[지디넷코리아]기업이나 조직을 표적으로 한 트로이의 목마가 악몽과 같은 피해를 가져오게 되었다. 가장 위험한 사이버 공격 중에는 거의 검출이 불가능한 것도 있다. - 몬트리올發

‘바이러스 불러틴’이 몬트리올에서 이번 달 12일(현지시간)에 개최한 회의「VB2006」에서 시큐리티 전문가들은 많은 사용자의 메일 보관함에 무작위로 보내질 수 있는 웜이나 바이러스, 트로이의 목마는 이미 일반적인 것이 되어 심각한 위협은 아니라고 말했다.

시만텍의 시큐리티 대응담당 책임자인 빈센트 위퍼는 “표적을 정한 트로이의 목마는 아직까지 전체 위협 중에서는 극히 낮은 비율에 지나지 않지만 선두기업들이 가장 염려하고 있는 문제이기도 하다. 담당자들은 이에 대한 걱정 때문에 밤에 잠도 잘 수 없을 정도다”라고 말했다.
　
트로이의 목마는 사용자가 눈치채지 못하는 키로그인(key•stroke-logging) 이나 스크린 스크레이핑(화면상의 정보를 추출하는 기술)을 실행하는 소프트웨어를 인스톨한다. 전문가는 이러한 소프트웨어가 기업기밀을 훔치는 등의 부정이익을 얻으려는 범죄에 이용된다고 설명했다.
　
사이버 범죄자는 목표로 한 기업 내 1개 이상의 메일 주소로 메일을 송부해 교묘한 말로 속여 트로이의 목마를 포함한 첨부 파일을 열게 한다. 전형적인 것이「MS 오피스」파일로 패치가 제공되기 전의 취약성을 이용해 유해한 프로그램을 인스톨시키는 것이다.
　
일반적인 공격이라면 시큐리티 기술로 방어할 수 있지만「표적형 공격」은 감시의 눈을 벗어나 버린다. 그것은 네트워크의 게이트웨이나 데스크톱 상에서 메일을 스캔하는 종래의 시큐리티 제품에서는 이러한 유형의 위협을 인식할 수 없기 때문이다. 종래의 시큐리티 제품이 경고하는 경우는 새로운 방법의 공격이 대규모로 행해지는 때로 신종 트로이의 목마를 포함시킨 그저 몇통의 메일이 보내져 오는 경우는 해당되지 않는다.

영국에 본사를 둔 안티 바이러스 기업인 소포스의 기술 컨설턴트인 그라함 크룰리는 “이 공격이 감시망을 교묘하게 빠져나간다”고 말했다. 공격이 대규모라면 시큐리티 기업은 어떠한 징조를 포착할 수 있겠지만 그것은 자사의 고객 시스템이나 ‘허니 포트’라는 독자적으로 설치한 함정이 공격을 받았기 때문이라고 했다.
　
연구자들은 표적형 공격이 시큐리티 문제 전반에서 보면 겨우 레이더 위에 빛나는 작은 점에 지나지 않는다고 지적한다. 전자 메일의 시큐리티를 다루는 ‘메시지랩’에서는 매일, 전자 메일에서 약 300만개의 유해한 소프트웨어를 찾아내고 있다. 메시지랩의 안티 바이러스담당 기술책임자인 알렉스 쉽에 따르면 그 중에서 트로이의 목마에 의한 표적형 공격과 분류할 수 있는 것은 불과 7건이라고 한다.

