http://www.bloter.net/archives/220721


이퀘이전, 30여개 나라에서 20여년 동안 활동

고도로 발달한 기술을 활용해 20년 가까이 활동하던 해커 단체가 꼬리를 밟혔다. 보안회사 카스퍼스키랩은 2월16일(현지시각) ‘이퀘이전’이라는 해커 단체의 활동을 폭로했다.

이퀘이전은 이란과 러시아, 파키스탄, 아프가니스탄, 중국, 시리아 등 30여개국에서 발견됐다. 미국과 영국에서도 피해 사실이 확인됐지만 미국의 적성국에 비하면 감염율이 낮았다. 이퀘이전은 정부 기관과 외교 단체, 통신사, 항공사, 발전시설, 핵 연구시설, 군사 시설 등 기간기설이나 중요한 곳에서 활동하는 사람을 공격 대상으로 골랐다.

카스퍼스키랩은 전세계 42개국에서 500명이 넘는 피해자를 확인했다고 밝혔다. 데이터센터, 호스팅 업체 같은 서버단이 뚫린 사례도 많이 발견됐다. 카스퍼스키랩은 이퀘이전이 활동한 기간이 퍽 길고, 악성코드가 자폭 기능을 갖고 있다는 점을 들며 실제 피해 규모는 수만건에 달할 것이라고 내다봤다.

이들은 1996년부터 19년 동안 활동하면서도 정체를 들키지 않았다. 아주 정교한 기술을 쓴 덕이다. “지금까지 확인한 해커 단체 가운데 기술적으로 가장 발전했다”라고 카스퍼스키랩은 평가했다. 앞서 예로든 그레체고로츠 씨 이야기는 카스퍼스키랩이 발표한 사례다. 카스퍼스키랩은 이퀘이전을 “악성코드 은하계에 ‘데스스타’”라고 빗댔다.



하드디스크 펌웨어도 덮어 써

이퀘이전은 컴퓨터 하드디스크(HDD) 펌웨어 안에도 악성코드를 숨겼다. 펌웨어란 기기를 작동시키는 기초적인 명령을 담은 작은 프로그램이다. 이퀘이전드럭과 그레이피시에서 작동하는 ‘80AA’라는 플러그인은 HDD에 내장된 정품 펌웨어를 이퀘이전이 보낸 가짜 펌웨어로 바꿔치기했다.

HDD 펌웨어 안에서부터 컴퓨터에 접근할 구멍을 열어둔 덕분에 이퀘이전은 감염된 컴퓨터를 포맷하거나 OS를 밀고 다시 깔아도 금방 시스템을 다시 장악할 수 있다. 또 펌웨어 안에 숨으면 HDD 저장장치만 검사하는 바이러스 백신에는 걸리지 않는다.

가장 최신버전은 삼성전자와 웨스턴디지털(WD), 시게이트, 도시바, 히타치 등 12가지 제조사 제품을 감염시킬 수 있다고 카스퍼스키랩은 전했다.

다행히도 이퀘이전이 HDD 펌웨어를 다시 설치하는 일은 매우 드물었다. 카스퍼스키랩은 아주 극소수만 이런 공격을 당했다고 밝혔다. 이퀘이전이 가장 중시하는 공격 대상이나 특별한 경우에만 이런 공격을 벌였기 때문이라고 카스퍼스키랩은 풀이했다.


https://securelist.com/files/2015/02/Equation_group_questions_and_answers.pdf