 ‘1달러’를 벌 때마다 피해자는 ‘53달러’를 잃는 것으로 조사됐다.  지난 수요일 발표된 보고서는 ‘크립토재킹’이 클라우드에서 실행되는 컨테이너 기반 기스템을 타깃으로 하는 일반적인 공격 유형이 됐으며, 지정학적 갈등(주로 러시아의 우크라이나 침공과 관련 있음)이 올해 디도스(DDoS) 공격 증가에 영향을 미쳤다고 밝혔다.  아울러 보고서는 컨테이너가 클라우드 기반 시스템에서 점점 더 많이 사용되면서 공급망 공격의 중요한 공격 벡터가 됐다고 덧붙였다. “컨테이너 이미지는 이식 가능하도록 설계됐기 때문에 한 개발자가 다른 사용자와 컨테이너를 공유하기가 매우 쉽다. 개발자가 컨테이너 이미지를 공유할 수 있도록 컨테이너 레지스트리를 배포하기 위한 소스 코드를 제공하거나, 컨테이너 레지스트리를 무료로 액세스할 수 있는 여러 오픈소스 프로젝트가 있다”라고 보고서는 설명했다.     악성 이미지가 포함된 퍼블릭 컨테이너 리포지토리 보고서는 도커 허브(Docker Hub)와 같은 퍼블릭 컨테이너 이미지 리포지토리가 합법적인 소프트웨어 애플리케이션으로 위장한 크립토마이너, 백도어 및 기타 위협 벡터를 포함하는 악성 이미지로 채워지고 있다고 언급했다.  이어 암호화폐를 채굴하기 위해 컴퓨팅 인프라를 무단으로 사용하는 크립토재킹이 (광범위하게 공격한 다음 누군가 걸려들길 기다리는) 기회주의형 공격자의 주된 동기이며, 치명적인 취약점과 취약한 시스템 구성을 악용한다고 보고서는 전했다.  시스딕의 위협 연구 부문 책임자 마이클 클라크는 “도커 허브를 분석한 결과 데이터 세트에서 발견된 총 고유 악성 이미지는 1,777개였다. 그중 608개 또는 34%의 컨테이너에 마이너 악성코드가 있었다”라고 말했다.  그에 의하면 크립토재킹이 확...

컨테이너 크립토재킹 크립토재커 암호화폐 가상자산 디도스 악성 이미지

2022.09.29

사이버 보안 업체 시스딕(Sysdig)의 ‘2022 클라우드 네이티브 위협 보고서(2022 Sysdig Cloud Native Threat Report)’에 따르면 크립토재커가 ‘1달러’를 벌 때마다 피해자는 ‘53달러’를 잃는 것으로 조사됐다.  지난 수요일 발표된 보고서는 ‘크립토재킹’이 클라우드에서 실행되는 컨테이너 기반 기스템을 타깃으로 하는 일반적인 공격 유형이 됐으며, 지정학적 갈등(주로 러시아의 우크라이나 침공과 관련 있음)이 올해 디도스(DDoS) 공격 증가에 영향을 미쳤다고 밝혔다.  아울러 보고서는 컨테이너가 클라우드 기반 시스템에서 점점 더 많이 사용되면서 공급망 공격의 중요한 공격 벡터가 됐다고 덧붙였다. “컨테이너 이미지는 이식 가능하도록 설계됐기 때문에 한 개발자가 다른 사용자와 컨테이너를 공유하기가 매우 쉽다. 개발자가 컨테이너 이미지를 공유할 수 있도록 컨테이너 레지스트리를 배포하기 위한 소스 코드를 제공하거나, 컨테이너 레지스트리를 무료로 액세스할 수 있는 여러 오픈소스 프로젝트가 있다”라고 보고서는 설명했다.     악성 이미지가 포함된 퍼블릭 컨테이너 리포지토리 보고서는 도커 허브(Docker Hub)와 같은 퍼블릭 컨테이너 이미지 리포지토리가 합법적인 소프트웨어 애플리케이션으로 위장한 크립토마이너, 백도어 및 기타 위협 벡터를 포함하는 악성 이미지로 채워지고 있다고 언급했다.  이어 암호화폐를 채굴하기 위해 컴퓨팅 인프라를 무단으로 사용하는 크립토재킹이 (광범위하게 공격한 다음 누군가 걸려들길 기다리는) 기회주의형 공격자의 주된 동기이며, 치명적인 취약점과 취약한 시스템 구성을 악용한다고 보고서는 전했다.  시스딕의 위협 연구 부문 책임자 마이클 클라크는 “도커 허브를 분석한 결과 데이터 세트에서 발견된 총 고유 악성 이미지는 1,777개였다. 그중 608개 또는 34%의 컨테이너에 마이너 악성코드가 있었다”라고 말했다.  그에 의하면 크립토재킹이 확...

2022.09.29

다중 인증 했는데도 털렸다? 눈 뜨고 코 베이는 ‘MFA 피로’ 공격

자격증명 손상(Credential compromise)은 오랫동안 네트워크 보안 침해의 주요 원인 중 하나였다. 이에 따라 많은 기업에서 방어 수단으로 다중 인증(MFA)을 사용하고 있다. 모든 계정에 MFA를 활성화하는 게 가장 좋다. 하지만 공격자도 이를 우회할 방법을 찾고 있다.   인기 있는 (우회) 방법 중 하나는 자격증명이 손상된 직원에게 (해당 직원이) 짜증 나서 인증 앱을 통해 요청을 승인할 때까지 스팸처럼 MFA 인증 요청을 보내는 것이다. 이는 ‘MFA 피로(MFA fatigue)’라고 알려져 있으며, 최근의 우버 해킹에서도 사용된 간단하면서 효과적인 기법이다.    우버, 랩서스 그리고… 지난주 우버가 (또다시) 해킹을 당했다. 한 해커가 지스위트(G-Suite), 슬랙(Slack), 오픈DNS(OpenDNS), 해커원(HackerOne) 버그 현상금 플랫폼 등 우버의 몇몇 내부 시스템에 액세스한 것이다.  우버의 보안 연구원 케빈 비오몬트가 트위터에서 이번 사건이 자신의 소행이라고 주장한 해커와 나눈 대화를 공개했는데, 해당 해커는 다음과 같이 밝혔다. “[한] 직원에게 인증을 요청하는 푸시 알림을 1시간 넘게 반복적으로 보냈다. 그리고 왓츠앱(WhatsApp)으로 우버의 IT 부서라고 연락했다. 팝업창을 멈추고 싶다면 수락해야 한다고 말하자 그는 이를 수락했고, 내 장치를 추가할 수 있었다.” 이후 우버는 보안 사고 업데이트에서 피해자가 우버의 외부 계약자였으며, 기기가 맬웨어에 감염된 후 우버 자격증명을 도난당했다고 밝혔다. 이 회사는 해커가 다크웹에서 자격증명을 구매하고, MFA 피로 공격을 시도한 것이라고 분석했다.  이어 “공격자는 해당 계약자(피해자)의 우버 계정에 반복적으로 로그인을 시도했다. 그때마다 계약자는 2단계 로그인 승인 요청을 받았다. 처음에는 액세스가 차단됐지만 결국 계약자가 이를 수락했고, 공격자는 로그인에 성공했다”라고 회사 측은 설명했다.  아...

