역사상 악명을 떨친 악성코드들의 현황

수사 당국과 정보 보안 업계는 최신 악성코드를 무력화하고 차단하기 위해 공조하는 경우가 많다. 악성코드를 차단하는 방법은 일반적으로 두 가지다.

하나는 킬 스위치(있는 경우) 조합을 사용해 탐지, 샌드박싱, 리버스 엔지니어링을 거쳐 최종적으로 차단하는 것이고 다른 하나는 악성코드 명령 및 제어(C&C)에 사용되는 서버를 장악하는 것이다. 서버를 확보하면 감염된 컴퓨터 간 통신에 사용되는 도메인을 통제할 수 있다.

그러나 오래된 일부 악성코드들은 오래된 취약점을 이용하고 피싱 이메일이나 감염된 USB 드라이브, 악성 이메일 첨부 파일, 함정 웹 페이지 등을 통해 확산되면서 지금도 기업들에 피해를 입힌다.

예를 들어 최근 체크포인트(CheckPoint) 보고서에서 컨피커(Conficker) 웜과 제우스(Zeus) 트로이 목마(2개 모두 5년 이상 지난 악성코드)는 전 세계적으로 가장 일반적인 상위 10개 악성코드에 포함됐다.

오래된 악성코드가 계속 기승을 부리는 이유는 무엇일까? 전문가들은 불규칙한 패치, 빈약하고 업데이트되지 않은 안티바이러스, 보호나 업그레이드가 불가능한 레거시 시스템(MRI 스캐너, 독자 규격의 병원 장비 등)을 중요한 이유로 꼽는다.

이와 같은 오래된 악성코드들이 새로운 용도로 개조되어 새로운 갑옷을 입고 다크 웹 시장에서 판매된다. 안티소셜 엔지니어(Antisocial Engineer)의 이사인 리차드 드비어는 "오래된 악성코드의 핵심 구성 요소는 지금도 여전히 사용된다. 악성코드 제작자는 코드 일부를 가져와 새로운 악성코드 캠페인에 사용한다"며, "잘 작동한다면 바꾸지 말라는 격언이 여기에도 적용되는 셈이다"고 말했다.

CISO가 악성코드에 대처하는 방법
법률 기업 핀센트 메이슨스(Pinsent Masons)의 CISO인 크리스티안 툰은 "CISO와 SOC 팀에게 골칫거리다. 전통적인 시그니처 기반 탐지를 회피하기 위해 빠른 속도로 형태가 바뀐다. 보통 기업의 대처 속도보다 더 빠르다"고 말했다.

관건은 패치 관리와 안티바이러스지만 "상황 인식(situational awareness)" 역시 중요하다. 툰은 악성코드의 발전이 "리소스 부족에 시달리고 시간에 쫓겨 이러한 위협에 제대로 대처하기 어려운 전통적인 IT로는 더 이상 손 쓸 수 없는 영역으로 넘어갔다"면서, "기반이 약한 조직은 악성코드 생태계의 과거 이력을 연구하거나 이해할 역량이 없다. 그저 당면한 문제를 해결하고 넘어가는 데 급급하다"고 말했다.

리스크 인텔리전스(Risk Intelligence)의 수석 컨설턴트이자 CISO인 조디 스튜어트는 "많은 조직에서 과거의 악성코드가 여전히 큰 문제로 남아 있다. 상당수 조직이 '곧 업그레이드 예정' 상태로 사실상 영구적으로 방치되는, 지원이 중단된 운영체제를 사용하면서 보안 측면에서 큰 약점을 지니고 있다. 복잡성으로 인해 업그레이드 날짜는 계속해서 뒤로 연기된다. 시스템을 폐기하거나 마이그레이션하기 전에 해결해야 할 종속성을 모두 찾기란 어려운 일이다"고 말했다.

스튜어트는 "일반적인 프로젝트 관행으로 인해 상황은 더 악화된다"며, "보통 조직은 애플리케이션 하나를 범위로 하는 프로젝트를 추진한다. 그렇게 되면 조직의 지식은 모든 애플리케이션 프로젝트의 합이라는 형태로 존재하므로 결국 플랫폼 수준에서 통합의 범위를 파악하기가 어려워진다. 즉시 교체해야 한다는 이야기를 귀담아 듣기보다는 현재 보유한 레거시 시스템에 대한 보안 통제를 구현하는 편이 훨씬 더 낫다. 즉, 고위험 장치를 제한된 네트워크 연결 구역으로 떼어내서 이런 시스템의 인터넷 접속을 차단하고, 가능한 경우 화이트 리스트를 사용해서 시스템에서 실행 가능한 코드를 통제해야 한다"고 말했다.

