글로벌 에너지 업체를 대상으로한 나이트 드래곤 보안 위협

해외 시각으로 2011년 2월 10일 미국의 월스트리트 저널(The Wall Street Journal)의 기사 "Oil Firms Hit by Hackers From China, Report Says" 를 통해 글로벌 에너지 업체들을 대상으로한 악성코드를 이용한 보안 위협이 발생한 것이 공개 되었다. 해당 보안 위협은 미국 보안 업체 맥아피(McAfee)에의해 발견되었으며 나이트 드래곤(Night Dragon)으로 명명되었다.

이번에 알려진 나이트 드래곤 보안 위협은 2009년 11월 무렵부터 최소 1년 넘게 조직적으로 카자흐스탄, 그리스, 대만과 미국에 위치한 글로벌 오일, 가스 및 석유 화학 제품 업체들을 대상으로 진행된 APT (Advanced Persistent Threat) 형태의 보안 위협으로 알려져 있다.

APT 형태의 보안 위협은 2010년 원자력 시스템을 대상으로 공격한 스턱스넷(Stuxnet) 악성코드 위협을 대표적인 사례로 들고 있다.

나이트 드래곤 보안 위협은 웹 서버 해킹, 악성코드 제작 및 유포 그리고 다양한 시스템 해킹 툴 들이 사용되었으며 맥아피에서 공개한 아래 이미지와 같은 형태로 공격이 진행 되었다.

맥아피에서 설명한 나이트 드래곤 보안 위협을 정리하면 다음과 같은 순서로 진행 되었다.

1. 인터넷에 존재하는 취약한 웹 서버들을 대상으로 SQL 인젝션(Injection) 공격을 통해 해킹 후 C&C(Command and Control) 서버 설치 및 악성코드 업로드.

 

2. 공격 대상 기업들의 임직원들을 대상으로 타켓 공격(Targeted Spear-phishing Attack) 수행하여 해킹한 웹 서버에서 악성코드를 다운로드 후 감염.

3. 악성코드에 감염된 공격 대상 기업 임직원들의 노트북 또는 시스템들을 이용해 기업 내부 네트워크로 접속 시도.

4. 접속한 기업 내부 네트워크에서 다양한 해킹 툴들을 이용해 기업 내부 다른 중요 시스템들의 사용자 계정 및 비밀번호 획득.

5. 해킹된 기업 내부 시스템들에서 인터넷 익스플로러(Internet Explorer) 프록시(Proxy) 설정 옵션을 해제하여 C&C 서버와 직접 통신

6. 기업 내부 네트워크 및 중요 시스템들에 존재하는 내부 기밀 문건 및 관련 정보 탈취.

이 번에 알려진 나이트 드래곤 보안 위협과 같은 APT 형태의 보안 위협에 대응하기 위해 기업 보안 담당자들은 기업 내부 네트워크에서 발생하는 이상 징후를 주의 깊게 관찰할 필요가 있다.

그리고 타켓 공격으로 인해 기업 임직원들이 보안 위협에 노출 되지 않도록 사회 공학(Social Engineering) 기법을 기반으로 한 타켓 공격들에 대한 보안 인식 교육을 주기적으로 진행하도록 하여야 된다.

맥아피에서 명명한 나이트 드래곤 보안 위협에 이용된 악성코드들은 V3 제품군에서 다음과 같이 진단한다.

Win-Trojan/NightDragon.81920

Win-Trojan/NightDragon.631808

Win-Trojan/NightDragon.49152

Win-Trojan/NightDragon.247707

Win-Trojan/Xema.variant

악성코드로부터의 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 전에 주의를 하는 것이 중요하다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해 유포되는 악성코드의 감염을 예방하고 사기 사이트 및 피싱 사이트를 차단하는 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.