해킹 보안 침해 다중 인증 다단계 인증 MFA 자격증명 손상 MFA 피로 랩서스 우버 사회 공학

2022.09.26

자격증명 손상(Credential compromise)은 오랫동안 네트워크 보안 침해의 주요 원인 중 하나였다. 이에 따라 많은 기업에서 방어 수단으로 다중 인증(MFA)을 사용하고 있다. 모든 계정에 MFA를 활성화하는 게 가장 좋다. 하지만 공격자도 이를 우회할 방법을 찾고 있다.   인기 있는 (우회) 방법 중 하나는 자격증명이 손상된 직원에게 (해당 직원이) 짜증 나서 인증 앱을 통해 요청을 승인할 때까지 스팸처럼 MFA 인증 요청을 보내는 것이다. 이는 ‘MFA 피로(MFA fatigue)’라고 알려져 있으며, 최근의 우버 해킹에서도 사용된 간단하면서 효과적인 기법이다.    우버, 랩서스 그리고… 지난주 우버가 (또다시) 해킹을 당했다. 한 해커가 지스위트(G-Suite), 슬랙(Slack), 오픈DNS(OpenDNS), 해커원(HackerOne) 버그 현상금 플랫폼 등 우버의 몇몇 내부 시스템에 액세스한 것이다.  우버의 보안 연구원 케빈 비오몬트가 트위터에서 이번 사건이 자신의 소행이라고 주장한 해커와 나눈 대화를 공개했는데, 해당 해커는 다음과 같이 밝혔다. “[한] 직원에게 인증을 요청하는 푸시 알림을 1시간 넘게 반복적으로 보냈다. 그리고 왓츠앱(WhatsApp)으로 우버의 IT 부서라고 연락했다. 팝업창을 멈추고 싶다면 수락해야 한다고 말하자 그는 이를 수락했고, 내 장치를 추가할 수 있었다.” 이후 우버는 보안 사고 업데이트에서 피해자가 우버의 외부 계약자였으며, 기기가 맬웨어에 감염된 후 우버 자격증명을 도난당했다고 밝혔다. 이 회사는 해커가 다크웹에서 자격증명을 구매하고, MFA 피로 공격을 시도한 것이라고 분석했다.  이어 “공격자는 해당 계약자(피해자)의 우버 계정에 반복적으로 로그인을 시도했다. 그때마다 계약자는 2단계 로그인 승인 요청을 받았다. 처음에는 액세스가 차단됐지만 결국 계약자가 이를 수락했고, 공격자는 로그인에 성공했다”라고 회사 측은 설명했다.  아...

2022.09.26

피싱에도 ‘부캐’ 등판?··· 이란 해킹그룹의 새 공격 캠페인 발견돼

이란이 후원하는 해킹그룹이 새로운 스피어 피싱 전략을 구사하기 시작했다. 여러 가짜 페르소나를 사용하여 이메일을 주고받아 더욱더 신뢰하도록 하는 방식이다.  프루프포인트(Proofpoint)는 해당 그룹이 TA453이라고 추정했으나, 이란의 다른 해킹그룹 챠밍 키튼(Charming Kitten), 포스포러스(Phosphorus), APT42의 짓이라는 분석도 있었다. 이를테면 맨디언트(Mendiant)는 최근 APT42가 이슬람혁명수비대(IRGC)의 정보기구(IRGC-IO)를 대신하고 있으며, 고도로 표적화된 사회공학을 하고 있는 것 같다고 밝혔다.  프루프포인트 연구진은 최신 보고서에서 “2022년 중반부터 시작해 TA453이 표적형 사회공학을 새로운 차원으로 끌어올렸다. 한 사람이 통제하는 한 페르소나가 아니라, 여러 페르소나가 있다. 이 기법을 통해 TA453은 사회적 증거(편집자 주: 다른 사람들의 행동과 의견으로 행동 및 의사결정의 기준을 삼는다는 뜻)의 심리학적 원리를 활용하여 타깃을 속일 수 있고, 아울러 위협 행위자의 스피어 피싱 신뢰성을 높일 수 있다”라고 설명했다.    ‘멀티-페르소나’ 사칭의 작동 방식 프루프포인트에서 분석한 최근 이메일 공격은 TA453의 위협 행위자가 타깃과 관련된 주제로 신중하게 제작된 이메일을 (타깃에게) 보내는 것으로 시작됐다. 이러한 이메일은 일반적으로 타깃과 같은 분야에서 일하는 다른 학자나 연구원을 사칭했다.  예를 들면 중동 지역 전문가를 타깃으로 한 이메일에서 공격자는 FPRI(Foreign Policy Research Institute)의 연구 책임자 아론 스타인을 사칭하여 이스라엘, 걸프 국가, 아브라함 협정에 관한 대화를 시작했다. 또 공격자는 이메일에 퓨 리서치 센터(Pew Research Center)의 글로벌 태세 연구 책임자 리처드 위크도 참조에 넣어 소개했다.  여기서 이메일에 위조된 ID는 모두 실제로 해당 기관에서 일하는 실...

피싱 피싱 메일 스피어 피싱 해킹그룹 멀티 페르소나

2022.09.16

이란이 후원하는 해킹그룹이 새로운 스피어 피싱 전략을 구사하기 시작했다. 여러 가짜 페르소나를 사용하여 이메일을 주고받아 더욱더 신뢰하도록 하는 방식이다.  프루프포인트(Proofpoint)는 해당 그룹이 TA453이라고 추정했으나, 이란의 다른 해킹그룹 챠밍 키튼(Charming Kitten), 포스포러스(Phosphorus), APT42의 짓이라는 분석도 있었다. 이를테면 맨디언트(Mendiant)는 최근 APT42가 이슬람혁명수비대(IRGC)의 정보기구(IRGC-IO)를 대신하고 있으며, 고도로 표적화된 사회공학을 하고 있는 것 같다고 밝혔다.  프루프포인트 연구진은 최신 보고서에서 “2022년 중반부터 시작해 TA453이 표적형 사회공학을 새로운 차원으로 끌어올렸다. 한 사람이 통제하는 한 페르소나가 아니라, 여러 페르소나가 있다. 이 기법을 통해 TA453은 사회적 증거(편집자 주: 다른 사람들의 행동과 의견으로 행동 및 의사결정의 기준을 삼는다는 뜻)의 심리학적 원리를 활용하여 타깃을 속일 수 있고, 아울러 위협 행위자의 스피어 피싱 신뢰성을 높일 수 있다”라고 설명했다.    ‘멀티-페르소나’ 사칭의 작동 방식 프루프포인트에서 분석한 최근 이메일 공격은 TA453의 위협 행위자가 타깃과 관련된 주제로 신중하게 제작된 이메일을 (타깃에게) 보내는 것으로 시작됐다. 이러한 이메일은 일반적으로 타깃과 같은 분야에서 일하는 다른 학자나 연구원을 사칭했다.  예를 들면 중동 지역 전문가를 타깃으로 한 이메일에서 공격자는 FPRI(Foreign Policy Research Institute)의 연구 책임자 아론 스타인을 사칭하여 이스라엘, 걸프 국가, 아브라함 협정에 관한 대화를 시작했다. 또 공격자는 이메일에 퓨 리서치 센터(Pew Research Center)의 글로벌 태세 연구 책임자 리처드 위크도 참조에 넣어 소개했다.  여기서 이메일에 위조된 ID는 모두 실제로 해당 기관에서 일하는 실...

