글로벌 사이버 보안 분야를 선도하는 시만텍(www.symantec.com)이 코드서명 인증서를 탈취하는 석플라이(Suckfly) APT(지능형지속위협) 공격 조직에 대한 조사 내용을 발표하며, 기업들의 각별한 주의를 당부했다. 이 조직은 유효한 코드서명 인증서를 훔쳐 다수의 정부 기관과 기업을 대상으로 표적 공격을 했는데, 탈취한 인증서의 출처가 서울 소재의 기업들인 것으로 드러났다.
시만텍은 ‘석플라이(Suckfly)’라는 공격 조직이 탈취한 다수의 인증서, 해킹 툴 및 맞춤형 악성코드를 이용해 대규모 표적 공격을 하고 있다는 사실을 밝혀냈다. 이 조직은 2년간 전세계 다수의 정부 기관 및 기업을 대상으로 표적 공격을 시작하기 전, 사전 공격을 통해 코드서명 인증서를 확보했다.
‘코드서명(code-signing)’이란 온라인 환경에서 배포되는 실행 파일이 정당한 제작자에 의해 제작되었고 위·변조되지 않았음을 확인하는 방법이다. 기업은 코드서명 인증서를 통해 자사 소프트웨어와 파일의 보안 및 정품 인증을 강화하고, 사용자는 제작자의 인증서 및 배포된 실행 파일의 전자 서명을 검증해 실행 파일의 유효성을 확인할 수 있다. 통상적으로 코드서명이 있으면 출처를 믿을 수 있는 파일로 간주되는데, 이번에 석플라이 APT 조직의 활동이 드러나면서 정품 인증서가 악의적으로 사용될 수도 있는 것으로 밝혀졌다. 기업들이 인증서 보안의 중요성에 더욱 주목해야 하는 이유이다.
탈취한 코드서명 인증서 출처는 서울 소재 기업들
시만텍은 2015년 말 디지털로 서명된 해킹 툴을 처음 탐지했는데 이 때 사용된 인증서가 우리나라 소재의 모바일 소프트웨어 개발업체와 연관된 것으로 나타났다. 이 회사의 인증서로 서명된 다른 파일을 조사한 결과, 동일한 인증서를 사용해 서명한 3개의 해킹 툴이 추가로 발견됐다. 확인된 해킹 툴은 훔친 인증서로 서명되었을 뿐만 아니라, 인도에 있는 미국 의료 서비스 제공업체를 겨냥한 의심스러운 활동에 사용됐다. 따라서 인증서의 합법적인 소유 기업이 인증서를 오용했거나 도난 당했을 가능성이 있다고 보여졌다.
시만텍이 후속 조사를 통해 악성 트래픽의 진원지를 추적해 동일한 인프라를 사용했다는 증거를 확보했고, 공격 활동이 3개의 각기 다른 IP 주소에서 발생했다는 사실을 발견했다. 3개 IP 주소의 소재지는 모두 중국 청두였다. 이밖에도 시만텍은 9개의 훔친 인증서를 사용해 서명한 일련의 해킹 툴과 악성코드를 확인한 결과, 이 9개의 탈취 인증서의 출처가 서울 중심부에 근접한 곳에 위치한 9개의 각기 다른 회사로 나타났다. 인증서의 탈취 과정은 정확하게 알 수 없지만, 기업 내부에서 인증서를 찾아 빼낼 수 있는 악성코드에 감염되었을 가능성이 크다.
|
