Offcanvas

보안 / 악성코드

“리눅스 서버·IoT 기기 노리는 새 '미라이 봇넷 변종 출현”

2023.02.20 Apurva Venkat  |  CSO
팔로알토 네트웍스의 ‘유닛 42(Unit 42)’에 따르면 디도스(DDoS) 공격용 봇넷을 만드는 미라이 봇넷의 새로운 변종 ‘V3G4’가 발견됐다. 이는 지난 6개월 동안 3개 캠페인에서 13개의 서로 다른 취약점을 악용했다.  

대규모 디도스 공격에 사용되는 봇넷 맬웨어 ‘미라이(Mirai)’의 새 변종은 리눅스 서버에 연결된 IoT 기기의 13개 취약점을 표적으로 삼았다고 유닛 42는 밝혔다. 이를 통해 기기가 손상되면 공격자는 [해당 기기를] 완전히 제어할 수 있고, 봇넷의 일부로 디도스 공격을 포함한 추가 캠페인을 수행하는 데 쓸 수 있다. 
 
ⓒGetty Images Bank

유닛 42는 보고서에서 “이 취약점은 이전에 발견된 변종보다 공격 복잡성이 적지만 원격 코드 실행으로 이어지는 크리티컬한 영향을 미칠 수 있다”라고 말했다. 

V3G4 활동은 2022년 7월과 12월 사이 3개 캠페인에서 관찰됐다. 연구진에 의하면 3개 캠페인 모두 동일한 변종 및 미라이 봇넷에 연결된 것으로 분석됐다. 보고서는 감염된 기기와의 통신을 유지하는 데 사용하는 하드-코딩된 명령 및 제어(C2) 인프라 도메인에 동일한 문자열 형식이 포함돼 있다는 점에 주목했다. 아울러 셸 스크립트 다운로드도 유사하며, 모든 공격에 활용된 봇넷의 기능도 동일했다는 설명이다. 

이어 보고서는 V3G4를 배포하는 공격자가 원격 코드 실행으로 이어질 수 있는 취약점을 악용했다고 밝혔다. 악성코드는 일단 실행되면 호스트 기기가 이미 감염됐는지 확인한다. 이미 감염됐다면 기기를 종료한다. 또 하드코딩된 목록에서 경쟁 봇넷 맬웨어 제품군을 포함하는 일련의 프로세스를 비활성화한다. 

대부분의 미라이 변종이 문자열 암호화에 동일한 키를 사용하는 반면, V3G4 변종은 시나리오마다 다른 XOR 암호화 키를 사용한다고 연구진은 언급했다(XOR은 암호화에 자주 사용되는 불(Boolean) 논리 연산이다). V3G4는 기본 또는 취약한 로그인 자격 증명 집합을 포함한다. 이는 텔넷(Telnet) 및 SSH 네트워크 프로토콜을 통해 무차별 대입 공격을 수행하고 [이를] 다른 시스템으로 전파하는 데 사용된다. 이후 C2 서버와 연락을 취하고 디도스 공격 시작 명령을 대기한다고 유닛 42는 설명했다.  

V3G4는 아스테리스크(Asterisk) 통신 서버용 프리PBX(FreePBX) 관리 도구(취약점 CVE- 2012-4869), 아틀라시안 컨플루언스(CVE-2022-26134), 웹민(Webmin) 시스템 관리 도구(CVE-2019-15107), 드레이텍 비거(DrayTek Vigor) 라우터(CVE-2020-8515: and CVE-2020-15415), C-데이터 웹 관리 시스템(CVE-2022-4257) 등을 포함한 취약점을 악용했다. 

지금까지 발견된 전체 취약점 목록, 감염을 감지하고 예방할 수 있는 사이버 보안 소프트웨어, 코드 스니펫 등은 팔로알토의 권고 사항을 확인하면 된다. 또 유닛 42는 가능하다면 패치 및 업데이트를 수행하여 취약점을 교정하라고 권장했다. 

미라이의 진화
한편 지난 몇 년 동안 미라이는 앱오리지널 리눅스(Aboriginal Linux)라는 오픈소스 프로젝트를 활용해 SD-WAN, 기업 화상회의 시스템 등 여러 플랫폼을 감염시켰다. 

미라이 봇넷은 럿거스 대학교(Rutgers University)의 학부생 파라스 자가 개발한 일련의 맬웨어 패키지 버전이다. 그는 안나-센파이(Anna-Senpai)라는 사용자 이름으로 [이를] 온라인에 올리면서 미라이(일본어로 미래를 의미)라고 명명했다. 이 봇넷은 하드코딩된 암호 목록을 포함해 몇 가지 기술을 캡슐화했다. 2016년 12월 자와 그의 동료는 미라이 공격과 관련된 범죄를 시인했다. 하지만 그때까지 이 코드는 해커 세계에 남아 있었고, 추가적인 봇넷 컨트롤러를 구축하는 데 사용됐다. 

이는 누구나 이를 사용해 IoT 기기를 감염시키거나 디도스 공격을 시작하거나 해당 권한을 판매하는 등의 불법 행위를 할 수 있는 의미다. 많은 사이버 범죄자가 그렇게 했고, 아울러 코드를 수정하고 개선해 더욱더 효과적으로 쓸 수 있게 만들었다. 

미라이의 첫 대규모 공격은 2016년 9월에 있었다. 프랑스의 호스팅 업체 OVH를 공격하는 데 사용됐다. 이어 같은 해 10월에는 인터넷 도메인 서비스 업체 ‘딘(Dyn)’을 공격해 미국 동부 지역의 인터넷이 마비됐다. ciokr@idg.co.kr

 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.