2022.09.16

'과잉권한이 여전히 만성질환' IBM, 클라우드 침투 테스트 결과 공개

IBM X-포스 레드 클라우드 침투 테스팅 팀이 14일 (현지 시각) 발간한 클라우드 보안 보고서에서 과잉 접근 권한이 흔한 취약점으로 나타났다. 팀이 시행한 보안 테스트 중 99% 이상에서 과잉 권한이 부여됐다.    IBM X-포스 레드 클라우드 침투 테스팅 팀이 14일 (현지 시각) 발간한 클라우드 보안 보고서에서 과잉 접근 권한이 큰 취약점으로 나타났다. 팀이 시행한 보안 테스트 중 99% 이상에서 과잉 권한이 부여됐다.  사용자와 관리 계정 모두 일관적으로 필요 이상의 접근 권한 및 특권을 부여받았다고 팀은 보고했다. 과잉 권한은가장 단순하지만 가장 위험하다. 계정이 탈취당하는 순간 클라우드 시스템의 온갖 보안 방책이 무력화되는 셈이다.    그 밖에도 클라우드 분야의 보안 성과는 좋지 않았다. 해킹을 당해 다크웹이 판매되는 계정의 수가 2배나 증가했으며, 모든 클라우드 취약점의 평균 심각도가 악화했다. 구체적으로 CVSS를 기준으로 하는 취약점 수준은 10년 전 15에서 18로 증가했다.    클라우드 취약점, 고양이에 생선 주는 격  밝혀진 클라우드 취약점의 총 규모도 작년 대비 28%나 늘어났다고 보고서는 밝혔다. 취약한 클라우드 시스템에 침투한 맬웨어 중 가장 흔한 유형은 크립토재킹(cryptojacking)과 랜섬웨어로 나타났다. 데이터 탈취 공격도 무시할 수 없는 비중을 차지했다.  크립토재킹은 암호화폐 채굴로 해킹을 하는 방식으로 최근 해커들의 관심을 한 몸에 받고 있는 기법 중 하나다. 채굴 비용을 피해자에게 떠넘길 수 있다는 것이 가장 고유한 특징이다. 하지만 이 외에도 온프레미스 시스템에 비해 클라우드 서비스를 이용하는 기업의 안전 불감증이 심한 편이며 이미 알려진 취약점이 많다는 낮은 진입 장벽도 큰 몫을 한다고 보고서는 설명했다.    구성 설정 오류는 여전히 가장 흔한 취약점으로 나타났으며, 그 밖에 로...

과잉권한 클라우드계정 권한 계정 계정권한 맬웨어 크립토재킹

2022.09.15

IBM X-포스 레드 클라우드 침투 테스팅 팀이 14일 (현지 시각) 발간한 클라우드 보안 보고서에서 과잉 접근 권한이 흔한 취약점으로 나타났다. 팀이 시행한 보안 테스트 중 99% 이상에서 과잉 권한이 부여됐다.    IBM X-포스 레드 클라우드 침투 테스팅 팀이 14일 (현지 시각) 발간한 클라우드 보안 보고서에서 과잉 접근 권한이 큰 취약점으로 나타났다. 팀이 시행한 보안 테스트 중 99% 이상에서 과잉 권한이 부여됐다.  사용자와 관리 계정 모두 일관적으로 필요 이상의 접근 권한 및 특권을 부여받았다고 팀은 보고했다. 과잉 권한은가장 단순하지만 가장 위험하다. 계정이 탈취당하는 순간 클라우드 시스템의 온갖 보안 방책이 무력화되는 셈이다.    그 밖에도 클라우드 분야의 보안 성과는 좋지 않았다. 해킹을 당해 다크웹이 판매되는 계정의 수가 2배나 증가했으며, 모든 클라우드 취약점의 평균 심각도가 악화했다. 구체적으로 CVSS를 기준으로 하는 취약점 수준은 10년 전 15에서 18로 증가했다.    클라우드 취약점, 고양이에 생선 주는 격  밝혀진 클라우드 취약점의 총 규모도 작년 대비 28%나 늘어났다고 보고서는 밝혔다. 취약한 클라우드 시스템에 침투한 맬웨어 중 가장 흔한 유형은 크립토재킹(cryptojacking)과 랜섬웨어로 나타났다. 데이터 탈취 공격도 무시할 수 없는 비중을 차지했다.  크립토재킹은 암호화폐 채굴로 해킹을 하는 방식으로 최근 해커들의 관심을 한 몸에 받고 있는 기법 중 하나다. 채굴 비용을 피해자에게 떠넘길 수 있다는 것이 가장 고유한 특징이다. 하지만 이 외에도 온프레미스 시스템에 비해 클라우드 서비스를 이용하는 기업의 안전 불감증이 심한 편이며 이미 알려진 취약점이 많다는 낮은 진입 장벽도 큰 몫을 한다고 보고서는 설명했다.    구성 설정 오류는 여전히 가장 흔한 취약점으로 나타났으며, 그 밖에 로...

2022.09.15

“기업의 약 3분의 1, 클라우드서 민감 데이터 암호화 안해”

오르카 시큐리티(Orca Security)의 최신 퍼블릭 클라우드 보안 보고서(2022 State of Public Cloud Security Report)에 따르면 대부분의 기업들이 ‘클라우드 보안’을 최우선 순위로 꼽으면서도 기본적인 클라우드 데이터 보안 위생은 무시하는 것으로 나타났다. 전체 설문조사 응답 기업의 36%가 클라우드 자산에 암호화되지 않은 민감한 데이터(예: 회사 기밀 및 개인식별정보(PII) 등)를 보유하고 있다고 밝혔다.  글로벌 팬데믹은 클라우드 컴퓨팅 전환을 가속했다. 갑작스럽게 대규모 원격근무 체재로 이동하면서 직원들이 어디서나 비즈니스 시스템에 액세스할 수 있도록 해야 했기 때문이다. 가트너는 올해 전 세계 퍼블릭 클라우드 컴퓨팅 서비스 지출이 20.4% 증가한 미화 총 4,947억 달러를 기록할 전망이라고 언급했으며, 2023년에는 6,000억 달러에 육박할 것이라고 예상했다.  IT 리소스를 클라우드로 서둘러 옮기는 과정에서 기업들은 확장되는 클라우드 공격 표면과 증가하는 멀티클라우드 복잡성을 따라잡기 위해 고군분투하고 있다. 아울러 숙련된 사이버 보안 인력의 부족은 이러한 상황을 더욱더 악화시키고 있다고 보고서는 전했다.    오르카 시큐리티의 공동 설립자 겸 CEO 아비 슈아는 “클라우드에서의 (보안) 위험은 온프레미스 환경보다 크지 않다. 그보다는 다르다”라고 말했다.  이어 그는 “온프레미스 환경에서 기업들은 인프라를 더 잘 제어할 수 있지만 이것이 꼭 좋은 것만은 아니다. 많은 기업과 비교해 클라우드 서비스 업체는 인프라 보안을 보장하는 전용 리소스가 훨씬 더 많다. 공유 책임 모델에서 기업들은 클라우드에서 실행하는 애플리케이션과 서비스에 여전히 책임이 있으며, 온프레미스 환경과 유사한 위험이 있다. 클라우드 보안을 차별화하는 것은 문화적 변화다. 모든 것이 온프레미스보다 훨씬 더 빠르게 진행되고 있으며, 온프레미스 환경과는 다른 보안 위협을 제기하는 더 많은 관리...

