현대 기업 환경에서 가장 많이 사용되는 IT 기술 중 하나인 SAP 애플리케이션들이 공격자들의 뜨거운 관심 대상이다. 원래는 SAP을 침해한다는 게 꽤나 어려운 일이었는데, 어느 새 공격자들 사이에서 노하우가 전파되어 있는 것으로 보인다. 개발사와 고객 간 빠른 ‘패치 협업’이 필요하다.

[보안뉴스 문가용 기자] 사이버 위협 행위자들이 SAP 애플리케이션들을 집중적으로 노리고 있다는 경고가 나왔다. 특히 전사적 자원 계획(enterprise resource planning, ERP), 공급망 관리(supply chain management, SCM), 제품 수명 주기 관리(product life cycle management, PLM), 고객 관계 관리(customer relationship management, CRM) 같은 환경에서 이 공격이 치명적으로 작용한다고 한다.


[이미지 = pixabay]

보안 업체 오냅시스(Onapsis)와 SAP가 새롭게 발표한 보고서에 의하면 공격자들은 패치가 발표되고서 72시간도 되지 않은 익스플로잇을 개발 완료하기도 한다고 한다. 심지어 수시간 만에 익스플로잇이 등장하는 경우도 있다고 한다. 이러한 익스플로잇에 당할 경우 피해자들은 민감한 정보를 빼앗기거나 금융 사기, 사업 마비, 랜섬웨어 공격 등에 노출된다고 한다.

이번 보고서는 2020년 중반부터 이어진 SAP 공격을 추적하고 분석해 작성된 것으로, 최근 몇 달 동안 SAP 애플리케이션을 노리는 위협 행위가 크게 증가하고 있다고 한다. SAP 애플리케이션들은 주로 사회 기반 시설에서 사용되고 있어, “SAP을 겨냥한 공격이 늘어나고 있다”는 사실 자체만으로도 큰 경고거리가 된다. 실제로 미국 CISA 역시 SAP 고객들에게 “패치를 시급히 적용하라”는 권고문을 발표했다.

오냅시스의 CEO인 마리아노 누네즈(Mariano Nunez)는 “미션 크리티컬 앱들은 공격하기가 매우 힘들고, 따라서 거의 공격을 받지 않는다는 이상한 관념이 보편적으로 사람들 마음 속에 자리 잡고 있다”며 “이는 잘못된 믿음”이라고 지적한다. “미션 크리티컬 앱들을 공격하는 게 일반적으로 어려운 건 사실이지만, 공격자들 중 그 정도 실력을 갖춘 자들은 꽤나 많고, 심지어 공격에 필요한 자원과 동기도 갖춘 단체는 수도 없이 많습니다. 이번 보고서가 증명하는 것도 바로 이 부분입니다. SAP가 다량의 공격을 받을 정도로 공격자들의 실력이 올라왔다는 것 말입니다.”

SAP 애플리케이션을 겨냥한 공격 행위는 다음과 같은 것들이 있다고 한다.
1) 초반 정보 수집을 위한 정찰
2) 최초 접근을 성공시키기 위한 작전 수행
3) 공격 지속성을 확보하기 위한 발판 마련
4) 권한 상승
5) 보안 시스템 회피
6) 명령과 제어를 통한 악성 행위 실행

SAP는 현대 기업 환경에서 가장 널리 사용되는 소프트웨어 중 하나로, 여기에서 발생하는 악성 행위는 광범위한 영향력을 발휘한다. 포춘 2000대 기업 중 92%가 SAP 앱들을 활용하고 있는 것으로 조사된 바도 있다.

작년 7월 SAP 생태계에서 취약점 익스플로잇 행위가 발견된 바 있다. 이 취약점은 치명적인 위험도를 가진 것으로 분류됐고, CVE-2020-6287라는 관리 번호가 부여됐다. SAP 측은 즉시 패치를 배포했다. 하지만 패치가 나오자마자 공격자들은 리버스 엔지니어링을 통해 익스플로잇을 여러 개 개발했고 공격 수위를 높였다. “공격이 성공한 경우는, 오냅시스가 발견한 것만 300회가 넘습니다. 중요한 건 패치의 리버스 엔지니어링이 여기 저기서 빠르게 진행되고 익스플로잇이 여러 개 동시다발적으로 나왔다는 겁니다. 그만큼 공격자들이 SAP 기술을 잘 이해하고 있다는 뜻입니다. SAP 공격이 어렵다는 건, 이제 정말로 옛말이 되었습니다.”

게다가 SAP과 관련된 취약점들을 연쇄적으로 익스플로잇 하는 공격자들도 목격됐다. “이런 저런 방식으로 활발히 익스플로잇 되고 있는 취약점은 총 6개라고 볼 수 있습니다. CVE-2020-6287, CVE-2020-6207, CVE-2018-2380, CVE-2016-9563, CVE-2016-3976, CVE-2010-5326입니다. 그만큼 공격자들의 공격 기술이 다양하다는 것이고, 그만큼 발전했다는 증거입니다.”

SAP의 CISO인 리차드 푸켓(Richard Puckett)은 “이제부터는 SAP의 빠른 패치 개발, 국가 기관과 매체의 패치 적용 권장, 사용자들의 발 빠른 업데이트가 조화를 이뤄야 한다”고 강조하며 “패치를 적용할 때 성능 문제가 생기는 경우가 일부 있는 것으로 알고 있는데, 이 부분을 최소화 하기 위한 노력을 기울이겠다”고 발표했다.

3줄 요약
1. 미션 크리티컬 앱인 SAP 애플리케이션 겨냥한 공격 크게 증가하고 있음.
2. SAP 앱은 공격 잘 받지 않는 요소라는 인식이 팽배한데, 이것도 다 옛말임.
3. 현재 주로 익스플로잇 되는 SAP 취약점은 총 6개. 패치 적용 필수.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>