Offcanvas

���������

강은성의 보안 아키텍트ㅣ랜섬웨어와 랜섬웨어 ‘산업’에 대응하려면

올해 상반기에도 랜섬웨어 피해에 관한 뉴스가 줄을 이었다. 2월 미국의 글로벌 물류업체 익스피다이터스(Expeditors)가 랜섬웨어 공격을 받아 약 3주간 서비스를 하지 못해 미화 6,000만 달러(한화 약 7,440억 원) 이상의 손실을 봤고, 3월에는 미국의 글로벌 타이어 기업 브리지스톤(Bridgestone)이 러시아 랜섬웨어 갱단 록빗(Lockbit) 2.0의 공격으로 10일 동안 생산이 중단됐다. 4월에는 러시아 랜섬웨어 갱단 콘티(Conti)가 코스타리카 재무부를 공격하여 정부가 국가 비상사태를 선포했고, 5월에는 페루 정보기관을 해킹하기도 하였다.  블록체인 데이터 분석 기업 체이널리시스(Chainalysis)는 2021년에 몸값으로 지급된 가상자산만 6억 200만 달러(약 7,250억 원)로 파악됐다고 밝혔고, 사이버 경제 분석 기업 사이버시큐리티 벤처스(Cybersecurity Ventures)는 「2019 Official Annual Cybercrime Report」에서 2021년 랜섬웨어 피해를 20억 달러(약 2조 4,000억 원)로 추정하였다. 엄청난 규모다.   국내 피해도 증가하는 추세다. 올해 2월 과학기술정보통신부에 따르면, 2021년 랜섬웨어 피해 신고 건수는 223건으로 2020년 대비 76%로 급증했고, 1월 신고 건수 역시 19건으로 2020년 11건에서 많이 증가했다. 랜섬웨어용 보안솔루션은 아직 시장에 나와 있지 않다. 지난 5월 한국침해사고대응팀협의회가 주최한 ‘랜섬웨어 대응 콘테스트’에 나온 보안기업들도 주로 기존 보안솔루션의 기능을 활용하여 랜섬웨어에 대응하는 방법을 소개하였다. 결국 각 기업이 사업과 업무, IT 인프라와 보안솔루션을 고려하여 랜섬웨어 대응 전략을 짜고 구현해야 하는 상황이다. 랜섬웨어는 악성코드의 일종이고, 지능형 표적(APT) 공격 방식으로 많이 배포되므로, 이를 예방하기 위한 방법은 악성코드 및 APT 공격에 대한 대책과 그리 다르지 않다(“APT 공격, 어떻게 ...

랜섬웨어 록빗 콘티 악성코드 지능형 표적 공격 랩서스 비즈니스 연속성 서비스형 랜섬웨어 레빌 클롭 사이버 범죄 강은성 강은성의 보안 아키텍트

2022.07.11

올해 상반기에도 랜섬웨어 피해에 관한 뉴스가 줄을 이었다. 2월 미국의 글로벌 물류업체 익스피다이터스(Expeditors)가 랜섬웨어 공격을 받아 약 3주간 서비스를 하지 못해 미화 6,000만 달러(한화 약 7,440억 원) 이상의 손실을 봤고, 3월에는 미국의 글로벌 타이어 기업 브리지스톤(Bridgestone)이 러시아 랜섬웨어 갱단 록빗(Lockbit) 2.0의 공격으로 10일 동안 생산이 중단됐다. 4월에는 러시아 랜섬웨어 갱단 콘티(Conti)가 코스타리카 재무부를 공격하여 정부가 국가 비상사태를 선포했고, 5월에는 페루 정보기관을 해킹하기도 하였다.  블록체인 데이터 분석 기업 체이널리시스(Chainalysis)는 2021년에 몸값으로 지급된 가상자산만 6억 200만 달러(약 7,250억 원)로 파악됐다고 밝혔고, 사이버 경제 분석 기업 사이버시큐리티 벤처스(Cybersecurity Ventures)는 「2019 Official Annual Cybercrime Report」에서 2021년 랜섬웨어 피해를 20억 달러(약 2조 4,000억 원)로 추정하였다. 엄청난 규모다.   국내 피해도 증가하는 추세다. 올해 2월 과학기술정보통신부에 따르면, 2021년 랜섬웨어 피해 신고 건수는 223건으로 2020년 대비 76%로 급증했고, 1월 신고 건수 역시 19건으로 2020년 11건에서 많이 증가했다. 랜섬웨어용 보안솔루션은 아직 시장에 나와 있지 않다. 지난 5월 한국침해사고대응팀협의회가 주최한 ‘랜섬웨어 대응 콘테스트’에 나온 보안기업들도 주로 기존 보안솔루션의 기능을 활용하여 랜섬웨어에 대응하는 방법을 소개하였다. 결국 각 기업이 사업과 업무, IT 인프라와 보안솔루션을 고려하여 랜섬웨어 대응 전략을 짜고 구현해야 하는 상황이다. 랜섬웨어는 악성코드의 일종이고, 지능형 표적(APT) 공격 방식으로 많이 배포되므로, 이를 예방하기 위한 방법은 악성코드 및 APT 공격에 대한 대책과 그리 다르지 않다(“APT 공격, 어떻게 ...