클라우드 보안 데이터 보안 개인식별정보

2022.09.14

오르카 시큐리티(Orca Security)의 최신 퍼블릭 클라우드 보안 보고서(2022 State of Public Cloud Security Report)에 따르면 대부분의 기업들이 ‘클라우드 보안’을 최우선 순위로 꼽으면서도 기본적인 클라우드 데이터 보안 위생은 무시하는 것으로 나타났다. 전체 설문조사 응답 기업의 36%가 클라우드 자산에 암호화되지 않은 민감한 데이터(예: 회사 기밀 및 개인식별정보(PII) 등)를 보유하고 있다고 밝혔다.  글로벌 팬데믹은 클라우드 컴퓨팅 전환을 가속했다. 갑작스럽게 대규모 원격근무 체재로 이동하면서 직원들이 어디서나 비즈니스 시스템에 액세스할 수 있도록 해야 했기 때문이다. 가트너는 올해 전 세계 퍼블릭 클라우드 컴퓨팅 서비스 지출이 20.4% 증가한 미화 총 4,947억 달러를 기록할 전망이라고 언급했으며, 2023년에는 6,000억 달러에 육박할 것이라고 예상했다.  IT 리소스를 클라우드로 서둘러 옮기는 과정에서 기업들은 확장되는 클라우드 공격 표면과 증가하는 멀티클라우드 복잡성을 따라잡기 위해 고군분투하고 있다. 아울러 숙련된 사이버 보안 인력의 부족은 이러한 상황을 더욱더 악화시키고 있다고 보고서는 전했다.    오르카 시큐리티의 공동 설립자 겸 CEO 아비 슈아는 “클라우드에서의 (보안) 위험은 온프레미스 환경보다 크지 않다. 그보다는 다르다”라고 말했다.  이어 그는 “온프레미스 환경에서 기업들은 인프라를 더 잘 제어할 수 있지만 이것이 꼭 좋은 것만은 아니다. 많은 기업과 비교해 클라우드 서비스 업체는 인프라 보안을 보장하는 전용 리소스가 훨씬 더 많다. 공유 책임 모델에서 기업들은 클라우드에서 실행하는 애플리케이션과 서비스에 여전히 책임이 있으며, 온프레미스 환경과 유사한 위험이 있다. 클라우드 보안을 차별화하는 것은 문화적 변화다. 모든 것이 온프레미스보다 훨씬 더 빠르게 진행되고 있으며, 온프레미스 환경과는 다른 보안 위협을 제기하는 더 많은 관리...

2022.09.14

강은성의 보안 아키텍트ㅣ돈 되는 곳에 해킹 있다? - 천문학적 피해를 일으키는 가상자산 해킹

지난 4월 말 코엑스에서는 ‘8K 빅 픽처 인 포레스트'(8K Big Picture in FOR:REST)’라는 낯선 이름의 전시회가 열렸다.    “작가의 원화와 8K 고화질 디지털·NFT 작품을 감상”할 수 있다는 기사의 소개처럼 NFT의 주요 적용 분야 중 하나인 그림 작품을 실세계에 전시한 것이라 상당히 눈길을 끌었다. 2021년은 대체불가토큰(NFT, Non Fungible Token) 시장이 폭발적으로 성장한 한 해였다.   NFT 시장분석 사이트인 NonFungible.com에 따르면 2021년 NFT 거래는 약 177억 달러 규모로 2020년 8,250만 달러 대비 약 213배에 이른다. 가히 폭발적 성장이라 할 수 있다.  다양한 표정과 치장을 한 원숭이로 인기를 끈 ‘지루한 원숭이 요트클럽'(Bored Ape Yacht Club) 같은 프로필로부터 예술 창작품, 게임, 메타버스 등 활용되는 분야가 다양해진 덕분이다. 마케팅 수단으로 NFT를 도입하는 기업도 많이 늘었다.  돈 되는 곳에 해킹이 있듯 올해 NFT에 대한 해킹이 많이 발생했다. 블록체인 분석 기업 엘립틱(Elliptic)에 따르면 2021년 7월부터 2022년 7월까지 약 1억 달러(약 1,350억 원) 상당의 NFT가 도난당했다.  NFT가 블록체인 위에 기록되지만, 사고는 비밀번호 해킹과 피싱 같은 전통적인 방식으로 많이 일어났다. NFT 발행자가 주도하는 SNS에서 관리자의 계정 정보가 해킹되고, 그 계정으로 위장 NFT 발행 링크가 게시되어 그것을 따라간 사용자들이 자신의 지갑에 있던 NFT를 탈취당하거나 가짜 NFT에 가상자산을 사기당하는 식이다. 피싱 메일을 통해 해킹이 이뤄지기도 한다. 관리자 계정에 다단계 인증만 제대로 적용해도 많은 부분 대응할 수 있는 문제다. 가상자산에서 더 큰 피해는 블록체인 브리지에서 발생했다.    블록체인 브리지(또는 크로스체인 브리지)는 한 가상...

가상자산 블록체인 NFT 대체불가토큰 메타버스 해킹 피싱 블록체인 브리지 크로스체인 브리지 탈중앙화 금융 로닌 웜홀

2022.09.13

지난 4월 말 코엑스에서는 ‘8K 빅 픽처 인 포레스트'(8K Big Picture in FOR:REST)’라는 낯선 이름의 전시회가 열렸다.    “작가의 원화와 8K 고화질 디지털·NFT 작품을 감상”할 수 있다는 기사의 소개처럼 NFT의 주요 적용 분야 중 하나인 그림 작품을 실세계에 전시한 것이라 상당히 눈길을 끌었다. 2021년은 대체불가토큰(NFT, Non Fungible Token) 시장이 폭발적으로 성장한 한 해였다.   NFT 시장분석 사이트인 NonFungible.com에 따르면 2021년 NFT 거래는 약 177억 달러 규모로 2020년 8,250만 달러 대비 약 213배에 이른다. 가히 폭발적 성장이라 할 수 있다.  다양한 표정과 치장을 한 원숭이로 인기를 끈 ‘지루한 원숭이 요트클럽'(Bored Ape Yacht Club) 같은 프로필로부터 예술 창작품, 게임, 메타버스 등 활용되는 분야가 다양해진 덕분이다. 마케팅 수단으로 NFT를 도입하는 기업도 많이 늘었다.  돈 되는 곳에 해킹이 있듯 올해 NFT에 대한 해킹이 많이 발생했다. 블록체인 분석 기업 엘립틱(Elliptic)에 따르면 2021년 7월부터 2022년 7월까지 약 1억 달러(약 1,350억 원) 상당의 NFT가 도난당했다.  NFT가 블록체인 위에 기록되지만, 사고는 비밀번호 해킹과 피싱 같은 전통적인 방식으로 많이 일어났다. NFT 발행자가 주도하는 SNS에서 관리자의 계정 정보가 해킹되고, 그 계정으로 위장 NFT 발행 링크가 게시되어 그것을 따라간 사용자들이 자신의 지갑에 있던 NFT를 탈취당하거나 가짜 NFT에 가상자산을 사기당하는 식이다. 피싱 메일을 통해 해킹이 이뤄지기도 한다. 관리자 계정에 다단계 인증만 제대로 적용해도 많은 부분 대응할 수 있는 문제다. 가상자산에서 더 큰 피해는 블록체인 브리지에서 발생했다.    블록체인 브리지(또는 크로스체인 브리지)는 한 가상...

