표적, 목적, 작전 수행 행위 등이 러시아의 드래곤플라이와 유사
멀웨어 사용하지 않고 정상적인 윈도우 툴 사용해 공격
[보안뉴스 문가용 기자] 미국과 영국의 산업 통제 네트워크 및 기업들을 표적으로 삼아 활동하는 해킹 단체가 발견됐다. 특히 전자 산업 및 국가 전기 시설과 관련된 조직들을 노린다고 보안 업체 드라고스(Dragos)가 고발했다.
이 그룹의 이름은 올러나이트(Allanite)로 드래곤플라이(Dragonfly) 혹은 에너제틱 베어(Energetic Bear), 크라우칭 예티(Crouching Yeti)라고 알려진 러시아의 공격 단체 및 디말로이(Dymalloy)라는 해킹 그룹이 벌인 공격 캠페인과 연루가 되어 있다고 한다. 디말로이의 경우 드래곤플라이를 추적하다 발견한 또 다른 단체다.
드라고스에 의하면 2017년 10월 미국 국토안보부가 발표한 보고서에서도 드래곤플라이와 올러나이트를 결부시키는 내용이 있다고 한다. 뿐만 아니라 드라고스는 올러나이트의 작전 및 공격 행위가 2017년 7월 미국 국토안보부가 언급한 팔메토 퓨젼(Palmetto Fusion) 캠페인과도 유사한 점이 있다고 지적한다. 팔메토 퓨전 캠페인 역시 드래곤플라이와 관련이 있다. 그러나 드래곤플라이, 올러나이트, 디말로이가 동일한 단체라고 보기는 힘들다고 한다.
올러나이트는 피싱과 워터링홀 공격 기법을 사용해 표적이 된 네트워크로 침투해 들어간다. 멀웨어를 사용한 것이 발견된 사례는 없다. 오히려 정상적인 애플리케이션과 툴들을 사용해 목적을 달성하는 경우가 많다고 드라고스는 말한다. “윈도우 환경에서 많은 사람들이 사용하는 툴들이 이들의 주무기입니다.”
미국 정부와 민간 기업들의 발표 내용을 보면 올러나이트는 러시아 정부와 관련이 있는 단체로 보인다. 그러나 드라고스는 “확정적인 증거는 아직 나오지 않았다”며 “아직까지 올러나이트와 특정 국가를 연결시킬 만한 데이터가 모이지 않았다”고 말한다.
올러나이트는 적어도 2017년 5월부터 활동을 벌여온 것으로 보인다. 그리고 현재까지도 활발하게 공격을 시도하고 있다. “하지만 무작위로 공격하지 않고, 전자 및 전기와 관련된 시설물 혹은 ICS를 집중적으로 타격하고 있습니다. 그것도 미국과 영국에서요. 파괴적인 행위를 한다기보다 정찰과 첩보 수집을 주요 목적으로 하고 있죠.”
하지만 드라고스는 “그런 식의 첩보를 수집하는 것이 결국은 파괴적인 공격을 감행하기 위한 것이라고 분석한다”고 설명을 잇는다. “언제고 실질적이고 물리적인 피해를 입히기 위한 준비를 하고 있는 것이죠. 이러한 목적성을 가지고 있다는 것에 어느 정도 확신을 가지고 있습니다.”
드라고스는 ICS 및 치명적인 사회 기반 시설을 노리는 단체에 대해 시리즈로 보고서를 발표할 예정이라고 한다. 올러나이트는 그중 1번이다. 대략적인 내용은 드라고스의 액티비티 그룹스(Activity Groups) 대시보드를 통해 공개되고, 세부적이고 기술적인 내용들은 유료 고객들에게만 배포된다고 한다.
[국제부 문가용 기자(globoan@boannews.com)]
멀웨어 사용하지 않고 정상적인 윈도우 툴 사용해 공격
[보안뉴스 문가용 기자] 미국과 영국의 산업 통제 네트워크 및 기업들을 표적으로 삼아 활동하는 해킹 단체가 발견됐다. 특히 전자 산업 및 국가 전기 시설과 관련된 조직들을 노린다고 보안 업체 드라고스(Dragos)가 고발했다.
[이미지 = iclickart]
이 그룹의 이름은 올러나이트(Allanite)로 드래곤플라이(Dragonfly) 혹은 에너제틱 베어(Energetic Bear), 크라우칭 예티(Crouching Yeti)라고 알려진 러시아의 공격 단체 및 디말로이(Dymalloy)라는 해킹 그룹이 벌인 공격 캠페인과 연루가 되어 있다고 한다. 디말로이의 경우 드래곤플라이를 추적하다 발견한 또 다른 단체다.
드라고스에 의하면 2017년 10월 미국 국토안보부가 발표한 보고서에서도 드래곤플라이와 올러나이트를 결부시키는 내용이 있다고 한다. 뿐만 아니라 드라고스는 올러나이트의 작전 및 공격 행위가 2017년 7월 미국 국토안보부가 언급한 팔메토 퓨젼(Palmetto Fusion) 캠페인과도 유사한 점이 있다고 지적한다. 팔메토 퓨전 캠페인 역시 드래곤플라이와 관련이 있다. 그러나 드래곤플라이, 올러나이트, 디말로이가 동일한 단체라고 보기는 힘들다고 한다.
올러나이트는 피싱과 워터링홀 공격 기법을 사용해 표적이 된 네트워크로 침투해 들어간다. 멀웨어를 사용한 것이 발견된 사례는 없다. 오히려 정상적인 애플리케이션과 툴들을 사용해 목적을 달성하는 경우가 많다고 드라고스는 말한다. “윈도우 환경에서 많은 사람들이 사용하는 툴들이 이들의 주무기입니다.”
미국 정부와 민간 기업들의 발표 내용을 보면 올러나이트는 러시아 정부와 관련이 있는 단체로 보인다. 그러나 드라고스는 “확정적인 증거는 아직 나오지 않았다”며 “아직까지 올러나이트와 특정 국가를 연결시킬 만한 데이터가 모이지 않았다”고 말한다.
올러나이트는 적어도 2017년 5월부터 활동을 벌여온 것으로 보인다. 그리고 현재까지도 활발하게 공격을 시도하고 있다. “하지만 무작위로 공격하지 않고, 전자 및 전기와 관련된 시설물 혹은 ICS를 집중적으로 타격하고 있습니다. 그것도 미국과 영국에서요. 파괴적인 행위를 한다기보다 정찰과 첩보 수집을 주요 목적으로 하고 있죠.”
하지만 드라고스는 “그런 식의 첩보를 수집하는 것이 결국은 파괴적인 공격을 감행하기 위한 것이라고 분석한다”고 설명을 잇는다. “언제고 실질적이고 물리적인 피해를 입히기 위한 준비를 하고 있는 것이죠. 이러한 목적성을 가지고 있다는 것에 어느 정도 확신을 가지고 있습니다.”
드라고스는 ICS 및 치명적인 사회 기반 시설을 노리는 단체에 대해 시리즈로 보고서를 발표할 예정이라고 한다. 올러나이트는 그중 1번이다. 대략적인 내용은 드라고스의 액티비티 그룹스(Activity Groups) 대시보드를 통해 공개되고, 세부적이고 기술적인 내용들은 유료 고객들에게만 배포된다고 한다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