2022.07.11

옥타·MS·삼성 턴 겁없는 10대... ‘랩서스’를 심각하게 봐야 할 이유

지난 3월 옥타(Okta) 데이터 침해 사건 이후, (용의자가 체포되자 휴가를 간다며 당분간 활동을 중단하겠다고 밝혔던) ‘랩서스(LAPSUS$)’ 해킹그룹이 얼마되지 않아 룩셈부르크의 소프트웨어 회사 글로반트(Globant)를 공격해 데이터를 유출했다고 발표하면서 ‘휴가’에서 복귀했다.   보도에 따르면 영국의 10대로 구성된 이 해킹그룹은 (지난 3월 30일) 텔레그램 채널에 글로반트를 해킹했다고 발표했다. 대기업에서 데이터를 훔치고, 원하는 몸값을 주지 않으면 (이를) 공개하겠다고 위협하는 것으로 알려진 랩서스는 글로반트의 데브옵스 인프라에서 데이터와 자격증명 등으로 구성된 70GB 용량의 자료를 탈취했다고 밝혔다. 랩서스가 해킹했다고 주장한 데이터에는 컨플루언스 및 지라를 포함한 이 회사의 아틀라시안 제품군에서 발견된 관리자 암호와 크루시블(Crucible) 코드 검토 도구 등이 포함돼 있다.  낮은 수준의 기법 그리고 2가지 유형의 EDR 랩서스는 2021년 12월 처음 등장했으며, 삼성(Samsung), 임프레사(Impresa), 엔비디아(NVIDIA), 보다폰(Vodafone), 유비소프트(Ubisoft) 등 여러 대기업을 해킹해 유명세를 떨쳤다. 가장 최근에는 애플과 메타(페이스북 모회사)도 랩서스에게 당했다는 사실이 드러났다(애플과 메타는 사법당국을 사칭한 해커에게 속아 고객 정보를 넘겼고, 랩서스가 이 공격의 배후로 점쳐졌다).  보안 연구원 브라이언 크렙스는 블로그에서 랩서스가 “낮은 수준의 기법이지만 영향력이 큰 방법(low-tech but high-impact methods)”을 사용하여 타깃에 액세스하는 방법을 간략하게 설명했다. 그에 따르면 여기에는 ‘EDR(긴급 데이터 요청)’ 남용이 포함된다. 범죄자들은 사법당국의 자격증명을 확보한 다음 통신업체, 인터넷 서비스 업체, 소셜 미디어 사이트 등에 사용자 데이터를 무단 요청한다. 요청된 정보가 법원의 명령을 기다릴 수 없는 긴급한 사안과 관련돼 있다고...

랩서스 해킹그룹 랜섬웨어 그룹 사회공학 기법 EDR

2022.04.11

지난 3월 옥타(Okta) 데이터 침해 사건 이후, (용의자가 체포되자 휴가를 간다며 당분간 활동을 중단하겠다고 밝혔던) ‘랩서스(LAPSUS$)’ 해킹그룹이 얼마되지 않아 룩셈부르크의 소프트웨어 회사 글로반트(Globant)를 공격해 데이터를 유출했다고 발표하면서 ‘휴가’에서 복귀했다.   보도에 따르면 영국의 10대로 구성된 이 해킹그룹은 (지난 3월 30일) 텔레그램 채널에 글로반트를 해킹했다고 발표했다. 대기업에서 데이터를 훔치고, 원하는 몸값을 주지 않으면 (이를) 공개하겠다고 위협하는 것으로 알려진 랩서스는 글로반트의 데브옵스 인프라에서 데이터와 자격증명 등으로 구성된 70GB 용량의 자료를 탈취했다고 밝혔다. 랩서스가 해킹했다고 주장한 데이터에는 컨플루언스 및 지라를 포함한 이 회사의 아틀라시안 제품군에서 발견된 관리자 암호와 크루시블(Crucible) 코드 검토 도구 등이 포함돼 있다.  낮은 수준의 기법 그리고 2가지 유형의 EDR 랩서스는 2021년 12월 처음 등장했으며, 삼성(Samsung), 임프레사(Impresa), 엔비디아(NVIDIA), 보다폰(Vodafone), 유비소프트(Ubisoft) 등 여러 대기업을 해킹해 유명세를 떨쳤다. 가장 최근에는 애플과 메타(페이스북 모회사)도 랩서스에게 당했다는 사실이 드러났다(애플과 메타는 사법당국을 사칭한 해커에게 속아 고객 정보를 넘겼고, 랩서스가 이 공격의 배후로 점쳐졌다).  보안 연구원 브라이언 크렙스는 블로그에서 랩서스가 “낮은 수준의 기법이지만 영향력이 큰 방법(low-tech but high-impact methods)”을 사용하여 타깃에 액세스하는 방법을 간략하게 설명했다. 그에 따르면 여기에는 ‘EDR(긴급 데이터 요청)’ 남용이 포함된다. 범죄자들은 사법당국의 자격증명을 확보한 다음 통신업체, 인터넷 서비스 업체, 소셜 미디어 사이트 등에 사용자 데이터를 무단 요청한다. 요청된 정보가 법원의 명령을 기다릴 수 없는 긴급한 사안과 관련돼 있다고...