2022.09.13

한 줄 코드가 낳았던 보안 위기··· 허트블리드 버그 A to Z

2014년 4월에 선보인 OpenSSL의 취약성 허트블리드(Heartbleed)는 야후(Yahoo) 같은 주요 사이트를 구동하는 수천 개의 웹 서버에 존재했다. OpenSSL은 ‘TLS & SSL 프로토콜’을 구현하는 오픈소스 코드 라이브러리이다. 이 취약성 때문에 악의적인 공격자가 취약한 웹 서버를 손쉽게 속여 사용자 이름과 비밀번호 등의 민감한 정보를 전송하도록 할 수 있었다. 이 결함은 TLS/SSL 표준 자체보다 OpenSSL 구현에 있었지만 문제는 OpenSSL이 너무 광범위하게 사용되고 있다는 점이다(버그가 공개되었을 때, 전체 SSL 서버의 17%가 영향을 받았다).   허트블리드를 허트블리드라 부르는 이유? ‘허트블리드’라는 이름은 TLS/SSL 프로토콜의 중요한 구성요소의 이름인 ‘heartbeat’에서 유래했다. ‘heartbeat’는 사용자가 다운로드 또는 업로드를 하지 않고 있는 순간에 서로 통신하는 2개의 컴퓨터가 여전히 연결되어 있음을 서로에게 알려주는 방식이다. 때로는 두 컴퓨터 중 하나가 다른 컴퓨터에게 ‘heartbeat request’라는 암호화된 데이터를 전송한다. 두번째 컴퓨터는 정확히 동일한 암호화된 데이터로 응답하여 연결되어 있음을 증명한다. 허트블리드 취약성은 공격자가 ‘heartbeat request’를 사용하여 대상 서버로부터 정보를 추출할 수 있기 때문에 이름이 붙여졌다. 은유적으로 표현하자면, 피해자는 ‘heartbeat request’를 통해 민감한 데이터를 유출(bleed)한다. 허트블리드는 어떻게 작동하는가? 허트블리드는 민감한 사실 하나에 기반한다. ‘heartbeat request’에는 자체 길이에 대한 정보가 포함되어 있지만 취약한 버전의 OpenSSL 라이브러리는 정보가 정확한지 확인하지 않으며 공격자는 이를 활용해 대상 서버가 비공개로 유지되어야 하는 메모리 부분에 대한 공격자의 액세스를 허용하도록 속일 수 있다. 그 이면의 메커니즘을 이해하기 위해 전형적인 OpenSSL...

버그 하트블리드 허트블리트 역사 OpenSSL

2022.09.08

2014년 4월에 선보인 OpenSSL의 취약성 허트블리드(Heartbleed)는 야후(Yahoo) 같은 주요 사이트를 구동하는 수천 개의 웹 서버에 존재했다. OpenSSL은 ‘TLS & SSL 프로토콜’을 구현하는 오픈소스 코드 라이브러리이다. 이 취약성 때문에 악의적인 공격자가 취약한 웹 서버를 손쉽게 속여 사용자 이름과 비밀번호 등의 민감한 정보를 전송하도록 할 수 있었다. 이 결함은 TLS/SSL 표준 자체보다 OpenSSL 구현에 있었지만 문제는 OpenSSL이 너무 광범위하게 사용되고 있다는 점이다(버그가 공개되었을 때, 전체 SSL 서버의 17%가 영향을 받았다).   허트블리드를 허트블리드라 부르는 이유? ‘허트블리드’라는 이름은 TLS/SSL 프로토콜의 중요한 구성요소의 이름인 ‘heartbeat’에서 유래했다. ‘heartbeat’는 사용자가 다운로드 또는 업로드를 하지 않고 있는 순간에 서로 통신하는 2개의 컴퓨터가 여전히 연결되어 있음을 서로에게 알려주는 방식이다. 때로는 두 컴퓨터 중 하나가 다른 컴퓨터에게 ‘heartbeat request’라는 암호화된 데이터를 전송한다. 두번째 컴퓨터는 정확히 동일한 암호화된 데이터로 응답하여 연결되어 있음을 증명한다. 허트블리드 취약성은 공격자가 ‘heartbeat request’를 사용하여 대상 서버로부터 정보를 추출할 수 있기 때문에 이름이 붙여졌다. 은유적으로 표현하자면, 피해자는 ‘heartbeat request’를 통해 민감한 데이터를 유출(bleed)한다. 허트블리드는 어떻게 작동하는가? 허트블리드는 민감한 사실 하나에 기반한다. ‘heartbeat request’에는 자체 길이에 대한 정보가 포함되어 있지만 취약한 버전의 OpenSSL 라이브러리는 정보가 정확한지 확인하지 않으며 공격자는 이를 활용해 대상 서버가 비공개로 유지되어야 하는 메모리 부분에 대한 공격자의 액세스를 허용하도록 속일 수 있다. 그 이면의 메커니즘을 이해하기 위해 전형적인 OpenSSL...

2022.09.08

한 달 동안 숨었다 작동하는 암호화폐 채굴 맬웨어 출현

인기 소프트웨어 다운로드 사이트의 합법적 애플리케이션 설치 프로그램에 함께 묻어서 설치되는 다단계 멀웨어가 발견돼 사용자 주의가 요구된다. 암호화폐 채굴 프로그램이 포함된 악성 페이로드는 최대 1개월 동안 천천히 단계적으로 실행될 수 있다. 보안업체인 체크포인트 소프트웨어 테크놀로지스(Check Point Software Technologies)의 연구팀은 새로운 보고서에서 “소프트웨어 초기 설치 이후 공격자는 감염 과정을 몇 주 동안 지연시키면서 원래 설치된 흔적을 삭제했다. 따라서 수 년 동안 눈에 띄지 않고 성공적으로 작동할 수 있었다”라고 분석했다.   트로이 목마 형태의 멀웨어, 2019년부터 시작돼 체크포인트 리서치 부서에 따르면, 니트로코드(Nitrokod)라는 터키어를 구사하는 소프트웨어 개발자가 이 암호화폐 채굴 멀웨어의 배후인데, 이 멀웨어는 최소 2019년부터 확인된다. 니트로코드 웹사이트는 2017년부터 비디오 및 음악 변환기, 비디오 다운로더, 음악 플레이어 등의 무료 소프트웨어 애플리케이션을 제작해왔으며 설치 사용자 수가 약 50만 명이라고 주장하고 있다. 니트로코드의 트로이 목마형 프로그램 중 일부는 소프트피디아(Softpedia)나 업투다운(Uptodown) 같은 앱 다운로드 사이트에서 찾아볼 수 있다. 체크포인트가 분석한 앱은 구글 번역 데스크톱으로 불리며, 보통 브라우저형 웹 서비스로 사용할 수 있는 구글 번역 서비스의 데스크톱 애플리케이션 버전이다. 실제로 구글 번역 데스크톱 앱 자체는 앱 개발자가 자사 앱에 크롬 브라우저를 구현해 웹 콘텐츠를 표시할 수 있도록 하는 오픈소스 크롬 임베디드 프레임워크(CEF) 프로젝트를 이용해 만들어졌다. 따라서 니트로코드는 어렵지 않게 잘 작동하는 앱을 만들 수 있었다. 구글 번역 데스크톱 외에, 개발자는 얀덱스 번역 데스크톱(Yandex Translate Desktop), 마이크로소프트 번역기 데스크톱, 유튜브 뮤직 데스크톱, MP3 다운로드 관리자, PC 오토 셧다운(PC...

