EC 카운슬 접속한 사용자들 앵글러 익스플로잇 킷 다운받게 돼
보안이 잘 갖춰져 있을 것 같은 유명 사이트들 노리는 공격 증가
.jpg)
[보안뉴스 문가용] 윤리적 해커 인증서(Certified Ethical Hacker)로 유명한 사이버 보안 인증기관인 EC 카운슬(EC Council)의 웹 사이트에서 앵글러 익스플로잇 키트가 며칠 전부터 배포되고 있다는 사실이 보안 전문업체인 폭스아이티(Fox-IT)에 의해 밝혀졌다.
현재 EC 카운슬 측으로부터 흘러나오고 있는 앵글러 익스플로잇 키트의 페이로드에는 테슬라크립트(TeslaCrypt)라는 랜섬웨어가 있으며, 테슬라크립트는 사용자의 파일들을 암호화한 후 약 1.5 비트코인(600달러 정도에 해당)을 요구하는 것으로 알려져 있다.
폭스아이티의 수석 위협 첩보 분석가인 요나단 클린스마(Yonathan Klijnsma)에 의하면 “EC 카운슬의 웹 사이트가 접속자들을 앵글러 익스플로잇 키트로 우회시키는 걸 3월 21일에 발견했고 이 현상은 아직까지도 지속되고 있다”고 한다. 클린스마는 또한 “이 공격이 얼마나 계속되어 왔는지 알 수가 없으며, EC 카운슬 측도 이에 대해 통보를 받은 상태”라고 말을 이었다.
불행 중 다행으로 해당 공격은 인터넷 익스플로러를 사용하고, 구글이나 빙을 통해 검색해 접속해야만 유효하다. 블랙리스트에 오른 IP 주소나 지역으로부터의 접속이 아니어야 한다는 전제조건도 있다. “즉, 특정 나라 사용자들은 공격을 받지 않도록 설정되어 있는 것이라고 보면 됩니다.”
실제로 사용자가 우회되어 앵글러가 있는 페이지에 접속되면, 익스플로잇 키트가 브라우저, 플래시 플레이어, 실버라이트 등에 있을 수 있는 취약점들을 찾아 나선다. 그리고 발견 시 Bedep이라는 로더를 옮기기 시작한다. Bedep은 최종 페이로드인 랜섬웨어를 다운로드 시작한다.
최근 사용자들의 경계심이 많이 허물어지는 곳을 노리는 사이버 공격들이 늘어나고 있다고 하이텍브리지(High-Tech Bridge)의 CEO인 일리아 콜로첸코(Ilia Kolochenko)는 설명한다. “전통적으로 유명하고 상징적인 곳들, 그래서 보안이 잘 되어 있을 것 같은 곳들에서 최근 멀버타이징과 우회공격 등이 발견되고 있습니다. msn.com, nytimes.com, bbc.com, aol.com, nfl.com 등등이죠.”
콜로첸코는 “보안이 잘 되어 있을 것 같다는 착각이 사용자들에게만 있지 않다는 게 드러나는 현상이라고 보이며(유명 사이트 운영 기업들도 지칭하는 말), 현재 시장에 나와 있는 자동 스캐너는 사실상 쓸모가 없다는 것도 증명되는 것”이라고 해석한다. “공격을 탐지하고 네트워크를 모니터링 하는 건 자동으로 해서는 안 되는 분야입니다. 주기적으로 부지런하게 수동으로 해야 하죠. 안 그러면 보안 인증을 해주는 기관이 보안 공격에 시달리는 창피한 사태가 발생하는 겁니다.”
[국제부 문가용 기자(globoan@boannews.com)]
보안이 잘 갖춰져 있을 것 같은 유명 사이트들 노리는 공격 증가
현재 EC 카운슬 측으로부터 흘러나오고 있는 앵글러 익스플로잇 키트의 페이로드에는 테슬라크립트(TeslaCrypt)라는 랜섬웨어가 있으며, 테슬라크립트는 사용자의 파일들을 암호화한 후 약 1.5 비트코인(600달러 정도에 해당)을 요구하는 것으로 알려져 있다.
폭스아이티의 수석 위협 첩보 분석가인 요나단 클린스마(Yonathan Klijnsma)에 의하면 “EC 카운슬의 웹 사이트가 접속자들을 앵글러 익스플로잇 키트로 우회시키는 걸 3월 21일에 발견했고 이 현상은 아직까지도 지속되고 있다”고 한다. 클린스마는 또한 “이 공격이 얼마나 계속되어 왔는지 알 수가 없으며, EC 카운슬 측도 이에 대해 통보를 받은 상태”라고 말을 이었다.
불행 중 다행으로 해당 공격은 인터넷 익스플로러를 사용하고, 구글이나 빙을 통해 검색해 접속해야만 유효하다. 블랙리스트에 오른 IP 주소나 지역으로부터의 접속이 아니어야 한다는 전제조건도 있다. “즉, 특정 나라 사용자들은 공격을 받지 않도록 설정되어 있는 것이라고 보면 됩니다.”
실제로 사용자가 우회되어 앵글러가 있는 페이지에 접속되면, 익스플로잇 키트가 브라우저, 플래시 플레이어, 실버라이트 등에 있을 수 있는 취약점들을 찾아 나선다. 그리고 발견 시 Bedep이라는 로더를 옮기기 시작한다. Bedep은 최종 페이로드인 랜섬웨어를 다운로드 시작한다.
최근 사용자들의 경계심이 많이 허물어지는 곳을 노리는 사이버 공격들이 늘어나고 있다고 하이텍브리지(High-Tech Bridge)의 CEO인 일리아 콜로첸코(Ilia Kolochenko)는 설명한다. “전통적으로 유명하고 상징적인 곳들, 그래서 보안이 잘 되어 있을 것 같은 곳들에서 최근 멀버타이징과 우회공격 등이 발견되고 있습니다. msn.com, nytimes.com, bbc.com, aol.com, nfl.com 등등이죠.”
콜로첸코는 “보안이 잘 되어 있을 것 같다는 착각이 사용자들에게만 있지 않다는 게 드러나는 현상이라고 보이며(유명 사이트 운영 기업들도 지칭하는 말), 현재 시장에 나와 있는 자동 스캐너는 사실상 쓸모가 없다는 것도 증명되는 것”이라고 해석한다. “공격을 탐지하고 네트워크를 모니터링 하는 건 자동으로 해서는 안 되는 분야입니다. 주기적으로 부지런하게 수동으로 해야 하죠. 안 그러면 보안 인증을 해주는 기관이 보안 공격에 시달리는 창피한 사태가 발생하는 겁니다.”
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2025-04-07] 
.png)
