01. 2021년 사이버 위협 동향

2021년 사이버 보안이슈를 되돌아보면 대형사고의 연속이었다고 할 수 있다. 2020년 4분기에 발생한 솔라윈즈(SolarWinds) 공급망 공격 사건의 여파가 채 가시기도 전에 2021년 3월 Microsoft Exchange Server 사건과 2021년 7월 카세야(Kaseya) 연이어 발생하면서 파괴적인 사이버 공격으로 인해 공공기관과 기업에서 정보 유출과 랜섬웨어 감염 등으로 사이버 위협에 몸살을 앓았다.

2021년 이전까지만 하더라도 랜섬웨어 공격이 발생한 경우에는 복호화 비용을 요구하거나 불응 시 공격 과정에서 탈취한 데이터를 공개하겠다는 이중 협박전략을 주로 사용하였으나, 2021년에 주로 사용된 랜섬웨어 공격이 DDoS 공격을 추가하여 삼중 협박형태로 발전을 거듭해왔다. 또한, 서비스형 랜섬웨어(RaaS, Ransomware as a Service)의 대중화를 통해 악성코드 개발역량이 없더라도 공격대상에게 유포하면 랜섬웨어 공격을 통한 범죄수익 취득이 가능해지면서 랜섬웨어 제작자와 구매자 간의 생태계가 견고해지고 있다.

공격의 성공률을 높일 수 있는 제로데이 취약점과 코로나19 팬데믹 상황 속에서 재택근무, 원격근무가 빈번해 지면서 사회공학 기법을 통한 공격사례도 꾸준히 증가하였다. 송장, 견적서, 보안 메일 등으로 위장한 피싱 메일부터 코로나19 이슈를 활용한 사례까지 다양한 공격 형태가 지속적으로 발생하고 있다. 특히, 북한 추정 공격그룹들은 국제 정세, 사례비 지급 관련, 학술대회 등의 이슈를 이용하여 스피어피싱 공격을 활용할 사례가 두드러진 한해라고 볼 수 있다.

사이버 위협은 기존에 존재하지 않았던 공격들이 새롭게 발생하기도 하지만 기존의 사고들의 연장 선상에 놓이는 경우들이 상당수라고 볼 수 있다. 따라서 2021년에 발생했던 보안사고와 보안 위협을 통해 공격자들이 사용한 악성코드 및 취약점 정보를 통해서 2022년에 발생한 보안 위협에 대해서 살펴볼 필요가 있다.

이에 따라 2021년에 발생한 보안사고를 분기별로 살펴보고 공격자들의 공격기법과 악성코드들에 대해서 보다 상세하게 정리해보고자 한다.

02. 연이어 발생한 대형 보안사고 

1) 솔라윈즈(SolarWinds) 공급망 공격과 MS Exchange Server 취약점 공격

2020년 4분기부터 2021년 1분기에 발생한 솔라윈즈(SolarWinds) 공급망 해킹, MS Exchange Server 취약점 공격에 관련된 뉴스는 2021년 4분기인 현재까지 지속해서 접할수 있다. 솔라윈즈(SolarWinds) 공급망 공격과 관련된 악성코드 및 공격 관련 보고서, 타임라인은 2020년 12월부터 현재까지지속해서 업데이트되고 있다. MS Exchange Server 취약점 공격 역시 2021년 10월 이란 관련 공격그룹에서 미국, 호주의 사회기반 시설을 대상으로 한 비트락커(BitLocker) 랜섬웨어 유포에 사용되었다. 2개의 공격의 목표는 정보 유출에 목표로 하고 있어 솔라윈즈(SolarWinds) 공급망 해킹, MS Exchange Server 취약점 공격에 초점을 맞춰 정리하였다.

[표 1] 솔라윈즈(SolarWinds)와 MS Exchange Server 공격 비교

2) 솔라윈즈(SolarWinds) 공급망 공격

2020년 12월에 최초로 발견된 솔라윈즈(SolarWinds) 공급망 공격은 2019년 9월부터 치밀하게 계획되어 실행된 공격으로 파이어아이(FireEye) 보안팀이 탈취당한 도구의 유출 방식을 찾는 도중 발견되었다. 이후 취약한 솔라윈즈(SolarWinds) 소프트웨어를 사용 중인 기업을 대상으로 한 다수의 공격 시도가 발생하였다. 마이크로소프트(Microsoft)도 피해자 중 한 명으로 확인되었으며 공급망 공격에 추가로 사용된 악성코드 3종이 발견 및 관련된 조사가 현재까지도 진행 중이다. 솔라윈즈(SolarWinds) 공급망 공격 타임라인은 [표 2]와 같다.