멀웨어 암호화폐채굴기 악성프로그램 맬웨어

2022.09.02

인기 소프트웨어 다운로드 사이트의 합법적 애플리케이션 설치 프로그램에 함께 묻어서 설치되는 다단계 멀웨어가 발견돼 사용자 주의가 요구된다. 암호화폐 채굴 프로그램이 포함된 악성 페이로드는 최대 1개월 동안 천천히 단계적으로 실행될 수 있다. 보안업체인 체크포인트 소프트웨어 테크놀로지스(Check Point Software Technologies)의 연구팀은 새로운 보고서에서 “소프트웨어 초기 설치 이후 공격자는 감염 과정을 몇 주 동안 지연시키면서 원래 설치된 흔적을 삭제했다. 따라서 수 년 동안 눈에 띄지 않고 성공적으로 작동할 수 있었다”라고 분석했다.   트로이 목마 형태의 멀웨어, 2019년부터 시작돼 체크포인트 리서치 부서에 따르면, 니트로코드(Nitrokod)라는 터키어를 구사하는 소프트웨어 개발자가 이 암호화폐 채굴 멀웨어의 배후인데, 이 멀웨어는 최소 2019년부터 확인된다. 니트로코드 웹사이트는 2017년부터 비디오 및 음악 변환기, 비디오 다운로더, 음악 플레이어 등의 무료 소프트웨어 애플리케이션을 제작해왔으며 설치 사용자 수가 약 50만 명이라고 주장하고 있다. 니트로코드의 트로이 목마형 프로그램 중 일부는 소프트피디아(Softpedia)나 업투다운(Uptodown) 같은 앱 다운로드 사이트에서 찾아볼 수 있다. 체크포인트가 분석한 앱은 구글 번역 데스크톱으로 불리며, 보통 브라우저형 웹 서비스로 사용할 수 있는 구글 번역 서비스의 데스크톱 애플리케이션 버전이다. 실제로 구글 번역 데스크톱 앱 자체는 앱 개발자가 자사 앱에 크롬 브라우저를 구현해 웹 콘텐츠를 표시할 수 있도록 하는 오픈소스 크롬 임베디드 프레임워크(CEF) 프로젝트를 이용해 만들어졌다. 따라서 니트로코드는 어렵지 않게 잘 작동하는 앱을 만들 수 있었다. 구글 번역 데스크톱 외에, 개발자는 얀덱스 번역 데스크톱(Yandex Translate Desktop), 마이크로소프트 번역기 데스크톱, 유튜브 뮤직 데스크톱, MP3 다운로드 관리자, PC 오토 셧다운(PC...

2022.09.02

‘반짝 출현 후 사라진’ 10대 해킹단체 랩서스, 수법과 대비책은?

미국 사이버보안 회사 테너블(Tenable)의 선임 연구 엔지니어 클레어 틸스가 회사 블로그에 해킹그룹 랩서스(Lapsus$)를 추적해 조사한 결과를 발표했다. 그는 랩서스의 공격 수법에 대해 “겁 없고, 터무니없으며 단순하기 짝이 없다”라고 평가했다.   그럼에도 이들은 마이크로소프트, 삼성, 엔비디아, 보다폰(Vodaphone), 유비소프트(Ubisoft) 및 옥타(Okta) 같은 유명한 회사를 공격해 이목을 집중시켰다. 데이터를 탈취하거나 랜섬웨어로 피해 기업을 갈취하기도 했다.  랩서스가 악명을 얻기까지 다른 사이버 범죄 조직과 달리, 랩서스는 오직 자체 텔레그램 채널을 통해 운영된다. 다크 웹에서 유출 사이트를 운영하지 않는다. 이 조직은 데이터를 갈취해 공개할 회사를 골라 달라며 커뮤니티에 물어보는 식으로 지금까지 텔레그램에 공격할 기업을 언급해왔다. 랩서스는 단순한 수법으로 파격적인 공격 방식을 전개해 많은 이를 당황케 했다. 예를 들어, 올해 초에는 고객 센터 제공업체 시텔(Sitel)의 컴퓨터 시스템에 침입하는 것을 시작으로 단계적인 해킹 전략을 구사했다. 이를 통해 시텔과 협력하는 클라우드 보안 업체 옥타에서 일하는 지원 엔지니어의 노트북까지 해킹해 결국 옥타의 기업 네트워크까지 침투했다. 틸스에 따르면, 랩서스 그룹은 다음과 같이 꽤나 보편적인 수법을 사용해왔다:    외부에 공개된 로그인 정보를 이용하거나 다크웹에서 로그인 정보를 구매하여 공격할 기업의 네트워크에 초기 접근  비밀번호 도용 직원들에게 대가를 지급해 접근 정보 구매  헬프데스크의 도움을 받거나 인증요청을 대량으로 살포해 다중 인증 절차 우회  VPN, 가상 데스크톱, 마이크로소프트 쉐어포인트, 가상 데스크톱 같은 애플리케이션에 로그인해 추가 크리덴셜 및 중요 정보 탈취  지라(Jira), 깃랩(GitLab) 및 컨플루언스(Confluence) 같은 소프트웨어의 미패치 취약점을 악...

랩서스 테너블 랜섬웨어 다크웹

2022.08.12

미국 사이버보안 회사 테너블(Tenable)의 선임 연구 엔지니어 클레어 틸스가 회사 블로그에 해킹그룹 랩서스(Lapsus$)를 추적해 조사한 결과를 발표했다. 그는 랩서스의 공격 수법에 대해 “겁 없고, 터무니없으며 단순하기 짝이 없다”라고 평가했다.   그럼에도 이들은 마이크로소프트, 삼성, 엔비디아, 보다폰(Vodaphone), 유비소프트(Ubisoft) 및 옥타(Okta) 같은 유명한 회사를 공격해 이목을 집중시켰다. 데이터를 탈취하거나 랜섬웨어로 피해 기업을 갈취하기도 했다.  랩서스가 악명을 얻기까지 다른 사이버 범죄 조직과 달리, 랩서스는 오직 자체 텔레그램 채널을 통해 운영된다. 다크 웹에서 유출 사이트를 운영하지 않는다. 이 조직은 데이터를 갈취해 공개할 회사를 골라 달라며 커뮤니티에 물어보는 식으로 지금까지 텔레그램에 공격할 기업을 언급해왔다. 랩서스는 단순한 수법으로 파격적인 공격 방식을 전개해 많은 이를 당황케 했다. 예를 들어, 올해 초에는 고객 센터 제공업체 시텔(Sitel)의 컴퓨터 시스템에 침입하는 것을 시작으로 단계적인 해킹 전략을 구사했다. 이를 통해 시텔과 협력하는 클라우드 보안 업체 옥타에서 일하는 지원 엔지니어의 노트북까지 해킹해 결국 옥타의 기업 네트워크까지 침투했다. 틸스에 따르면, 랩서스 그룹은 다음과 같이 꽤나 보편적인 수법을 사용해왔다:    외부에 공개된 로그인 정보를 이용하거나 다크웹에서 로그인 정보를 구매하여 공격할 기업의 네트워크에 초기 접근  비밀번호 도용 직원들에게 대가를 지급해 접근 정보 구매  헬프데스크의 도움을 받거나 인증요청을 대량으로 살포해 다중 인증 절차 우회  VPN, 가상 데스크톱, 마이크로소프트 쉐어포인트, 가상 데스크톱 같은 애플리케이션에 로그인해 추가 크리덴셜 및 중요 정보 탈취  지라(Jira), 깃랩(GitLab) 및 컨플루언스(Confluence) 같은 소프트웨어의 미패치 취약점을 악...

