해커그룹 안다리엘, 액티브X 취약점 악용 국내 지속 공격

2018-05-23 11:48
  • 카카오톡
  • url
안다리엘 공격그룹, 2015년부터 국내 지속 공격...지난 4월 액티브X 취약점 이용 공격
중앙관리 솔루션의 관리 서버 보안정책 중요...내부 인프라 이벤트 모니터링해야


[보안뉴스 김경애 기자] 라자루스(Lazarus)의 하위 그룹으로 2015년부터 활동이 확인된 안다리엘(Andariel) 그룹이 지속적으로 국내를 공격한 정황이 포착됐다. 해당 그룹은 지난 4월에도 액티브X 취약점을 이용한 공격이 탐지된 바 있어 기업에서도 각별한 주의가 필요하다.


[표=안랩]

안랩 시큐리티대응센터(ASEC) 분석연구팀이 발표한 ‘Andariel Group 동향 보고서’에 따르면 “이 그룹은 2014년부터 2015년 발생한 오퍼레이션 블랙 마인(Operation Black Mine)과도 연관되며, 오퍼레이션 블랙 마인은 2008년 군, 2013년 3.20 전산망 장애(DarkSeoul)와 관련 있다”고 밝혔다.

이 그룹의 주 공격대상은 군사기관 및 방위산업체, 정치기구, 보안업체, ICT 업체, 에너지연구소 뿐만 아니라 ATM, 금융사, 여행사, 온라인 도박 게임 이용자, 가상화폐 거래소 이용자 등 금전적 이득을 얻을 수 있는 타깃까지 다양하다.


[이미지=안랩]

주요 공격 방법은 매크로(Macro)를 이용한 △스피어피싱(Spear Phishing) △액티브X(Active-X) 취약점을 이용한 워터링홀 △보안 및 IT 자산 관리 시스템 취약점 공격(중앙 관리 솔루션) △공급망 공격 등이다. 이들은 Aryan, Ghostrat 등 알려진 외부 백도어뿐만 아니라 Andarat, Andaratm, Rifdoor, Phandoor 등 자체 개발한 백도어도 사용하고 있는 것으로 분석됐다. 또한, 공격자는 통신을 위한 Putty Link, 포트 스캐너 등의 다양한 도구를 사용하고 있다.

1. 스피어피싱(Spear Phishing)
스피어피싱 공격의 경우 메일 수신자가 매크로 기능을 활성화하도록 유도한다.


[이미지=안랩]

특히, 2017년 이후 발견된 문서는 이상이 있는 것처럼 흐릿하게 위장해 매크로 활성화를 유도하는 등 갈수록 교묘하게 진화하고 있다.

2. 워터링홀(ActiveX 취약점)
안다리엘 그룹은 주로 액티브X 취약점 공격 코드를 웹사이트에 숨겨두고 사용자가 특정한 액티브X가 설치된 인터넷 익스플로러 웹브라우저를 통해 해당 웹사이트에 접속하면 취약점 공격이 진행되는 방식을 이용하고 있다.


[이미지=안랩]

취약점 공격에 성공하면 웹브라우저로 접속한 시스템에 자바 스크립트나 VB 스크립트 파일이 생성되며, 이를 통해 특정 주소에서 악성코드를 다운로드한다.

3. 중앙관리 솔루션
공격자는 공격 대상인 기관 또는 기업에서 사용하는 중앙관리 솔루션을 파악한 후 이를 분석하여 취약점을 찾아 공격에 이용한다.


[이미지=안랩]


[이미지=안랩]

중앙관리 솔루션 공격은 크게 관리 서버 계정을 이용한 공격과 클라이언트 에이전트 취약점을 이용한 공격으로 구분할 수 있다.

4. 공급망(Supply Chain) 공격
안다리엘 그룹은 다양한 공급망을 이용한 공격을 시도했다. 소프트웨어 설치판에 악성코드를 포함시켜 해당 소프트웨어의 공식사이트를 통해 배포하는 방식과 소프트웨어 업데이트 과정을 통해 악성코드를 감염시키는 방식을 주로 이용했다. 일부 공격 사례에서는 해당 소프트웨어를 사용하는 모든 사용자를 감염시키는 것이 아니라 접속하는 IP 주소를 확인해 원하는 시스템만 감염시키는 방식을 사용했다. 이 밖에도 특정 산업 분야에서 사용되는 시스템과 관련된 소프트웨어의 취약점을 이용한 공격을 진행했다.

안다리엘은 2017년 5월부터 7월까지는 금융권을, 10월에는 국내 여행사를 해킹해 개인정보가 유출됐다. 12월부터는 가상화폐 거래소 사용자를, 2018년 1월에는 악성코드가 포함된 원격 지원 프로그램을 배포했으며, 2월에는 국회의원실을 사칭한 이메일 공격을 시도하는 등 다양한 공격 양상을 보였다. 특히, 국회의원실 사칭한 메일이 다운로드하는 악성코드는 2017년 ATM 해킹에 사용된 악성코드의 변형으로, 또 다른 변형이 6월 금융권 공격에도 사용됐다.

같은 해 12월에는 또 다른 여행사 해킹이 확인됐다. 2017년 12월, 안다리엘 그룹은 A사의 ERP 솔루션 업데이트 파일을 변조해 악성코드가 다운로드되도록 했다. 당시 해당 ERP 솔루션을 사용하는 모든 업체가 아니라 특정한 공격 대상인 기업에만 악성코드가 다운로드 됐다.

안랩의 상세 분석 결과, 안다리엘 그룹과 오퍼레이션 블랙 마인의 공격 방식 등이 비슷하며, 특히 zcon.exe 파일을 공통적으로 사용했음이 확인됐다. 유사한 악성코드로 다양한 목표를 공격했으며, 일부 악성코드는 동일한 C2를 사용했다.