지금까지 끈질기게 기업에게 위협이 되는 가장 해로운 악성코드 4개는 다음과 같다.

컨피커(Conficker)
컨피커는 2008년 처음 발견된 이후 세계적으로 확산됐다. 윈도우의 패치되지 않은 결함을 악용하고 악성코드 주입부터 피싱 이메일에 이르기까지 공격 벡터도 다양하며 최종적으로는 비밀번호를 알아내 윈도우 기기를 봇넷으로 하이재킹한다.

컨피커는 윈도우 2000부터 윈도우 7 베타를 실행하던 1,500만 대의 마이크로소프트 서버 시스템을 감염시켰다. 영국 국방부, 프랑스 해군, 독일 육군, 노르웨이 경찰, 심지어 영국 해군 소속 군함까지 이 악성코드에 감염된 것으로 알려졌다.

컨피커는 지금도 기업 조직을 괴롭히는 중이다. 지난 6월 트랩엑스 랩(TrapX Labs)의 연구진은 윈도우 XP와 패치되지 않은 윈도우 7, 8을 실행하는 IoT 의료 장비가 networm32.kido.ib, 컨피커와 같은 예전 악성코드의 공격을 받은 것을 확인했다. 부활의 징후는 다른 곳에서도 많이 발견됐다.

머신러닝 기업 다크트레이스(Darktrace)의 기술 이사 데이브 팔머는 "컨피커의 성공은 대부분 제대로 되지않은 패치 관리에 기인한다"며, "컨피커의 끈질긴 생명력에서 놀라운 점은 마이크로소프트가 항상 매우 신속하게 패치를 내놨다는 점이다. 기업에 패치되지 않은 윈도우 XP/서버 2008 시스템이 여전히 상당수 남아 있는 것으로 보인다"고 말했다.

게다가 컨피커는 대부분 스팸 이메일(그 다음이 USB 스틱)을 통해 확산된다. 팔머는 "컨피커의 지속적인 성공이 열악한 네트워크 가시성을 나타내는 지표"라며, "컨피커가 이렇게 많이 탐지된다는 것은 곧 많은 조직에서 보안 가시성에 상당한 격차가 있음을 의미한다. 컨피커는 탐지하기 어려운 은밀한 악성코드가 아니다. 매일 엄청난 수의 로그인 시도 실패를 남기고, FBI가 유지 관리하는 싱크홀에 막대한 DNS 요청을 유발하며, 거의 모든 안티바이러스 제품에 탐지된다. 또한 기업 내에서 끊임없이 수평 이동을 시도한다"고 말했다.

분석 업체 뉴스타(Neustar)의 부사장 겸 자문인 로드지 조피 역시 "6, 7년 전 많은 조직이 컨피커를 비웃으며 무시했다. 처음 몇 건의 사건 이후 더 이상 아무런 피해도 입히지 못하는데 굳이 컨피커에 대응해 시스템을 정비하는 수고로움을 감수할 필요가 있냐는 생각에서였다. 이것은 잘못된 생각이었다"고 말했다.

조피는 컨피커 워킹 그룹을 비롯한 여러 기관에서 확인한 바에 따르면, 컨피커 감염이 "최소 지난 5년 동안 전 세계적으로 약 60만 건 수준으로 유지되고 있다"고 덧붙였다. 다만 IBM 엑스-포스(X-Force)가 CSO에 제공한 연구 자료에서는 지난 1월부터 8월 중순 사이 컨피커의 이벤트 활동 비중은 5월에 등장한 워너크라이(WannaCry)의 1%에 불과한 것으로 나타났다.

크립토로커(CryptoLocker)
워너크라이 이전까지의 랜섬웨어는 광범위하게 확산되지는 않았다. 다만 한 가지 예외는 크립토로커(CryptoLocker)다. 2013년 9월에 등장한 크립토로커는 이메일 첨부 파일을 통해 확산되며 사용자의 파일을 암호화해 접근할 수 없도록 한다. 이후 범죄 그룹은 암호 해독 키를 주는 대가로 돈을 요구한다. 시스템 복원으로 해결되는 경우도 있지만 많은 사람이 여전히 백업해 두지 않은 파일을 잃는다.

크립토로커가 세계적으로 큰 피해를 입힌 이후 FBI와 유로폴은 "토바 작전(Operation Tovar)"을 펼쳐 크립토로커 그룹의 수장인 예브게니 보가체프를 체포했다. 이 범죄 조직은 100일 동안 약 50만 명의 피해자를 상대로 3,000만 달러를 벌어들인 것으로 추정된다.

