* 본 내용은 5.16일 발생된 내용에 대해 기사제공한 원문입니다.
안보 관련 연구소 대상 표적공격 (워터링 홀) 5월16일 발생
특정 대상들만이 주로 방문하는 사이트를 대상으로 한 악성코드 감염 시도를 워터링홀 (Watering Hall) 공격이라 부른다. 즉 일반인들이 상시적으로 방문하는 사이트들이 아니라 특정 계층이나 관련된 인사들만이 접근하는 사이트들에 악성코드 감염을 유도하도록 하는 공격을 말한다. 국내에서는 이미 2005년부터 게임관련 유저를 대상으로 발생된 사례가 있으며, 최근 해외에서도 웹서비스를 방문한 하여도 감염되는 이른바 Drive By Download 공격이 큰 이슈가 되고 있는 상황이다. 국내의 상황은 매주마다 비일비재하게 발생되고 있으나, 해외에서의 공격보다 더 큰 범위의 공격이 불특정 다수를 대상으로 매주 활발하게 발생되고 있는 상황에 처해있다.
연휴를 하루 앞둔 2013년 5월 16일에 국내 안보 관련 주요 연구소를 대상으로 한 표적공격이 발견 되었으며, 이중 공격 대상을 안보관련 연구소로 한정 한 것 이외에도 몇 가지 의미심장한 이슈들이 발견 되었다. 안보관련 주요 연구소들의 웹서비스들을 일반 방문자가 방문하는 비율은 그리 많지 않을 것이며, 업무와 연관된 사람들이 방문하는 것이 일반적이라 보았을 때 감염 대상을 한정하여 공격한 워터링 홀로 정의 할 수도 있을 것이다.
현재 발견된 공격대상은 최소 4개의 안보관련 연구소들이며, 추가적인 공격 대상들은 더 있을 수 있다. 그러나 PCDS (Pre Crime Detect Satellite)에서 탐지된 범위는 현재 4곳으로 한정 되어 있다. 공격이 은밀하게 진행되고 있으며, 사전 작업들도 일정 수준 진행된 것으로 확인 되고 있다.
주요 웹서비스들의 소스를 변경하여 추가된 악성링크는 현재 두 가지 종류이다. 한 종류는 단축 URL이 사용되어 결국에는 두 종류 모두 동일한 악성링크를 실행 하도록 하고 있다. 단축 URL의 악성링크 활용은 이미 오래 전부터 문제로 지적된바 있으나, 모바일 영역의 악성앱 설치를 위한 단축 URL 이외에 PC 영역에서 사용되는 악성링크를 단축 URL을 사용한 것은 매우 의미심장한 사안이라 할 수 있다. 탐지를 회피하기 위한 수단으로 이용 되었기 때문이다.
공격대상 서비스는 한국군사문제연구원 , 한국안보문제연구소, 한국전략문제연구소 , 한국해양전략연구소이며, PCDS 상에서는 현재 4곳의 연구소들이 공격대상으로 탐지가 되어 있다. 일반인들은 평상시에 접근할 일이 거의 없는 특화된 연구소들이라 할 수 있을 것이다.
공격자들은 이 네 곳의 웹서비스들에 대해 모든 권한을 가진 상태에서 웹서비스의 소스를 변경하여 악성링크를 모든 방문자들에게 자동으로 실행하도록 구성하였다. 웹 서비스의 화면을 변경 하는 것이 아니라 대상을 한정한 악성코드를 감염 시키기 위한 목적으로 이용한 상황이다.
방문자 PC를 공격하는데 이용된 취약성은 Java 관련 취약성 두 종류가 이용 되었으며 해당 취약성은 CVE-2013-2423과 CVE-2013-1493 취약성이 사용 되었다. (해당 취약성들의 상세한 내용에 대해서는 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1493 에서 확인이 가능하다. )
<한국군사 문제연구원 – 구글 단축 URL 연결 이후 대만 도메인의 악성링크로 연결됨>
<한국안보문제 연구소 – 대만 악성링크가 직접 이용됨>
<한국전략문제 연구소 – 구글 단축 URL을 통해 대만 도메인의 악성링크 실행>
<한국해양전략연구소 – 대만 도메인의 악성링크 직접 활용>
Java 관련 공격이 실행될 때 이용되는 공격코드의 일부 내용은 다음과 같다.
현재 확인된 최소 4곳의 안보관련 연구소들과 대만에 위치한 악성링크에 대해서는 차단이 완료되고 추가 대응조치가 진행 중에 있음을 확인하였다.
사고 신고: http://www.krcert.or.kr/kor/consult/consult_01.jsp
웹보안 서비스 참고: http://www.krcert.or.kr/kor/webprotect/webprotect_01.jsp
빛스캔은 국내 150만개, 해외 30만개 등 매일 180여만개의 웹사이트에서 발생하는 악성코드 유포 및 경유 사례를 실시간으로 관련 정보를 수집 분석하고 있으며, 매주 수요일 한국 인터넷 위협 상황에 대해 브리핑, 동향정보, 기술정보로 분류된 정보제공 서비스를 가입기업/기관에게 제공하고 있다. 브리핑에 대한 요약은 무료로 제공이 되고 있으며 info@bitscan.co.kr 로 신청 할 수 있다.
'Security Indicator > Insight' 카테고리의 다른 글
| S.Korea millitary service Targeted attack without IE 8 zeroday ,Finally fireeye analysis is wrong. (0) | 2013.05.24 |
|---|---|
| IE 8 노린 제로데이 공격, 국내서 발생 (5월 3주차) (0) | 2013.05.22 |
| 3.20 대란 초기 경고 및 추적, 대응 히스토리 (요약) - 빛스캔 (0) | 2013.04.02 |
| 3.20 이후? 이전? . 근본이 바뀌지 않으면 끝까지 계속된다. (0) | 2013.04.01 |
| 악성코드 유포 일본을 겨냥하다 – 한류, 악성코드 전파 통로 (0) | 2013.02.14 |
