> 뉴스 > 뉴스 > 보안
  • 트위터
  • 페이스북
  • 구플러스
  • 네이버밴드
  • 카카오스토리
     
방위산업체 망 분리 요청사항 사칭 APT 공격 등장
이스트시큐리티 “최근 제작된 악성문서 사용…한반도 평화 분위기에도 사이버 첩보전 지속”
     관련기사
  [주요 사이버 공격 그룹⑥] 악성코드만으로 공격자 특정 어려워
2018년 07월 06일 10:21:32 김선애 기자 iyamm@datanet.co.kr
    

▲방위산업체 망 분리 관련 요청사항의 악성 문서파일 실행화면

우리나라 방위산업체는 방위산업 관련 업무에 대해 반드시 물리적으로 망분리 해야 한다. 이를 노리는 APT 공격이 등장해 각별한 주의가 필요하다.

이스트시큐리티(대표 정상원)는 ‘한국 방산업체 망 분리 관련 요청사항’ 등의 내용으로 유포되는 APT 공격이 발견됐다고 6일 밝혔다. 특히 이번 공격에 사용된 악성 문서 파일은 한국시각기준 7월 4일 오후 9시 50분경 제작되었고, 7월 5일 최초로 발견됐다.

격에 사용된 취약점 공격 코드는 제로데이 취약점은 아니며, 사용 중인 문서 작성 프로그램이 최신 버전으로 보안 업데이트를 유지하고 있는 상태라면 해당 위협에 바로 노출되지는 않는다.

시큐리티대응센터(ESRC)에 따르면 문서 스트림 내부에 XOR 코드로 암호화된 포스트스크립트 셸코드(Shellcode)가 작동하면 BMP 이미지 포맷에 정교하게 숨겨져 있는 악성 모듈이 실행되고, 한국 소재의 특정 호스트로 은밀하게 통신을 시작해 추가 명령 대기와 잠복을 수행한다.

공격에 사용된 악성코드는 기존에 정부 지원을 받는 것으로 추정되는 APT 공격 시리즈와 코드 유사성과 시퀀스가 매우 높고, 한국의 특정 웹 서버 5개를 해킹해서 명령제어(C2) 서버로 사용한 것도 확인됐다.

특정 방위산업체 망 분리 관련 요청사항처럼 사칭한 문서를 사용한 것으로 미뤄보아, 관계된 업무 종사자나 업체들을 상대로 한 표적 공격일 가능성을 열어 두고 관계 기관들과 공조해 협력 대응체계를 유지하고 있다.

문종현 ESRC 이사는 “최근 국내에 특화된 한국 맞춤형 스피어 피싱 공격 정황이 지속적으로 포착되고 있으며, 정부기관 문서 사칭뿐만 아니라 방위산업 관련 문서 내용까지 악용되는 만큼 보다 세심한 관심과 주의가 필요하다”며 “이번 공격은 기존에 정부가 배후에 있는 것으로 알려진 국가기반 위협그룹의 공격 기법과 유사도가 높아 그 어느 때보다 민관이 협력해 위협 인텔리전스 보안강화에 힘써야 할 시기로 보인다”고 강조했다.

이스트시큐리티는 정부 지원을 받는 것으로 알려진 특정 위협 그룹들에 대한 추적을 지속적으로 유지하고 있으며, 하반기 정식 출시 예정인 ‘쓰렛 인사이드’ 위협 인텔리전스 서비스를 통해 보다 체계적인 위협정보 분석 시스템을 공유할 계획이다.

통합 보안프로그램 알약에서는 이번 공격에 사용된 악성코드를 ‘Exploit.HWP.Agent’ 등으로 진단 후 치료하고 있다.

김선애 기자의 다른기사 보기  
ⓒ 데이터넷(http://www.datanet.co.kr) 무단전재 및 재배포금지 | 저작권문의  

     

인기기사

  이스트시큐리티, 방위산업체, 망분리, APT
가장 많이 본 기사
인사·동정·부음
전체기사의견(0)  
 
   * 200자까지 쓰실 수 있습니다. (현재 0 byte/최대 400byte)
   * 욕설등 인신공격성 글은 삭제 합니다. [운영원칙]
전체기사의견(0)
사명: (주)화산미디어 | 주소: 서울시 강남구 강남대로 124길 26 유성빌딩 2층 | 전화: 070-8282-6180 | 팩스: 02-3446-6170
등록번호: 서울아03408 | 등록년월일: 2014년 11월 4일 | 발행년월일: 2003년 12월 17일 | 사업자등록번호: 211-88-24920
발행인/편집인: 정용달 | 통신판매업신고: 서울강남-01549호 | 개인정보관리 및 청소년보호 책임자: 박하석
Copyright 2010 데이터넷. All rights reserved. mail to webmaster@datanet.co.kr