[표 2] 솔라윈즈(SolarWinds) 공급망 공격 타임라인

3) MS Exchange Server 취약점 공격

2021년 1분기에 발생한 MS Exchange Server 취약점 공격 시도는 최초로 발견된 제로데이 취약점이 패치되지 않은 것을 악용한 공격으로 2021년 1월 3일부터 시작되었다. 최초 공격자로 알려진 하프늄(Hafnium)에서 2021년 1월부터 미국 전역의 3만 개 이상의 기업 및 정부 기관을 표적으로 공격을 진행하였다. Check Point 자료에 따르면 다수의 공격 그룹이 해당 취약점을 기반으로 한 스캔 행위 및 취약점을 이용한 웹쉘 업로드 시도가 3월 11일부터 15일까지 700건에서 7,200건으로 10배 이상 증가하였다. 이에 따라 FBI는 해당 취약점으로 인해 업로드된 웹쉘 제거를 목적으로 미국 내 민간 기업이 소유한 MS Exchange Server에 대한 압수 및 수색 영장 확보까지 진행하여 상황을 진화하기 위해 노력하고 있다. MS Exchange Server 취약점 공격의 타임라인은 [표 3]과 같다.

[표 3] MS Exchange Server 취약점 공격 타임라인 

Hafnium에서 악용한 것으로 확인된 CVE 4종은 [표 4]와 같으며 해당 취약점은 2021년 3월 2일에 보안 업데이트를 배포하였다.

[표 4] 최초로 발견된 MS Exchange 취약점 4종

2021년 4월에 진행된 Pwn2Own 대회에서 DEVCORE팀이 MS Exchange Server 취약점 3종을 추가로 발견하여 CVE 번호가 생성되었으며 해당 취약점을 ProxyShell로 명명되었다. [표 5]에서 확인되는 취약점 3종은 2021년 5월 11일에 보안 업데이트를 배포하였으며 PoC 및 익스플로잇 코드가 2021년 8월 20일 공개된 이후 스캔 행위 및 취약점을 이용한 웹쉘 업로드 시도가 급증하였다.

[표 5] Pwn2Own 대회에서 추가로 발견된 MS Exchange Server 취약점 3종

03. 공격 타겟을 지정한 목표지향적 공격 

1) 국가기관 정보유출

2021년 2분기인 5월과 6월에 발생한 국가기관을 대상으로 한 해킹사고가 연속적으로 발생되었다. 한국원자력연구원(KAERI)의 경우 약 12일간 해킹에 노출되었으며 한국항공우주산업(KAI)의 경우 전략사업 정보 등 민감한 정보가 유출된 것으로 알려졌다. 과기정통부, 국가정보원에서 조사를 진행하였으며 특정 업체의 VPN 취약점을 이용한 해킹 시도로 확인되었다. 추가로 2021년 6월 22일 한국전자통신연구원(ETRI) 등 정부출연연구기관(출연연) 대상 합동 보안 점검을 진행하였다. 뉴스 및 대외 발표를 기반으로 작성한 타임라인은 [표 6]과 같다. 

[표 6] VPN 취약점을 이용한 공공기관 침해사고 이력

2) 콜로니얼 파이프라인 랜섬웨어 감염

2021년 5월에 발생한 콜로니얼 파이프라인 랜섬웨어 감염으로 인해 약 5일간 텍사스에서부터 뉴저지까지 이르는 약 8천 850km의 송유관 시설 가동이 중단되었다. 해당 공격의 주체는 다크사이드(DarkSide) 랜섬웨어로 접근 권한 확보를 위해 무차별 암호 대입 공격(Brute Force Attack)을 이용한 RDP 접근을 시도한다. 추가적으로 가상화 환경의 랜섬웨어 감염 목적으로 VMWare ESXi 취약점(CVE-2020-3992, CVE-2019-5544) 취약점 또한 이용하는 것으로 알려져 있다.

미국 내에서 주요 보안사고인 솔라윈즈(SolarWinds), MS Exchange Server를 대상으로 한 공격에 추가로 랜섬웨어 감염까지 연달아 발생하자 바이든 행정부는 2021년 5월 12일 행정명령 14028호를 발동하여 사이버 공격 발생 시 국가와 민간업체 간 협업의 중요성을 강조하였다. 콜로니얼 파이프라인 랜섬웨어 감염의 타임라인은 [표 7]과 같다.

[표 7] 콜로니얼 파이프라인 랜섬웨어 감염 타임라인

04. 치명적인 공급망 공격의 재림

1) Kaseya VSA 공급망 공격

2021년 7월에 Kaseya VSA의 취약점을 이용한 공급망 공격으로 레빌(Revil) 랜섬웨어를 유포하였으며 감염된 사용자는 적었으나 실제 랜섬웨어가 실행 및 파일 암호화를 진행하여 파급력 있는 공격으로 변화하였다. 2020년 4분기에 발생한 솔라윈즈(SolarWinds) 이후 발생한 공급망 공격 시도로 정보 탈취의 범주를 넘어 랜섬웨어의 유포 방식으로 새롭게 떠오르게 되었다.