2022.04.11

엔비디아 털어간 해커조직에 삼성도 당했다… “고객정보 유출은 없어”

최근 해커조직 랩서스(Lapsus$)가 삼성전자를 해킹해 190GB에 달하는 기밀 데이터를 탈취했다고 주장했고, 이 주장이 사실로 확인되면서 업계가 발칵 뒤집혔다.  삼성전자는 특정 내부 회사 데이터의 보안 침해를 확인했으며, 랩서스의 공격 수법은 랜섬웨어로 추정된다. 한편 이번 사건은 랩서스가 엔비디아(Nvidia)의 서버에서 1TB에 달하는 데이터를 훔쳐 20GB의 문서 아카이브를 공개한 지 불과 일주일 만에 발생했다.    지난 3월 4일 이 랜섬웨어 그룹은 삼성 소프트웨어에서 C/C++ 명령의 스냅샷을 사용하여 데이터 탈취를 처음으로 공개했다. 이후 암호화, 접근 제어, 하드웨어 암호화에 사용되는 삼성의 트러스트존(TrustZone) 환경에 설치된 모든 트러스티드 애플렛(Trusted Applet; TA)의 소스코드를 언급하면서 이번 데이터 해킹 사건을 설명했다.  아울러 랩서스는 탈취한 데이터를 3개의 토렌트 파일로 압축하여 올렸다. 이 3개의 파일을 합친 용량은 190GB에 이른다. 블리핑 컴퓨터(Bleeping Computer)에 따르면 이 토렌트에는 3개의 아카이브 각각에 어떤 콘텐츠가 담겼는지 소개하는 간략한 설명이 포함돼 있다.  • ‘1부(Part 1)’에는 보안(Security)/디펜스(Defense)/녹스(Knox)/부트로더(Bootloader)/트러스티드앱스(TrustedApps) 및 기타 여러 항목의 소스코드와 관련 데이터가 포함돼 있다.  • ‘2부(Part 2)’에는 기기 보안 및 암호화에 관한 소스코드와 관련 데이터가 포함돼 있다.  • ‘3부(Part 3)’에는 모바일 디펜스 엔지니어링(mobile defense engineering), 삼성 계정 백엔드(Samsung account backend), 삼성 패스 백엔드/프론트엔드(Samsung pass backend/frontend), SES 등 삼성 깃허브의 다양한 리포지토리가 포함돼 있다. ...

삼성전자 삼성 해커조직 랩서스 엔비디아 데이터 유출 보안 침해 랜섬웨어

2022.03.08

최근 해커조직 랩서스(Lapsus$)가 삼성전자를 해킹해 190GB에 달하는 기밀 데이터를 탈취했다고 주장했고, 이 주장이 사실로 확인되면서 업계가 발칵 뒤집혔다.  삼성전자는 특정 내부 회사 데이터의 보안 침해를 확인했으며, 랩서스의 공격 수법은 랜섬웨어로 추정된다. 한편 이번 사건은 랩서스가 엔비디아(Nvidia)의 서버에서 1TB에 달하는 데이터를 훔쳐 20GB의 문서 아카이브를 공개한 지 불과 일주일 만에 발생했다.    지난 3월 4일 이 랜섬웨어 그룹은 삼성 소프트웨어에서 C/C++ 명령의 스냅샷을 사용하여 데이터 탈취를 처음으로 공개했다. 이후 암호화, 접근 제어, 하드웨어 암호화에 사용되는 삼성의 트러스트존(TrustZone) 환경에 설치된 모든 트러스티드 애플렛(Trusted Applet; TA)의 소스코드를 언급하면서 이번 데이터 해킹 사건을 설명했다.  아울러 랩서스는 탈취한 데이터를 3개의 토렌트 파일로 압축하여 올렸다. 이 3개의 파일을 합친 용량은 190GB에 이른다. 블리핑 컴퓨터(Bleeping Computer)에 따르면 이 토렌트에는 3개의 아카이브 각각에 어떤 콘텐츠가 담겼는지 소개하는 간략한 설명이 포함돼 있다.  • ‘1부(Part 1)’에는 보안(Security)/디펜스(Defense)/녹스(Knox)/부트로더(Bootloader)/트러스티드앱스(TrustedApps) 및 기타 여러 항목의 소스코드와 관련 데이터가 포함돼 있다.  • ‘2부(Part 2)’에는 기기 보안 및 암호화에 관한 소스코드와 관련 데이터가 포함돼 있다.  • ‘3부(Part 3)’에는 모바일 디펜스 엔지니어링(mobile defense engineering), 삼성 계정 백엔드(Samsung account backend), 삼성 패스 백엔드/프론트엔드(Samsung pass backend/frontend), SES 등 삼성 깃허브의 다양한 리포지토리가 포함돼 있다. ...

2022.03.08

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.13