“전형적인 표적형 공격은 1~3개의 조직을 표적으로, 1~10통의 전자 메일을 보내는 것이다. 이것의 대단한 점은 한 개의 조직에 한 통의 메일만 보내는 형태이다.“ (쉽)
　
지난 2년동안 메시지랩은 다국적기업이나 정부군이 그러한 공격에 노출되는 것을 목격했다. 쉽에 따르면 그 외에도 법률사무소, 인권단체, 보도기관, 교육기관 등이 반복적으로 공격을 받고 있다고 한다.
　
취약한 시스템에 유해한 프로그램을 인스톨하는 수단으로 가장 많이 사용되고 있는 것은 MS 애플리케이션의 아직 대응하지 못한 취약성을 노려 오피스파일을 첨부하는 수법이다. MS는 최근 월례 패치로 그러한 취약성을 많이 수정해 왔다.
　
실행가능 파일 등의 위험으로 간주되는 파일은 시스템에 의해 열리는 것이 보통이지만 오피스파일을 첨부한 메일에 대한 수신을 허가하고 있는 조직도 많기 때문에 공격자도 이점을 기꺼이 이용하는 것이다. 쉽은 “대체적으로 조직에 침입하는 방법 중 가장 좋은 것은 그 기업이 받아들이는 것을 이용하는 것이다”라고 말했다.

앞으로의 안티 바이러스
각 바이러스의 특징을 기본으로 하는 종래의 시큐리티 제품에서는 미대응 취약성을 이용한 제로데이 공격을 막을 수 없었다. 종래의 제품에서는 공격패턴을 모르면 방어할 수 없기 때문에 적어도 과거에 한번이라도 확인된 공격 밖에는 막을 수 없었다.

독일에 있는 마그데부르크 대학의 안티 바이러스 소프트웨어 전문가인 안드레아 마르크스는 이에 대해 “미래형 바이러스 공격이다. 바이러스의 특징을 모르기 때문에 이러한 공격을 받아도 막을 수 없다. 특징이 파악되는 것은 안티 바이러스 기업이 공격을 받은 기업으로부터 보고를 받아 허니 포트로 샘플을 입수한 경우와 같은 분야의 타사로부터 샘플을 받은 경우이다. 이러한 일은 표적형 공격에서는 대상이 극히 적기 때문에 일어나지 않는다”고 말했다.
　
쉽은 한 예로 한달 전에 처음으로 특정된 어느 표적형 공격에 관해 그 공격을 검지할 수 있었던 현행 안티 바이러스 제품이 4개 밖에 없었다는 사실을 들었다. 다른 제품은 침입을 허락해 버렸다. 그에 따르면 메일에 첨부된 오피스 파일이 있는 부분을 상세히 조사하고 거기에 포함된 독특한 코드를 특정하는 것으로 메시지랩을 판별할 수 있는 공격도 있다고 한다.
　
공격자의 신원은 불분명한 것이 많다. 시큐리티 전문가는 전 세계에 수많은 공격자들이 존재하는 것으로 보고 있지만 그 신원을 특정하지는 못했다.
　
공격의 동기도 논의의 대상이다. 쉽은 분석해 본 결과, 정보를 훔치는 것이 그 목적이라고 생각했다. 그는 “바꾸어 말하면 산업 스파이다”라고 말했다.
　
하지만 시만텍의 위퍼는 그러한 견해에 확신을 가질 수 없었다. 그는 “돈을 위해서 그런 일을 하고 있는지 그렇지 않으면 단지 스스로 만든 바이러스를 시험하고 있을 뿐인지는 알 수 없었다”고 말했다.
　
시큐리티 기업에서는 시스템을 보호하기 위해서 바이러스의 특징에 의한 검지 방법을 대신할 것을 개발하고 있다. 바이러스의 행동에 근거해 특정 짓는 등의 수법이 있다. 예를 들어 휴리스틱스에 의한 검출은 알고리즘의 해석은 아니고 패턴 인식을 응용한 것이다.

크룰리는 “안티 바이러스 기업은 휴리스틱스 분야에 있어 급속한 진보를 보였다. 검지할 수 없을 것 같은 바이러스라도 구제불가의 비참한 결과는 초래되지 않는다. 프로 액티브(사전 방위)형이 좋도록 할 수 있던 시큐리티 소프트웨어라면 그 대부분을 특정 짓는 것이 가능하다”라고 말했다.
　
쉽에 따르면 안티 바이러스에 대한 좋은 소식과 나쁜 소식이 있다고 한다. 좋은 소식이란 작년에 특정 기업이 공격을 받은 확률이 매우 낮았다는 것이고 나쁜 소식은 일단 공격을 받고 그것이 성공했을 경우, 피해가 적지 않았다는 것이다. @