빅테크 기업 연달아 해킹한 ‘랩서스’... 특정 기업 임직원 계정 악용, 인증체계 우회
이중인증, 다크웹 모니터링 등 도입으로 Zero Trust 기반 보안 운영 필요
[보안뉴스 엄호식 기자] SK쉴더스(대표이사 박진효)는 최근 엔비디아, 삼성, LG, 마이크로소프트를 해킹한 것으로 알려진 ‘랩서스’의 공격 기법과 대응 전략을 30일 공개했다. SK쉴더스에서 침해사고분석과 대응을 전담하고 있는 인포섹 Top-CERT팀은 랩서스 해킹조직이 텔레그램을 통해 직접 공개한 내용을 기반으로 공격기법을 분석했다.
지난해 12월 브라질의 보건부를 해킹한 랩서스는 미국 반도체 기업 ‘엔비디아’의 내부 정보를 해킹, 유출해 알려졌다. 뒤이어 삼성, LG, 마이크로소프트 등 글로벌 빅테크 기업을 연달아 해킹했다고 밝혔다. 랩서스가 유출한 정보는 ‘GPU(그래픽처리장치) 회로도’, ‘소스코드’, ‘직원 이메일 계정’ 등으로 유출되면 기업의 보안 시스템에 크게 영향을 미치는 내용이다. 이에 국내 사이버보안 1위 기업인 SK쉴더스는 20여년간 축적한 위협 인텔리전스 데이터와 인포섹 Top-CERT의 분석 역량을 더해 랩서스 조직을 추적하고 해킹 방법과 대응 방안을 발표했다.
SK쉴더스 인포섹 Top-CERT는 랩서스 해킹 조직이 공격 수행 시 공격 대상의 임직원 계정 정보를 입수하는 데 큰 노력을 기울였다는 것에 주목했다. 랩서스는 공격하기 전 다크웹을 통해 공격 대상의 임직원 정보를 구매하거나 다양한 루트의 해킹 공격으로 계정 유출 기능 악성코드를 확산시킨 후 임직원 계정 정보를 습득한 것으로 분석됐다. 이렇게 수집한 임직원 계정정보를 통해 랩서스는 공격 대상의 사용자 PC에 손쉽게 접근했으며 이후 내부 정보를 탈취했다.
이러한 내부 정보를 노린 공격에 대비하기 위해서 인포섹 Top-CERT는 해킹 사고 단계별로 대응책을 제시했다. 우선 해킹 조직이 정보를 수집하는 단계에서 피해를 예방하기 위해 △ 다크웹 모니터링 △ 이메일 악성코드 탐지/차단 솔루션 구축 △지능형 지속위협 공격(APT : Advanced Persistent Threat 탐지/차단 솔루션 구축을 고려해볼 수 있다. 이메일을 통한 해킹 공격은 매년 증가하고 있기 때문에 이메일을 악용한 악성코드 유포와 같은 공격을 솔루션을 통해 효과적으로 차단하고 위협을 제거할 것을 강조했다.
또한, △불필요한 원격 접근지 차단 △2 Factor(이중) 인증 사용 △최신 보안 패치 적용 △DRM(문서보안) 솔루션, 정보유출 탐지 솔루션 구축 △해킹 사고 정보 공유 체계 강화 등의 방안을 제시했다. 특히, 랩서스 해킹 조직이 손쉽게 공격 대상 PC에 접근이 가능했던 이유로 이중인증이 적용되지 않은 PC를 노렸을 가능성이 있어 계정 사용시 이중인증 사용을 권고했다. 이 밖에 자세한 대응방안과 랩서스 해킹조직 분석 내용은 SK쉴더스 블로그를 통해 확인할 수 있다.
김병무 SK쉴더스 클라우드사업본부장은 “랩서스 해킹 조직과 같이 한 기업을 집중적으로 타깃한 공격은 사실상 막아 내기가 어렵다”면서도 “해커의 공격이 상시적으로 이뤄지고 있다는 가정 하에 Zero Trust(제로트러스트 : ‘아무도 신뢰하지 않는다’는 전제의 사이버 보안 모델로, 인증절차와 신원확인 등을 철저히 검증해 네트워크 접속 환경에 따른 정보 접근 범위도 최소화하는 원칙) 기반을 전제로 각 단계별 적절한 보안 솔루션을 도입하고 강력한 통제정책과 주기적인 모니터링이 필수적으로 이뤄져야 한다”고 밝혔다.
