시만텍, '에너지 기업에 대한 해킹 시도 위험수준' 경고

최근들어 온라인에서의 위험과 공격이 갈수록 증가하고 공격적으로 변하고 있어, 실제 피해를 보는 것은 물론 잠재적인 위험성에 대해 전문가나 전문기관이 끊임없이 경고하고 있다. 이제는 해킹이나 사이버 공격이 전쟁과 테러수단으로까지 사용되는 만큼 아무리 조심해도 지나치지 않는 상황이다.

이러한 때에 세계적인 보안전문업체인  시만텍(www.symantec.co.kr)이 프랑스, 이탈리아 등 유럽지역과 미국 에너지기업들을 타깃으로 한 지속적인 사이버 스파이 활동을 포착했다고 발표했다.  시만텍이 ‘드래곤플라이(Dragonfly)’라고 명명한 이 공격자들은 전략적으로 중요한 일부 핵심 기업 및 기관들을 겨냥한 스파이 활동을 목표로 하고 있으며, 공격을 감행할 경우 해당 국가의 에너지 공급에 차질과 혼란을 초래할 수 있었을 것이라고 설명했다.

드래곤플라이의 타깃은 주요 발전업체와 석유 공급 업체, 에너지 산업 장비 업체들과 같은 에너지 관련 기업들이며, 대부분 미국과 스페인, 프랑스, 이탈리아, 독일, 터키, 폴란드에 위치해 있다. 이란의 핵시설을 목표로 했던 스턱스넷과 비슷하지만 이 보다 광범위하게 에너지 산업과 기업들을 겨냥하고 있다.

드래곤플라이는 일련의 멀웨어 툴을 비롯해 풍부한 자원을 갖추고 있으며, 여러 벡터들을 통해 공격을 감행할 수 있는 능력을 보유하고 있다. 가장 특징적인 공격 활동은 산업제어시스템(ICS: Industrial Control System) 장비 공급업자들의 시스템에 침투해 소프트웨어를 원격에서 접속할 수 있는 ‘트로이 목마’로 감염시키는 것이다. 

이는 ICS장비를 구동하는 컴퓨터에 소프트웨어 업데이트를 다운로드할 때 멀웨어를 설치하도록 했다. 이를 통해 목표로 삼은 기관이나 단체의 네트워크를 교두보로 제공할 뿐만 아니라, 감염된 ICS 컴퓨터에 파괴행위를 수행할 수 있는 수단을 제공한다.

이번에 발견된 드래곤플라이는 ICS컴퓨터를 타깃으로 한 최초의 대형 멀웨어로 알려진 ‘스턱스넷(Stuxnet)’ 과 유사하다. 스턱스넷은 이란의 핵 프로그램을 목표로 한 반면, 드래곤 플라이는 산업스파이목적으로 여러 분야를 공격했으며, 필요하다면 파괴를 목적으로 하면서 지속적인 접근을 했던 것으로 보여진다.

드래곤플라이는 ICS 소프트웨어 업데이트 사이트를 감염시키는 것은 물론, 스팸 이메일과 워터링홀(Watering hole) 기법을 이용해 타깃 조직을 공격한다. 드래곤플라이는 백도어 올드리아(Backdoor.Oldrea)와 트로이 목마 (Trojan.Karagany)를 주요 멀웨어 툴로 사용하고 있으며, 백도어 올드리아는 공격자들이 직접 만들거나, 공격자들을 위해 맞춤형으로 만들어진 멀웨어로 보여진다. 

에너제틱 베어(Energetic Bear)라고도 불리는 드래곤플라이는 적어도 2011년부터 활동해온 것으로 보인다. 드래곤플라이는 초반에는 미국과 캐나다의 국방 및 항공 기업을 목표로 하다 2013년 초 미국과 유럽의 에너지 기업을 노리기 시작했다. 

가장 많이 감영된 상위 10개국 (자료제공:시만텍코리아)

드래곤플라이는 유럽과 미국의 에너지 산업을 대상으로 빠르게 활동 범위를 확대해왔다. 처음에는 목표한 기업의 담당자에게 이메일 피싱을 보내는 것으로 시작했으며, 워터링홀 공격 기법을 활용해 에너지 분야에서 근무하는 사람들이 방문 할 가능성이 높은 웹사이트를 손상시켜 익스플로잇 킷(Exploit Kit)이 있는 웹페이지로 방문을 유도했다. 이 킷은 방문자의 컴퓨터에 멀웨어를 심어 세 가지 다른 ICS 장비 제조 업체가 보유한 합법적인 소프트웨어 번들을 트로이목마에 감염시켰다.

드래곤플라이는 국가가 지원하는 공격의 경우 나타날 수 있는 전형적인 특징을 모두 가지고 있다. 드래곤플라이는 여러 벡터를 통해 공격을 감행할 수 있으며, 이러한 과정을 거쳐 다수의 웹사이트에 피해를 입힐 수 있다. 장기간에 걸쳐 여러 에너지 기업을 노려왔으며, 사이버 스파이 활동이 주요 목적이지만 파괴 행위의 가능성도 배제할 수 없다. 

악성코드를 분석 한 결과, 공격자들은 세계표준시(UTC) +4 시간대에 있는 국가의 아침 9시부터 저녁 6시사이에 주로 활동을 한 것으로 밝혀져 동유럽에 근거하고 있을 가능성이 높은 것으로 나타났다. 

시만텍의 SSET(Symantec Security Expert Team)를 총괄하는 윤광택 이사는 “이번에 발견된 ‘드래곤플라이’는 에너지라는 특정 산업분야의 주요 기업을 겨냥해 지속적인 사이버스파이 활동을 감행한 것이라는 점에서 주목할 만하다. 특히, 복수의 공격 벡터를 동시에 사용하고 있으며, 스파이 활동에서 나아가 파괴 행위도 가능할 만큼 고도로 정교한 공격이었다는 점에서 앞으로 이러한 사이버 공격 단체의 목표가 될 수 있는 조직에서는 보다 높은 수준의 종합적인 보안 체계를 갖출 필요가 있다”고 설명했다.