방치된 구형 전자서명·인증 프로그램 취약점 노린 정교한 ‘워터링홀’ 기승
오래된 전자서명·인증 프로그램 삭제 권고, 기업은 네트워크 분리·SBOM 관리

[보안뉴스 조재호 기자] 뉴스나 병원 사이트 방문만으로도 오래된 보안 프로그램 취약점을 통해 악성코드에 감염되는 ‘워터링홀’ 공격이 기승을 부리면서, 정부 및 보안 유관기관이 민관 합동 사이버보안 권고문을 발표했다.


▲워터링홀 공격의 전개 방식 [출처: 국가사이버안보센터]

정부가 국가 배후 해킹 조직의 사이버 공격에 대응하기 위한 ‘합동 사이버보안 권고문’을 30일 발표했다. 이번 권고문은 해킹 메일과 ‘워터링홀’(Watering Hole) 공격의 구체적 방법과 피해 유형을 알리고 실효성 있는 완화 방안을 제시하는 데 중점을 뒀다.

이번 권고문은 국가정보원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원을 비롯해 민간 기업으로 안랩·S2W·엔키화이트햇·플레인비트 등이 참여한 민관 합동분석협의체의 분석 결과를 토대로 구성됐다.

국가 배후 해킹 조직은 주로 이력서와 채용 제안으로 위장한 피싱 메일을 발송해 열람을 유도하거나, 국민 다수가 이용하는 인터넷 뉴스 및 병원 사이트를 해킹해 악성코드 유포처로 악용하고 있다. 특히 PC에 설치된 지 오래된 보안 프로그램의 취약점과 결합해 웹사이트 접속이나 링크 클릭만으로도 시스템을 감염시키는 고도의 수법을 사용한 것으로 파악된다.

우선, 사회공학적 기법을 쓴 해킹 메일은 크게 악성 링크와 첨부파일 방식으로 전개된다. 해킹 조직은 이력서를 파일 대신 깃허브(GitHub)나 해킹된 정상 웹사이트 링크로 전달해 클릭을 유도한다. 고연봉 일자리 제안으로 위장한 메일에서는 실제 헤드헌터의 이메일 계정을 도용한 뒤 ‘DRM’ 문서 보호가 설정된 압축 파일과 비밀번호를 보내 의심을 피하는 치밀함을 보였다.

정상 사이트를 해킹해 악성코드를 숨기는 ‘워터링홀’ 공격도 더욱 정교해졌다. 공격자는 소스 코드를 직접 변조해 보안 관제 탐지를 우회하며, 웹사이트 화면은 평소와 동일하게 출력돼 사용자가 감염 사실을 인지하기 어렵다. 이때 전자서명 및 키보드 보안 등 과거 특정 사이트 이용을 위해 설치한 보안 프로그램이 최신 버전이 아닐 경우 감염 가능성이 매우 높은 것으로 확인됐다.

이러한 악성코드에 감염되면 웹 브라우저에 저장된 ID와 비밀번호, 카드 번호 등 민감정보를 유출한다. PC 내 문서와 클라우드 저장 자료를 비롯해 화면 캡처를 통한 메신저 대화 내용까지 외부로 빠져 나간다. 피해는 감염 PC에 그치지 않고 네트워크를 공유하는 사무실이나 가정 내 다른 PC까지 연쇄 확산된다.

해킹 조직은 탈취한 소스 코드와 내부 문서, 고객 인사 정보, 영업 비밀 등을 미끼로 돈을 주지 않으면 자료를 유포하겠다고 금전을 요구하며 기업을 협박하는 것으로 조사됐다. 한 번의 감염으로 기업 자산 손실과 대외 신뢰도 추락이 동반되는 구조다.

합동분석협의체는 “개인 사용자의 경우, 전자서명과 보안 인증 등 모든 보안 소프트웨어를 최신 버전으로 업데이트하고, 사용하지 않는 오래된 프로그램은 즉시 삭제할 것을 권하며, 운영체제와 웹 브라우저의 주기적 업데이트와 함께 2차 인증 활성화, 브라우저 내 비밀번호 저장 자제 등 기본 수칙을 지킬 것”을 권유했다.

이어 기업보안 담당자들을 대상으로는 △사내 소프트웨어 일괄 점검 △자산 최신화 △업무용 PC와 중요 서버의 물리적·논리적 망분리 △시스템별 비밀번호 차등 사용 △다중인증(MFA) 구축 △주기적인 모의 훈련 등을 강조했으며, 소프트웨어 개발사에는 ‘소프트웨어 자재 명세서’(SBOM) 기반의 공급망 보안 관리를 수행할 것을 당부했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>