[엄호식 기자(eomhs@boannews.com)]
이중인증, 다크웹 모니터링 등 도입으로 Zero Trust 기반 보안 운영 필요
[보안뉴스 엄호식 기자] SK쉴더스(대표이사 박진효)는 최근 엔비디아, 삼성, LG, 마이크로소프트를 해킹한 것으로 알려진 ‘랩서스’의 공격 기법과 대응 전략을 30일 공개했다. SK쉴더스에서 침해사고분석과 대응을 전담하고 있는 인포섹 Top-CERT팀은 랩서스 해킹조직이 텔레그램을 통해 직접 공개한 내용을 기반으로 공격기법을 분석했다.
▲SK쉴더스 CI[사진=SK쉴더스]
SK쉴더스 인포섹 Top-CERT는 랩서스 해킹 조직이 공격 수행 시 공격 대상의 임직원 계정 정보를 입수하는 데 큰 노력을 기울였다는 것에 주목했다. 랩서스는 공격하기 전 다크웹을 통해 공격 대상의 임직원 정보를 구매하거나 다양한 루트의 해킹 공격으로 계정 유출 기능 악성코드를 확산시킨 후 임직원 계정 정보를 습득한 것으로 분석됐다. 이렇게 수집한 임직원 계정정보를 통해 랩서스는 공격 대상의 사용자 PC에 손쉽게 접근했으며 이후 내부 정보를 탈취했다.
이러한 내부 정보를 노린 공격에 대비하기 위해서 인포섹 Top-CERT는 해킹 사고 단계별로 대응책을 제시했다. 우선 해킹 조직이 정보를 수집하는 단계에서 피해를 예방하기 위해 △ 다크웹 모니터링 △ 이메일 악성코드 탐지/차단 솔루션 구축 △지능형 지속위협 공격(APT : Advanced Persistent Threat 탐지/차단 솔루션 구축을 고려해볼 수 있다. 이메일을 통한 해킹 공격은 매년 증가하고 있기 때문에 이메일을 악용한 악성코드 유포와 같은 공격을 솔루션을 통해 효과적으로 차단하고 위협을 제거할 것을 강조했다.
또한, △불필요한 원격 접근지 차단 △2 Factor(이중) 인증 사용 △최신 보안 패치 적용 △DRM(문서보안) 솔루션, 정보유출 탐지 솔루션 구축 △해킹 사고 정보 공유 체계 강화 등의 방안을 제시했다. 특히, 랩서스 해킹 조직이 손쉽게 공격 대상 PC에 접근이 가능했던 이유로 이중인증이 적용되지 않은 PC를 노렸을 가능성이 있어 계정 사용시 이중인증 사용을 권고했다. 이 밖에 자세한 대응방안과 랩서스 해킹조직 분석 내용은 SK쉴더스 블로그를 통해 확인할 수 있다.
김병무 SK쉴더스 클라우드사업본부장은 “랩서스 해킹 조직과 같이 한 기업을 집중적으로 타깃한 공격은 사실상 막아 내기가 어렵다”면서도 “해커의 공격이 상시적으로 이뤄지고 있다는 가정 하에 Zero Trust(제로트러스트 : ‘아무도 신뢰하지 않는다’는 전제의 사이버 보안 모델로, 인증절차와 신원확인 등을 철저히 검증해 네트워크 접속 환경에 따른 정보 접근 범위도 최소화하는 원칙) 기반을 전제로 각 단계별 적절한 보안 솔루션을 도입하고 강력한 통제정책과 주기적인 모니터링이 필수적으로 이뤄져야 한다”고 밝혔다.
[엄호식 기자(eomhs@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
엄호식기자 기사보기
[2024-10-31] .jpg)
