1. 공격의 분류 : 신종 APT+ 리눅스 랜섬웨어
이번 공격은 기본적으로 APT 기획 공격으로 의심되고, 거기에 리눅스 랜섬웨어가 조합된 신종 공격으로 분류 할 수 있겠습니다.

 

 

 

 

2. 공격 상황에 대한 오해와 그 분석

– 피해를 받은 서버는 대략 150여대
‘나야나’에서 공격 받은 서버는 대략 150여대로 모두 리눅스 운영체제 서버이며, 그중 절반은 웹호스팅 서버이며 나머지 절반은 전문 서버 관리 서비스를 제공 받는 ‘나야나’ 전문 엔지니어의 관리하에 운영되고 있는 서버였습니다. 한마디로 대부분 전문가의 관리로 최적의 보안상태였다고 판단됩니다.

– 발견된 랜섬웨어 특성: 리눅스 OS용 및 중국 문자 set포함
발견된 랜섬웨어 악성 코드는, 윈도우 운영체에서는 작동되지 않는 것입니다. 해당 코드는 윈도우에서 작동하던 암호화 부분을 리눅스 운영체제에서 동작 하도록 다시 코딩한 것으로 중국 문자 set가 포함되어 있었습니다. 완벽한 악성 코드라기보다는 리눅스 암호화 프로그램에 가깝 습니다. 이 랜섬웨어 코드로 암호화 된 경우, 윈도우 2012 에서 복호화 프로그램으로 복호화가 가능 합니다. 
다시 말해 웜 바이러스나 악성 코드처럼 실행해서 직접 공격한 것이 아니라 누군가 리눅스 서버에 접근하여 리눅스 랜섬 웨어 코드를 개별 서버에 올린 뒤, 새벽 1시를 기해서 동시에 실행하도록 하였다는 것으로, 삼바 보안 버그를 뚫고 들어온 악성 코드의 증식 같은 보안 버그는 더더욱 아닌것으로 보입니다.

– 시중의 유언비어 : 삼바 보안 버그
얼마전 창궐한 윈도우즈 랜섬웨어가 삼바 보안 버그를 공격하는 웜 바이러스 형태로 작동한 관계로 윈도우즈 PC와 모든 리눅스 서버를 삼바로 연결하고 서버를 관리했기에 랜섬 웨어 공격을 당했다는 주장이 있으나, 대부분 협회 및 IT업체들이 그러하듯이 다양한 서버를 리눅스 배치 쉘 스크립트로 관리하는게 효율적인 관계로, 리눅스 서버 관리하는데 윈도우 PC에 물려 관리하는 경우는 없습니다. ‘삼바 보안 버그’같은 내용은 유언 비어라 판단됩니다.

– IP Tables 방화벽 기본 운영 됨

모든 서버는 IPTABLE 방화벽 체계에 의해 운영되어 금천구 소재의 ‘나야나’ 본사 건물 네트워크 외에 인가되지 않은 IP 대역은 접근이 아예 불가능했습니다. 하지만, 피해 받은 서버의 IP 대역은 하나의 대역이 아니라 다양한 대역의 서버가 피해를 입은 상태 입니다.(동일 네트워크 대역에서의 네트워크 스캐닝후 무작위 공격한 해킹 사고가 아님). 또한, 외부에서 IDC 서버로의 접근은 사무실 내의 나야나 VPN서버를 통해서 접근 하도록 되어있고, 통상적으로 사무실에 있는 엔지니어 개인 pc에 VPN접속 한 뒤, 그것을 경유하여 IDC에 있는 서버로 접근하는 보안체계가 이루어지고 있었습니다.

– 취약점 보완 완료. 그래도 의심되는 공격 경로는 내부 IP

대부분 고객 관리 서버들은 웹 취약점 스캐너인 accunetix 이용 정기적 취약점 스캐닝을 하고 있었고, 그 취약점에대한 보완 작업이 적용된 상태였습니다. 따라서 IP 대역이 다른 150여대의 서버가 가장 흔한 취약점 공격인 웹 취약점 공격으로 한꺼번에 피해를 입었을 확률은 배제하는 것이 바람직 합니다. 또한, 모든 서버는 리눅스 iptables 기반으로 방화벽이 운영 되고 있었음에도, 이번 공격이 성공한 이유는 결국금천구 나야나 소재의 사무실 컴퓨터를 경유하여 공격이 이루어졌을 것으로 추론 할 수 밖에 없습니다.

– 암호 보관 및 관리
150여대의 서버에 대한 접근 패스워드는 개별적으로 암기하여 관리 되는게 어려워, 회사 내부의 서버 관리자들끼리 공유 되어야 하는 바, 암호화된 exel 파일로 관리 되어 usb에 담아져 운용되고, 필요시 암호를 입력하여 엑셀파일을 열어서 보고 운영하는 방식으로 패스워드통해 나름 관리 운영되고 있었습니다.