이와 관련 안랩 측은 “안다리엘 그룹은 한국에서 활동하고 있는 위협 그룹 중 가장 왕성히 활동하고 있는 그룹”이라며 “초반에는 주로 군사와 관련된 정보를 획득하기 위해 공격을 전개했지만 2016년 말부터 금전적 이득을 위해서도 공격을 진행하고 있다. 소프트웨어 취약점을 이용한 공격이 빈번하고, 기업 및 기관의 중앙관리 솔루션은 언제든 공격의 경로가 될 수 있다. 이러한 공격은 조직 전반에 걸쳐 막대한 피해를 야기할 수 있어 더욱 각별한 보안 관리가 요구된다”고 당부했다.

이에 따라 기업은 중앙관리 솔루션의 관리 서버에 대한 보안정책 강화하는 것이 중요하다. 정해진 시스템에서만 관리 서버 접근이 가능하도록 제한하는 것은 물론, 관리 서버의 로그인 정보(관리자 계정)를 자주 변경하고 시스템에 저장하지 않는 등의 기본적인 보안정책이 지켜질 수 있도록 적절한 관리가 필요하다. 또한, 주기적인 로그 확인을 통해 비정상적인 파일이 관리 서버를 통해 배포되지 않았는지 확인해야 한다. 특히, 관리 서버를 통하지 않고 클라이언트에 설치된 에이전트 취약점을 이용하는 공격 사례도 발견됐기 때문에 중앙관리 솔루션이 사용하는 포트 번호에 대한 스캐닝 등이 발생하지 않는지 모니터링이 필요하다.

이에 대해 안랩 측은 “공격자는 다양한 방법으로 기업 및 기관 내부로의 침투를 시도하고 있다. 대부분 외부와의 접점에 대한 보안에 집중하기 쉬우나 중앙관리 솔루션 이용 공격과 같이 내부 인프라에서 발생하는 이벤트에 대한 모니터링 또한 간과해서는 안 된다”고 강조했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

헤드라인 뉴스

TOP 뉴스

이전 스크랩하기


과월호 eBook List 정기구독 신청하기

    • 유니뷰코리아

    • 인콘
      통합관제 / 소방방재

    • 비티에스

    • 이노뎁

    • 아이브스

    • 아이디스

    • 유니뷰코리아

    • 웹게이트

    • 한화시스템

    • 하이크비전코리아

    • 그린아이티코리아
      번호인식 카메라

    • 한화테크윈
      CCTV 카메라 / 영상감..

    • ZKTeco
      ProFace X

    • 원우이엔지
      줌카메라

    • 한일에스티엠

    • 현대틸스
      팬틸트 / 카메라

    • 지오멕스소프트
      XEUS 통합플랫폼

    • 이화트론

    • 에이치엔시큐리티(주)

    • 테크스피어
      손혈관 / 차량하부 검색기

    • 비전정보통신

    • 경인씨엔에스
      CCTV / 자동복구장치

    • 슈프리마
      출입통제 / 얼굴인식

    • 다후아테크놀로지코리아

    • 다누시스

    • 엔토스정보통신

    • ITX_AI

    • Tiandy

    • 성현시스템

    • 씨엠아이텍

    • 쿠도커뮤니케이션
      인공지능 영상분석

    • 대경무선통신
      재난경보시스템 IP방송 경..

    • 아이쓰리시스템(주)

    • (주)동양유니텍

    • (주)투윈스컴

    • A3시큐리티

    • CVT

    • AIS테크놀러지

    • (주)씨유박스

    • 이오씨

    • (주)에펠

    • (주)우경정보기술

    • 디비시스
      CCTV토탈솔루션

    • 트루엔
      IP 카메라 / 인공지능 ..

    • 보쉬빌딩테크놀러지

    • 주식회사 비앤에스

    • (주)디지탈센스

    • 티에스아이솔루션
      출입 통제 솔루션

    • (주)넥스트림

    • 오피어(Ophir)

    • AhnLab

    • 신우테크
      팬틸드 / 하우징

    • (주)에프에스네트웍스

    • (주)에이앤티코리아

    • 케이제이테크
      지문 / 얼굴 출입 통제기

    • (주)케이엠티

    • (주)알에프코리아

    • 사라다

    • 아이엔아이
      울타리 침입 감지 시스템

    • 새눈
      CCTV 상태관리 솔루션

    • (주)모스타

    • 수퍼락
      출입통제시스템

    • 태정이엔지
      CCTV 스마트폴 / 함체..

    • NS게이트(주)

    • 다원테크

    • 구네보코리아주식회사

    • (주)일산정밀

    • 지에스티엔지니어링
      게이트 / 스피드게이트

    • 두레옵트로닉스
      카메라 렌즈

    • 플랜비

    • 주식회사 에스카

    • 포커스테크

    • (주)네이즈

    • (주)에이앤티글로벌

    • 대산시큐리티
      CCTV 폴 / 함체 / ..

    • 포커스에이치앤에스
      지능형 / 카메라

    • 지엘에스이

    • 글로넥스
      카드리더 / 데드볼트

    • (주)이스트컨트롤

    • 메트로게이트
      시큐리티 게이트

    • 이후커뮤니케이션

    • 세환엠에스(주)

    • 유진시스템코리아
      팬틸트 / 하우징

    • 카티스
      출입통제 / 외곽경비

    • (주)유니온커뮤니티

Copyright thebn Co., Ltd. All Rights Reserved.

MENU

회원가입

PC버전

닫기