사법 당국의 싱크홀 덕분에 크립토로커는 공식적으로는 사망 선고를 받았지만 Crypt0Locker, 크립토로커 v3, 크립토그래픽 로커(CryptoGraphic Locker)와 같은 무수한 새로운 버전에서 그 코드는 계속 사용되고 있다.

악성코드바이트(Malwarebytes)의 악성코드 인텔리전스 연구원인 피터 안츠는 "제우스와 크립토로커는 최근 발생한 악성코드에서 재사용된 코드에 계속 살아 있다. 즉, 기업들은 환생한 과거의 악성코드 위협에 계속 피해를 입고 있는 상황"이라고 말했다.

제우스(Zeus)
제우스는 가장 큰 성공을 거둔 트로이 목마로, 금융 서비스 부문에 피해를 입혔는데 최근에는 변화를 거쳐 재탄생했다. 2007~2009년 사이 횡행한 제우스는 다양한 윈도우 버전에서 실행되면서 맨 인 더 브라우저(man-in-the-browser) 키스트로크 로깅 및 양식 탈취를 통해 뱅킹 정보를 훔쳤으며, 크립토로커도 설치해 부가적인 수익까지 노렸다.

제우스는 피싱 이메일과 드라이브 바이 다운로드(drive-by-downloads)를 통해 확산되면서 미국 교통부를 포함한 유력한 조직을 공격했다. 현재 제우스는 다른 형태로 살아 있다. 덴마크에 소재한 하임달 시큐리티(Heimdal Security)에 따르면, 제우스는 최근 프랑스 은행을 공격하며 기승을 부리는 앳모스(Atmos) 악성코드로 모습을 바꿨다.

현재 제우스는 금융 서비스 분야를 넘어 확산되고 있다. SANS 강사이자 사고 대응 전문가인 스티브 암스트롱은 "여전히 대부분의 LAN에서 제우스와 컨피커를 발견할 수 있다. 제우스는 보안 통제가 제대로 되지 않는 중견 기업이나 대기업에서 한 달에 한번 꼴로 발생한다"고 말했다.

에일리언볼트(Alienvault)의 보안 연구원 크리스 도먼은 "제우스 소스코드가 유출되었기 때문에 많은 뱅킹 트로이 목마가 여전히 제우스를 기반으로 한다. 시장에서 제우스 기반이 아닌 악성코드에는 프리미엄이 붙을 정도"라고 말했다.

두쿠(Duqu)
두쿠는 2011년 9월에 발견됐으며, 이란 원심분리기를 파괴시킨 악명높은 스턱스넷(Stuxnet) 웜과 관련된 것으로 추정된다. 실제로 많은 전문가가 두쿠의 소스코드 상당 부분은 스턱스넷에서 그대로 가져온 것으로 본다.

두쿠는 여러 차례의 산업 정보 수집 공격에 사용됐으며 이란 핵 협상을 염탐하는 데 사용됐다는 의심을 받고 있다. 최신 버전인 두쿠 2.0은 지금까지 만들어진 악성코드 가운데 가장 정밀한 악성코드로 평가된다. 파이어아이(FireEye)는 이란 핵 협상 당사자들이 사용하는 유럽 호텔 네트워크에서 두쿠 2.0을 발견했으며 시만텍은 두쿠 2.0이 통신 업체와 전자 제품 업체 네트워크에서 활동해왔음을 밝혀냈다.

두쿠 2.0은 중국 전자제품 제조업체 폭스콘(Foxconn)에 발급된 합법적인 디지털 인증서를 사용해 서명됐는데, 폭스콘의 고객업체 중에는 마이크로소프트와 구글, 아마존도 있다.

이 코드 서명을 발견한 카스퍼스키 랩에 따르면, 문제의 인증서가 신뢰 인증서 루트인 베리사인(VeriSign)이 발급한 인증서이므로 윈도우는 폭스콘이 서명한 코드를 신뢰한다. 따라서 기기 운영체제는 두쿠 2.0의 64비트 커널 레벨 드라이버를 아무런 경보 없이 로드해서 실행하며 이를 통해 두쿠 2.0은 감염된 시스템을 완전히 장악하게 된다.

도먼은 "두쿠는 이스라엘 정부의 작품이라는 소문이 있다. 불안정한 지역에 위치하면서 기술적 역량이 충분한 국가인만큼 분명 계속 활동하고 있을 것이다. 그러나 이들이 눈에 띌 가능성은 극히 희박하다"고 말했다. editor@itworld.co.kr