– 한국과 연관 깊은 공격자: 취약한 시간대 공격 등
토요일 새벽 1시로 모든 서버가 악성 코드가 실행 하여 공격 한다는 것은, 엔지니어들의 대응이 불가능 한 시간을 계획적으로 노린 것으로 공격자가 한국 표준시 및 업무의 취약 시간대를 잘 알고 있다는 것으로 추론 할 수 있다. 또한, 공격자가 남긴 문장을 보면 구글 번역기를 사용하지 않은 초보 수준의 영어 작문을 직접 하는 것으로 보입니다. 추정컨데 중국인이나 조선족이라기 보다는 – 우리 회사 중국 현지 개발 법인 조선족 친구들이 구사하는 영어가 아니라는 느낌이 강하게 드는 – 한국인 또는 한국과 아주 연관이 깊은 공격자라는 점으로 느껴집니다. 특히, BOSS라는 말이 나오는 걸로 보아 필자의 개인적인 소견을 전제로, 필리핀 이나 바로 옆 산동반도 소재의 보이스 피싱 조직들의 작업장과 연계된 조직일 것으로 의심 됩니다.

– 교과서적 백업 운용

‘인터넷 나야나‘는 교과서적인 백업 정책을 구사하고 있었습니다. Stand by server를 운영 하여 실시간 장애 대비를 하고 있었고, 별도 백업 스토리지에 더하여 이미지 스냅샷을 실시간으로 저장하는 유료 솔루션을 이용한 실시간 CDP 이미지 백업까지 하고 있었습니다. 그러나 공격자는 STAND BY SERVER와 백업 스토리지 서버를 삭제하고 랜섬웨어로 자료까지 손상되도록 하였고, CDP 백업은 스냅샷 한계치 이상으로 스냅 샷을 계속하도록해서 결과적으로는 보유 이미지 모두가 랜섬웨어로 망실된 스냅샷 만보관되도록하여 복구 불가능한 상황을 만들었습니다. 한마디로 전문적인 범죄자로 호스팅 업계를 이해하거나 최소한 교과서적인 백업을 어떻게 무력화시키는 것인지 잘 아는 자의 소행이라는 것을 알 수 있습니다.

– 복호화 위험관련
돈을 지불했는데 복구 키를 주지 않으면 어떻게 하나 하는 부분에 대한 대책은 건바이건 비트 코인 지불입니다. 한 서버에 대한 비용을 지불하면 거기에 맞춰서 그 서버의 복호화 키값을 받고, 작업이 정상 완료되면 다른 서버의 키를 주는 받는 작업으로 이루어 집니다. 따라서 키 값을 받지 못할 확률은 낮아 보입니다.

 

3. 공격 경로
현재 KISA, 사이버 수사대, 국가정보원의 공조 수사가 되고 있으며, 따라서 아직까지 어떠한 경로로 공격이 성공 되었는지 속단하기는 쉽지 않습니다.

다만, 지금까지 보안 사고 경험상 방화벽이 접근 허용한 네트웍으로부터 APT 공격이 성공했을 것으로 추론하고 있습니다. 대략 나야나 사건 정황으로 보면, 호스팅 회사들에 기본적으로 준수되어야 할 보안 권고 상황의 범주 내에서 서버 관리가 이루어 지키고 있다고 봐야 합니다. 그러한 상황에서도 이같은 피해 서버가 다량으로 발생 한것은, 서버의 IPTable 방화벽이 유일하게 접근을 허용한 사무실 내부 IP로부터의 공격일 것 이라는 점입니다. 보통 그러한 경우 공격의 성공은 세가지 중의 하나의 공격이 성공한 것으로 구분할 수 있다.

– 회사 내부자의 범죄
– 내부자 컴퓨터의 악성 코드 감염과 그로 인한 이차 공격 
– 접속 허용 된 외부 컴퓨터의 악성 코드 감염과 그로 인한 이차 감염

가. 내부자의 범죄
내부자가 외부자로 가장하여 사내의 정보를 이용하여 랜섬 웨어를 이용하여 공격을 할수 있는 시나리오는 충분히 가능 합니다. 워낙 공격으로 인한 피해가 세밀하게 진행되어 있어 우리 업을 아는자라는 의구심이 강합니다. 그러나 대부분 호스팅 밥을 먹는 우리 업계의 친구들이 실력의 격차는 천차만별이고, 외골수들이 많기는 하지만 , 회사의 전산 자원을 망가트리고 돈을 요구할 만큼 사악한 경우는 보지 못했습니다.
이 부분은 경찰청 사이버 수사대에서 ‘인터넷 나야나‘ 사내의 모든 컴퓨터의 하드디스크와 공격당한 서버 일부분을 포렌식 이미징 작업을 한 상태에서 어느 컴퓨터에서 공격이 시작 되었는지 분석중입니다. 외부에서 악성코드에 의한 공격인지 내부에서 혼자 서 공격을 한건지. 컴퓨터내의 흔적을 체크 해보면 그것을 파악 할수 있을 겁니다.