2022.08.12

‘전송 중 파일서 악성코드 검출’… 딥 인스팅트, 새 안티 맬웨어 발표

사이버 보안업체 딥 인스팅트(Deep Instinct)가 새 맬웨어 방지 소프트웨어 ‘애플리케이션 포 딥 인스팅트 프리벤션(Deep Instinct Prevention for Applications)’을 출시했다. 시스템에 업로드되거나 다운로드되는 파일 중 악성코드가 심어진 파일을 탐지해 해킹을 사전 중단시키는 것이 핵심 기능이다.  회사에 따르면 이 소프트웨어는 고객 환경 내 컨테이너에서 구축되며, 클라우드에 연결하지 않아도 작동한다. API를 를 기반으로 작동해 모든 시스템 및 장치에서 구동될 만큼 유연하며, 전송 중인 파일을 검색해 엔드포인트를 넘어 위협 보호 기능을 한층 더 향상시킨다고 업체 측은 설명했다.  딥 인스팅트의 제품 솔루션 담당 이사 카렌 크롤리는 기업에서 매우 널리 사용되고 있는 PDF 및 오피스 파일은 여전히 해커들의 대규모 공격 대상이라고 전했다. 그는 "PDF 문서의 텍스트, 이미지 및 코드에 악성 스크립트가 심겨 있을 수 있다. 이런 스크립트는 탐지되기 쉽지 않으며, 기업의 보안에 해를 가할 위험이 있다”라며 "이러한 파일은 사이버 범죄자에게 백도어를 열어줘, 그들이 기기의 접근 권한을 탈취해 네트워크의 다른 영역까지 침투할 가능성도 있다”라고 말했다.    크롤리는 새 솔루션이 20분 이내에 수백만 개의 파일을 검색한다고 밝혔다. 그는 “솔루션의 ‘브레인(brain)’은 도커 컨테이너 형식으로 배포되며, 웹 애플리케이션과 웹 게이트웨이 관련 파일까지 스캔할 수 있다. 스캔이 완료되면 애플리케이션은 ‘악성 코드 발견’ 혹은 ‘안전함(’이라는 검사 결과를 송출한다. 만일 악성 코드 발견이 뜨면, 애플리케이션은 사용자에게 격리, 삭제 그리고 샌드박스 이렇게 3가지의 유연한 대응 방식을 제공한다”라고 설명했다. 새 솔루션은 위협 유형을 분류하고 탐지 및 대응을 개선하고자 업체의 클라우드 기반 데이터 애널리틱스 서비스로 파일을 전송할 수도 있다고 크롤리는 덧붙였다. 그는 "악성코드를 판별하는...

맬웨어 PDF문서형악성코드 악성코드 딥러닝

2022.08.08

사이버 보안업체 딥 인스팅트(Deep Instinct)가 새 맬웨어 방지 소프트웨어 ‘애플리케이션 포 딥 인스팅트 프리벤션(Deep Instinct Prevention for Applications)’을 출시했다. 시스템에 업로드되거나 다운로드되는 파일 중 악성코드가 심어진 파일을 탐지해 해킹을 사전 중단시키는 것이 핵심 기능이다.  회사에 따르면 이 소프트웨어는 고객 환경 내 컨테이너에서 구축되며, 클라우드에 연결하지 않아도 작동한다. API를 를 기반으로 작동해 모든 시스템 및 장치에서 구동될 만큼 유연하며, 전송 중인 파일을 검색해 엔드포인트를 넘어 위협 보호 기능을 한층 더 향상시킨다고 업체 측은 설명했다.  딥 인스팅트의 제품 솔루션 담당 이사 카렌 크롤리는 기업에서 매우 널리 사용되고 있는 PDF 및 오피스 파일은 여전히 해커들의 대규모 공격 대상이라고 전했다. 그는 "PDF 문서의 텍스트, 이미지 및 코드에 악성 스크립트가 심겨 있을 수 있다. 이런 스크립트는 탐지되기 쉽지 않으며, 기업의 보안에 해를 가할 위험이 있다”라며 "이러한 파일은 사이버 범죄자에게 백도어를 열어줘, 그들이 기기의 접근 권한을 탈취해 네트워크의 다른 영역까지 침투할 가능성도 있다”라고 말했다.    크롤리는 새 솔루션이 20분 이내에 수백만 개의 파일을 검색한다고 밝혔다. 그는 “솔루션의 ‘브레인(brain)’은 도커 컨테이너 형식으로 배포되며, 웹 애플리케이션과 웹 게이트웨이 관련 파일까지 스캔할 수 있다. 스캔이 완료되면 애플리케이션은 ‘악성 코드 발견’ 혹은 ‘안전함(’이라는 검사 결과를 송출한다. 만일 악성 코드 발견이 뜨면, 애플리케이션은 사용자에게 격리, 삭제 그리고 샌드박스 이렇게 3가지의 유연한 대응 방식을 제공한다”라고 설명했다. 새 솔루션은 위협 유형을 분류하고 탐지 및 대응을 개선하고자 업체의 클라우드 기반 데이터 애널리틱스 서비스로 파일을 전송할 수도 있다고 크롤리는 덧붙였다. 그는 "악성코드를 판별하는...

2022.08.08

뜨거웠던 7월··· 주요 ‘보안 이슈’ 살펴보기

맬웨어가 포함된 구글 플레이 앱부터 러시아의 클라우드 스토리지 서비스 하이재킹, 옥타 플랫폼의 결함 아닌 결함까지 여기서는 지난 7월 한 달 동안 흥미로웠던 몇 가지 보안 연구 결과를 소개한다.  여름 휴가철에도 해커는 쉬지 않는다. 보안 연구진 또한 해커를 추적하고 (해커가) 악용할 수 있는 경로를 파헤치느라 바쁘다.    가짜 안드로이드 앱이 여전히 판치는 구글 플레이 신뢰할 수 있는 앱 출처라고 하면 당연히 안전한 모바일 애플리케이션을 다운로드 받는다고 생각한다. 하지만 안타깝게도 항상 그런 건 아니다.  새롭게 불거진 문제는 아니지만 지스케일러 쓰레트랩(Zscaler ThreatLabz)과 프라데오(Pradeo)의 최근 보고서는 구글의 앱 스토어 ‘구글 플레이(Google Play)’에서 맬웨어가 포함된 안드로이드 앱이 계속 발견되고 있다고 밝혔다. 보고서에 따르면 조커(Joker), 페이스스틸러(Facestealer), 코퍼(Coper) 등의 맬웨어 제품군이 여러 앱 인스턴스에서 포착됐다.  지스케일러의 연구원 바이럴 간디와 히만슈 샤르마는 보고서에서 “조커는 안드로이드 기기를 표적으로 하는 맬웨어 중 하나다. 이미 널리 알려진 악성코드이긴 하지만 이는 코드, 실행 방법, 페이로드 검색 기술을 업데이트하는 등 맬웨어의 시그니처를 정기적으로 수정하면서 구글의 앱 스토어에 계속 침투하고 있다”라고 설명했다.  연구진은 즉시 이를 구글에 알렸고, 구글은 이 악성 앱을 제거하기 위한 조치를 취했다. 한편 본인을 시스템 관리자, 사이버 보안 애널리스트, 침투 테스터 및 개발자라고 밝힌 아론 락스(@MAST3R0x1A4)는 트위터와 링크드인에서 “구글처럼 규모가 크고 #플레이스토어를 운영하는 기업이 어떻게 이런 광범위한 맬웨어 배포를 계속 허용할 수 있는지 정말 이해할 수 없다”라고 지적했다.  맬웨어의 통로 역할을 한 클라우드 스토리지 서비스 7월은 구글의 제품 및 보안에 썩 좋지 않은...