공격에 사용된 레빌(Revil) 랜섬웨어는 Oracle Weblogic의 취약점(CVE-2019-2725)을 악용한 접근 시도, 피싱 이메일, 무차별 암호 대입 공격(Brute Force Attack)을 이용한 RDP 접근 시도 등 다양한 방식을 이용하여 최초 접근 성공 이후 랜섬웨어를 감염시키는 것으로 알려져 있다. McAfee 자료에 따르면 2021년 1분기 랜섬웨어 공격의 60% 이상을 레빌(Revil) 랜섬웨어가 차지할 정도로 파급력이 높은 랜섬웨어로 확인되었다. Kaseya VSA의 취약점을 이용한 공급망 공격 타임라인은 [표 8]과 같다.

[표 8] Kaseya VSA 공급망 공격 타임라인

Kaseya VSA 공급망 공격에 사용된 간략한 공격 구성도는 [그림 1]과 같다.

[그림 1] Kaseya VSA 공급망 공격 구성도

05. 북한 추정 공격그룹의 지속적인 공격 시도

1) 악성코드 분석도구 (IDA PRO)를 이용한 공격

2021년 11월 10일 ESET Research 트위터 스레드에 게시된 내용으로 디스어셈블러 프로그램인 IDA Pro에 트로이목마를 삽입하여 유포한 내용을 공개하였다. 트위터 내용에서 주목할 점은 해당 공격의 주체를 북한 추정 공격그룹인 Lazarus로 지목하고 있기에 어떤 포인트에서 북한 추정 공격그룹으로 의심되고 있는지 확보 가능한 idahelper.dll 파일을 분석하면서 알아보려 한다.

[표 9] idahelper.dll 파일 정보

 [그림 2] 트로이목마가 삽입된 IDA Pro를 이용한 공격 구성도

Export 함수에서 확인되는 cleanup_appcall 함수에서 시작되며 함수 확인 시 특정 C2로 페이로드 요청 통신을 시도하며 응답받은 페이로드를 실행시키나 현재 응답값 확인 시 공격 페이로드는 확인 불가능하다.

[그림 3] 내부 로직 동작 완료시 확인되는 C2 주소 

C2 주소 웹 검색 결과 구글에서 2021년 3월 보안 분석가를 목표로 한 공격 캠페인을 분석한 페이지의 IoC 정보에서 확인되어 해당 공격 캠페인과 연관성이 있는 것으로 보인다.

[그림 4] C2 주소 검색 시 확인되는 공격에 사용된 이력

[그림 5] 보안 분석가로 위장한 트위터에 올린 IDA Pro 다운로드 링크

이들의 전략은 보안 분석가로 위장한 트위터를 생성하여 신뢰를 얻은 뒤 실제 연구원이 접근할 경우 브라우저 취약점(Chrome: CVE-2021-21148, IE:CVE-2021-26411)이 존재하는 블로그 링크를 전송하거나 백도어가 포함된 Visual Studio 프로젝트 파일을 전송하는 방식을 취하고 있으며 IDA PRO를 새로운 타겟으로 확장한 것으로 보인다.

06. 2021년 사이버 위협 동향 정리 

2021년 발생한 사이버위협을 살펴보면 공급망 공격, 랜섬웨어 및 제로데이 취약점을 이용한 공격 시도 등 다양한 경로를 이용하여 피해자들을 위협하고 있다. 특히, 공격자는 랜섬웨어에 감염된 피해자에게 탈취한 정보 공개를 비롯한 DDoS 공격 협박을 이용하여 피해자에게 몸값 지불을 종용하고 있다. 랜섬웨어 뿐만 아니라 북한 추정 공격그룹이 사용하는 피싱, 스피어 피싱을 이용한 정보 탈취 시도 및 특정 프로그램 내부에 트로이목마를 심어둔 뒤 배포하는 방식도  무서운 기세로 이용되고 있다.

2022년에도 역시 다양한 방식의 공격이 발생할 것으로 예상되나 랜섬웨어를 이용한 공격을 통해 이익을 얻고자 하는 공격자들이 늘어날 것으로 전망된다. 또한 북한발 공격그룹의 공격이 자신들을 추적하고 있는 보안 전문가들을 목표로 하고 있어 더욱 주의가 필요하다.

07. 참고자료

1) https://securityboulevard.com/2021/05/the-colonial-pipeline-ransomware-attack-everything-we-know/

2)https://www.justice.gov/opcl/department-justice-statement-intrusion-department-s-microsoft-o365-email-environment

3)https://www.zdnet.com/article/updated-kaseya-ransomware-attack-faq-what-we-know-now/

4)  https://blog.checkpoint.com/2021/03/11/exploits-on-organizations-worldwid

5) https://helpdesk.kaseya.com/hc/en-gb/articles/4403584098961

6) https://twitter.com/ESETresearch/status/1458438155149922312

7) https://unit42.paloaltonetworks.com/microsoft-exchange-server-attack-timeline/

8) https://blog.google/threat-analysis-group/update-campaign-targeting-security-researchers/

9) https://mp.weixin.qq.com/s/PGHxVr-RPB8fiMTD35oh1w