지난 1사분기 동안 4개 중 3개의 멀웨어는 탐지 솔루션들을 비껴갔다. 이 탐지 솔루션들이 시그니처를 기반으로 하고 있었기 때문이다. 이제 능동적인 보안으로 전환해야 할 때가 되었다.

[보안뉴스 문가용 기자] 전통의 시그니처 기반 보안 솔루션들에 의존하는 조직들이라면 이제 전략을 수정해야 될 때가 됐다. 왜냐하면 지난 1사분기 동안 이런 솔루션들을 회피한 멀웨어가 전체 멀웨어의 74%나 된다는 조사 결과가 나왔기 때문이다. 지난 3개월 동안 대부분의 멀웨어를 보지도 못하고 통과시키고 있었다는 것이다.


[이미지 = utoimage]

보안 업체 워치가드 테크놀로지스(WatchGuard Technologies)가 최근 조사한 바에 의하면 1사분기에 등장한 멀웨어들 중 74%가 탐지 솔루션을 회피하는 데 성공했다고 한다. 악성 시그니처를 탐색하는 솔루션들은 이 멀웨어들을 막을 수 없었고, 따라서 크고 작은 피해들이 발생했다. 워치가드는 한 분기에 이처럼 많은 멀웨어가 탐지 솔루션을 통과한 건 처음 보는 일이라고 밝히기도 했다.

“이제 ‘능동적인 보안’으로 전화해야 할 시점이라는 걸 극명하게 드러내는 결과”라고 워치카드의 CSO인 코리 나크라이너(Corey Nachreiner)는 설명한다. “공격자들은 오래된 멀웨어를 지속적으로 리패킹하면서 시그니처 정보를 바꿔왔어요. 예전에는 이런 작업이 난이도 높은 축에 속했고, 엘리트 공격자들만 할 수 있었는데 지금은 전혀 그렇지 않습니다. 이미 다크웹에 멀웨어 리패킹 도구들이 넘쳐나죠. 누구나 시그니처를 살짝만 바꿀 수 있어요. 시그니처 탐지 도구는 이제 아무런 장애가 되지 않는다는 겁니다.”

나크라이너는 “수년 전만 하더라도 탐지 솔루션이 시그니처를 전혀 파악하지 못할 정도로 새로워진 멀웨어는 전체의 30%에 불과했다”고 설명한다. 하지만 그 수치는 점점 50%대로 올라오더니 가끔 60%를 기록하기도 했다. “그게 드디어 74%에 이르게 된 겁니다. 예견된 일이었지만 이렇게 빨리 70% 중반이 기록될 줄은 몰랐습니다. 패턴과 시그니처를 가지고 멀웨어를 탐지하는 건 이제 너무나 허술한 것이 되어버렸습니다.”

시그니처 탐지 소프트웨어의 무용론을 악화시키는 건 최근 공격자들 사이에서 파일레스 공격이나 ‘리빙 오프 더랜드(living-off-the-land, LotL)’ 전략의 인기가 높아지고 있다는 점이다. 이런 전략과 공격 기법 자체가 탐지 도구를 회피하기 위해 만들어진 것이기도 하며, 실제 탐지가 매우 어렵다고 알려져 있다. 그러니 시그니처를 기반으로 한 오래된 탐지 기술은 설 자리가 없는 것이다.

또 다른 현상이 발견되기도 했다. 2020년 2사분기 이전까지 네트워크 공격과 멀웨어 탐지는 꾸준히 증가하고 있었다. 하지만 코로나 사태가 시작되고부터 공격자들은 원격 근무자들에게 집중하기 시작했다. 그러면서 네트워크 멀웨어의 탐지율은 점점 낮아지기 시작했다. 엔드포인트를 노리게 되니 기업의 네트워크를 공격할 일이 줄어든 것이다. 그에 맞춰 엔드포인트나 네트워크 서비스의 소프트웨어 취약점을 공략하는 사례가 늘어났다.

“팬데믹 때문에 공격의 트렌드가 원격 근무자의 엔드포인트를 공략하는 방향으로 변화한 것입니다. 가정의 네트워크는 그다지 고급스럽게 보호되어 있지 않기 때문에 해커들이 특별히 연구하거나 집중 공략할 필요가 없어 온전히 엔드포인트에만 노리면 되는 상황입니다. 그래서 조직들은 흩어진 임직원들을 위한 엔드포인트 보안에 더 투자하면서 동시에 클라우드와 사무실 서버를 보호하기 위한 네트워크 방어 장치도 마련해야 합니다. 팬데믹 덕분에 엔드포인트와 클라우드 기반 네트워크에 대한 보호가 더 필요하게 되었습니다.”

3줄 요약
1, 1사분기에 시그니처 기반 탐지 솔루션 피해간 멀웨어가 74%.
2. 리패키징 통해 시그니처 바꾸는 건 사이버 공격자들에게 일도 아님.
3. 따라서 시그니처 기반 탐지가 아니라 능동적 보안이 더 필요한 상황.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>