맬웨어 악성코드 취약점 옥타 구글 플레이 스토어 클라우드 스토리지

2022.08.01

맬웨어가 포함된 구글 플레이 앱부터 러시아의 클라우드 스토리지 서비스 하이재킹, 옥타 플랫폼의 결함 아닌 결함까지 여기서는 지난 7월 한 달 동안 흥미로웠던 몇 가지 보안 연구 결과를 소개한다.  여름 휴가철에도 해커는 쉬지 않는다. 보안 연구진 또한 해커를 추적하고 (해커가) 악용할 수 있는 경로를 파헤치느라 바쁘다.    가짜 안드로이드 앱이 여전히 판치는 구글 플레이 신뢰할 수 있는 앱 출처라고 하면 당연히 안전한 모바일 애플리케이션을 다운로드 받는다고 생각한다. 하지만 안타깝게도 항상 그런 건 아니다.  새롭게 불거진 문제는 아니지만 지스케일러 쓰레트랩(Zscaler ThreatLabz)과 프라데오(Pradeo)의 최근 보고서는 구글의 앱 스토어 ‘구글 플레이(Google Play)’에서 맬웨어가 포함된 안드로이드 앱이 계속 발견되고 있다고 밝혔다. 보고서에 따르면 조커(Joker), 페이스스틸러(Facestealer), 코퍼(Coper) 등의 맬웨어 제품군이 여러 앱 인스턴스에서 포착됐다.  지스케일러의 연구원 바이럴 간디와 히만슈 샤르마는 보고서에서 “조커는 안드로이드 기기를 표적으로 하는 맬웨어 중 하나다. 이미 널리 알려진 악성코드이긴 하지만 이는 코드, 실행 방법, 페이로드 검색 기술을 업데이트하는 등 맬웨어의 시그니처를 정기적으로 수정하면서 구글의 앱 스토어에 계속 침투하고 있다”라고 설명했다.  연구진은 즉시 이를 구글에 알렸고, 구글은 이 악성 앱을 제거하기 위한 조치를 취했다. 한편 본인을 시스템 관리자, 사이버 보안 애널리스트, 침투 테스터 및 개발자라고 밝힌 아론 락스(@MAST3R0x1A4)는 트위터와 링크드인에서 “구글처럼 규모가 크고 #플레이스토어를 운영하는 기업이 어떻게 이런 광범위한 맬웨어 배포를 계속 허용할 수 있는지 정말 이해할 수 없다”라고 지적했다.  맬웨어의 통로 역할을 한 클라우드 스토리지 서비스 7월은 구글의 제품 및 보안에 썩 좋지 않은...

2022.08.01

‘페이스북 비즈니스 계정만 노린다’… 새 공격 수법 ‘덕테일’ 발견

핀란드의 한 사이버 보안 회사가 페이스북 비즈니스 계정 사용자만 노리는 새로운 유형의 스피어 피싱 맬웨어를 발견해 그 정체를 파헤치는 데 성공하며, 주의를 당부했다.    핀란드 사이버 보안업체 위드시큐어(WithSecure)가 소셜 미디어 계정을 악용하는 새로운 스피어 피싱 수법을 발견했다고 지난 26일(현지 시각) 한 보고서에서 밝혔다. ‘덕테일(Ducktail)’이라고 명명된 이 맬웨어는 페이스북 비즈니스 계정 이용자를 겨냥한다.  업체는 연구 결과 한 베트남 해커가 공격자로 밝혀졌으며, 이 수법은 회사 페이스북 계정에 접근 권한을 가진 관리자의 링크드인 계정으로 맬웨어 메시지를 보내 계정 권한을 탈취한다고 설명했다. 또한 해커는 공격 대상의 이메일 주소로 악성코드가 담긴 이메일을 전송하기도 한다고 연구진은 말했다.   이 공격 수법이 특별히 위험한 이유는, 해당 해커가 페이스북 비즈니스 계정의 접근 권한을 탈취하고자 인포스틸러(Infostealer)라는 전용 맬웨어 컴포넌트를 개발했기 때문이라고 업체 측은 설명했다. 기존 공격 수법은 이렇듯 특정 사용자만 겨냥하지 않았다.    공격 대상이 악성 링크를 열게 될 시, 인포스틸러 맬웨어가 컴퓨터에 설치되어 시스템에 침투한다. 따라서 브라우저 캐시에서 페이스북 비즈니스 계정 접근 권한과 관련된 정보를 추출할 수 있다. 또한, 공격 대상의 컴퓨터에 설치되는 맬웨어에는 텔레그램 봇이 포함되어 있다. 해커는 이를 마치 지휘 및 통제 센터처럼 활용해 탈취한 정보를 자신에게 전송한다. 연구진에 따르면 해커는 이 맬웨어로 페이스북 광고 계정을 해킹함은 물론, 수많은 개인 데이터에 접근할 수 있다. 여기에는 이중 인증(2FA) 코드, IP 주소와 GPS 정보를 비롯해 신용카드 번호 같은 세부적인 금융 정보까지 포함된다고 보고서는 설명했다. 위드시큐어의 모하마드 카젬 하산 네자드 연구원은 ‘덕테일’ 맬웨어가 특정 사용자만을 겨냥하기 때문에 ...

스피어피싱 맬웨어 페이스북 링크드인 텔레그램 텔레그램봇

2022.07.27

핀란드의 한 사이버 보안 회사가 페이스북 비즈니스 계정 사용자만 노리는 새로운 유형의 스피어 피싱 맬웨어를 발견해 그 정체를 파헤치는 데 성공하며, 주의를 당부했다.    핀란드 사이버 보안업체 위드시큐어(WithSecure)가 소셜 미디어 계정을 악용하는 새로운 스피어 피싱 수법을 발견했다고 지난 26일(현지 시각) 한 보고서에서 밝혔다. ‘덕테일(Ducktail)’이라고 명명된 이 맬웨어는 페이스북 비즈니스 계정 이용자를 겨냥한다.  업체는 연구 결과 한 베트남 해커가 공격자로 밝혀졌으며, 이 수법은 회사 페이스북 계정에 접근 권한을 가진 관리자의 링크드인 계정으로 맬웨어 메시지를 보내 계정 권한을 탈취한다고 설명했다. 또한 해커는 공격 대상의 이메일 주소로 악성코드가 담긴 이메일을 전송하기도 한다고 연구진은 말했다.   이 공격 수법이 특별히 위험한 이유는, 해당 해커가 페이스북 비즈니스 계정의 접근 권한을 탈취하고자 인포스틸러(Infostealer)라는 전용 맬웨어 컴포넌트를 개발했기 때문이라고 업체 측은 설명했다. 기존 공격 수법은 이렇듯 특정 사용자만 겨냥하지 않았다.    공격 대상이 악성 링크를 열게 될 시, 인포스틸러 맬웨어가 컴퓨터에 설치되어 시스템에 침투한다. 따라서 브라우저 캐시에서 페이스북 비즈니스 계정 접근 권한과 관련된 정보를 추출할 수 있다. 또한, 공격 대상의 컴퓨터에 설치되는 맬웨어에는 텔레그램 봇이 포함되어 있다. 해커는 이를 마치 지휘 및 통제 센터처럼 활용해 탈취한 정보를 자신에게 전송한다. 연구진에 따르면 해커는 이 맬웨어로 페이스북 광고 계정을 해킹함은 물론, 수많은 개인 데이터에 접근할 수 있다. 여기에는 이중 인증(2FA) 코드, IP 주소와 GPS 정보를 비롯해 신용카드 번호 같은 세부적인 금융 정보까지 포함된다고 보고서는 설명했다. 위드시큐어의 모하마드 카젬 하산 네자드 연구원은 ‘덕테일’ 맬웨어가 특정 사용자만을 겨냥하기 때문에 ...

2022.07.27

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.5.0.8