나. 내부자 컴퓨터의 악성 코드 감염과 그로 인한 이차 공격 
가장 가능성이 높고, 가장 많은 사례를 가지고 있는 공격입니다. 요즘 일어나는 인터넷 대형 보안 사고; DB 유출 등의 대형 사고가 이에 해당 됩니다. 보통 기획공격인 APT공격에 의한 보안 사고와 사내 업무용 컴퓨터의 인터넷 접속 중 악성 코드 감염에 따른 보안 사고의 두가 지 형태로 나뉩니다.

이 공격이 APT 공격이라 이야기되는 기획 공격을 의심 하는 이유는, 랜섬웨어 공격 과 동시에 삼중 백업 파일들 삭제와 망실시킨것 같은 행위를 한 것으로 보아, 우리 IT 업 혹은 백업 방법을 잘 아는 전문적인 공격자가 업계 여기저기에 기획 공격을 감행하였을 것으로 보이고, 그중에 ‘인터넷 나야나‘가 희생양이 되었을 걸로 추정 하는 이유 입니다. 
APT 공격은 예를 들어 첨부파일 공격 등의 고객을 가장한 메일 전송, 혹은 미끼 상품 혹은 가장 저렴한 호스팅 상품을 구매한 뒤 고객을 위장하여 공격하는 방법 혹은 sns 에서 직원 정보를 추출하여, 가족관계를 파악 하고 가족에게 공격을 먼저 성공 시키고, 가족의 email을 이용해서 호스팅 엔지니어를 공격하는 수법 (I 사 DB유출 사태의 공격 방법)등 다양한 공격 방법의 구사가 가능 합니다. 
아마도 ‘인터넷 나야나‘ 만을 향해서 공격했기 보다는 , 훌치기 낚시 처럼 호스팅 회사에 대한 대대적인 공격을 감행하여, 그중에 나야나가 가장 먼저 공격의 재물이 되었을 수도 있습니다. 다른 호스팅 서비스도 2차 공격의 준비 되고 있을 수도 있다라고 강력히 의심이 되는 이유입니다.

또한 사내 컴퓨터의 인터넷 서핑이나 웜 형태의 이메일등에 의한 악성 코드 감염과 악성코드의 키보드 로깅 등을 통한 원하는 단어가 나왔을 경우에 따른 추가 악성 코드 투입, 그리고 공격 목표가 확대되는 상황 등도 의심할수 있는 영역에 있습니다. 24시간 대기를 해야 하는 호스팅 업계의 특성상 당직 혹은 교대 근무자의 야간 근무시 허용되지 않은 프로그램 설치 등과 이를 통한 악성 코드의 유입 등도 가능한 시나리오 중의 하나 입니다.

다. 접속 허용 된 외부 컴퓨터의 악성 코드 감염과 그로 인한 이차 공격
호스팅 업의 성격상 – 24시간 서버 장애에 대응 해줘야 하는 서버 관리 서비스의 성격 상 – 퇴근한 직원이 상시적으로 사무실 외부 컴퓨터에서의 접근을 허용 해야 하는 보안적인 문제점이 있습니다.

서버 관리자가 사무실 이외의 공간에서 VPN등의 수단을 이용하여 사무실 내의 컴퓨터에 일차 접근한 뒤 이후 서버로 접근 하는 방법을 많이 쓰게 됩니다. 우리 회사를 비롯해서 대부분의 호스팅 및 IT 서비스 들이 동일한 방법을 사용 합니다. 그러나 사무실 밖에 컴퓨터가 보안 통제가 전혀 업는 경우가 허다한 점이 문제가 됩니다.
악성 코드에 감염 위험이 있는 가정용 컴퓨터, 피시방등에서 키보드에서 입력 되는 패스워드 VPN 정보등이 노출되면 그 즉시 사내 인트라넷의 엑세스 보안체계는 파괴되고, 그로 인해 고객사 혹은 자사의 서버로의 고속도로가 뚫리게 됩니다.

이런 공격은 실제 우리 회사에서도 과거 발생한 보안 사고이며, 호스팅 회사들 모두가 동일한 위험에 노출 되어 있었습니다. 이에 대한 보완으로 네트워크 보안 담당자만 유일하게 아는 패스워드가 입력된 VPN 접속 전용 리눅스 노트북을 시스템 엔지니어들 에게 지급하여, 외부 작업자 컴퓨터가 악성 코드에 감염된 체로 우리 회사 네트워크에 접속하는 일을 방지 하도록 하였습니다. VPN 구축시 1회용 패스워드 사용으로도 보안 문제를 해결할 수 있습니다.

 


- 우주를 손 {안에 담자;}