.jpg)
공격 방법 분석된 보고서와 뉴스 발표되면 수법 바꿔 다시 공격
단시안적인 방어로는 적응력 갖춘 해커들 막을 수 없어
[보안뉴스 문가용 기자] 사이버 범죄자들이 보안 전문가들만큼이나 최신 사이버 보안 뉴스에 큰 관심을 갖고 있다는 내용의 보고서가 발표됐다. 보안 업체 쓰레트 벡터(Threat Vector)에 따르면 범죄자들의 공격법에 대한 뉴스가 보도되면, 이에 따라 자신들의 전략을 수정하는 것이 목격되고 있다고 한다.
올해 초 프로미티움(Promethium) 혹은 스트롱피티(StrongPity)라고 알려진 멀웨어를 사용하는 해킹 단체들이 여러 차례 전략을 수정하며 공격을 실시했다. 연구를 해보니 다양한 보안 조직들에서 해당 멀웨어에 대한 분석을 발표한 뒤였다. “프로미티움이 시티즌 랩(Citizen Lab)의 전문가들에게 발견되고, 멀웨어 배포 방식까지도 낱낱이 파헤쳐지고 2개월 후, 공격자들은 새로운 도메인과 공격 인프라를 사용하기 시작했어요.”
그리고 얼마 지나지 않아 이들의 새로운 전략이 또 다시 공개됐다. 프로미티움 공격자들은 다시 한 번 공격 전략을 수정했다. 자신들에 대한 보도가 나올 때마다 도메인을 바꾸거나, IP 주소를 바꾸거나 코드나 파일 이름을 살짝 변경하는 식이었다. 쓰레트 벡터는 “이런 식의 변신이 계속 이어질 것”이라고 내다보고 있다.
“이렇게 유연하게 대처할 수 있는 것을 보면 자원이 꽤나 든든한 것이 분명합니다. 따라서 앞으로도 필요에 따라 계속해서 변화를 꾀할 것도 분명하고요. 또한 이들이 여태까지 실시한 변경이라는 것도 그리 대단하거나 값이 비싼 건 아니었습니다. 살짝만 바꿔도 기존 데이터에 기반을 둔 탐지가 불가능하거나 어려워진다는 걸 알고 있다는 뜻입니다.”
전문가들은 이렇게 전략을 수정하는 해커들이 상당수라며, ‘살짝만 바꿔도 기존 탐지 체제를 무력화시킬 수 있는 보안 체제가 문제’라고 지적한다. 공격에 사용되는 비용에 전혀 압박을 주지 못한다는 것이다.
쓰레트 벡터는 이런 식으로 방어 체계에 따라 살짝 바뀌는 위협들에 대응하기 위해서는 “먼 과거에서부터 기억을 더듬어야 한다”고 강조한다. 무슨 뜻이냐면, “위협 행위자들이 오랜 시간 보여주었던 행동의 패턴을 파악하고, 공격의 트렌드 자체를 공략해야 한다”는 것이다. 또한 “공격자들이 보안 업계 내 추세와 연구 결과에도 민감하게 반응한다는 것과, 공격 목표로 삼고 있는 조직의 대응 체계에 맞춰 공격한다는 것도 계산에 넣어야 한다”고 주장한다. 공격 하나하나를 건별로, 단시안적으로 분석하는 건 더 이상 의미가 없다는 뜻이다.
“현재의 방어 전략은 대체적으로 ‘과거지향적’입니다. 소 잃고 외양간 고치는 것이 대부분이죠. 하지만 공격자들은 이미 그 과거로부터 벗어난 상태입니다. 미래의 적을 과거의 방법으로 막을 수 없습니다. 지금 우리가 막을 수 있는 해커들은, 과거로부터 발전이 없는 자들 뿐입니다.”
3줄 요약
1. 공격자들도 보안 관련 뉴스와 보고서 챙겨본다.
2. 그리고 그에 따라 전략과 툴을 수정한다. 살짝 살짝.
3. 과거로부터 이어진 커다란 행동의 궤적을 쫓지 않으면 이러한 적응력 갖춘 공격자들 막을 수 없다.
[국제부 문가용 기자(globoan@boannews.com)]
단시안적인 방어로는 적응력 갖춘 해커들 막을 수 없어
[보안뉴스 문가용 기자] 사이버 범죄자들이 보안 전문가들만큼이나 최신 사이버 보안 뉴스에 큰 관심을 갖고 있다는 내용의 보고서가 발표됐다. 보안 업체 쓰레트 벡터(Threat Vector)에 따르면 범죄자들의 공격법에 대한 뉴스가 보도되면, 이에 따라 자신들의 전략을 수정하는 것이 목격되고 있다고 한다.
[이미지 = iclickart]
올해 초 프로미티움(Promethium) 혹은 스트롱피티(StrongPity)라고 알려진 멀웨어를 사용하는 해킹 단체들이 여러 차례 전략을 수정하며 공격을 실시했다. 연구를 해보니 다양한 보안 조직들에서 해당 멀웨어에 대한 분석을 발표한 뒤였다. “프로미티움이 시티즌 랩(Citizen Lab)의 전문가들에게 발견되고, 멀웨어 배포 방식까지도 낱낱이 파헤쳐지고 2개월 후, 공격자들은 새로운 도메인과 공격 인프라를 사용하기 시작했어요.”
그리고 얼마 지나지 않아 이들의 새로운 전략이 또 다시 공개됐다. 프로미티움 공격자들은 다시 한 번 공격 전략을 수정했다. 자신들에 대한 보도가 나올 때마다 도메인을 바꾸거나, IP 주소를 바꾸거나 코드나 파일 이름을 살짝 변경하는 식이었다. 쓰레트 벡터는 “이런 식의 변신이 계속 이어질 것”이라고 내다보고 있다.
“이렇게 유연하게 대처할 수 있는 것을 보면 자원이 꽤나 든든한 것이 분명합니다. 따라서 앞으로도 필요에 따라 계속해서 변화를 꾀할 것도 분명하고요. 또한 이들이 여태까지 실시한 변경이라는 것도 그리 대단하거나 값이 비싼 건 아니었습니다. 살짝만 바꿔도 기존 데이터에 기반을 둔 탐지가 불가능하거나 어려워진다는 걸 알고 있다는 뜻입니다.”
전문가들은 이렇게 전략을 수정하는 해커들이 상당수라며, ‘살짝만 바꿔도 기존 탐지 체제를 무력화시킬 수 있는 보안 체제가 문제’라고 지적한다. 공격에 사용되는 비용에 전혀 압박을 주지 못한다는 것이다.
쓰레트 벡터는 이런 식으로 방어 체계에 따라 살짝 바뀌는 위협들에 대응하기 위해서는 “먼 과거에서부터 기억을 더듬어야 한다”고 강조한다. 무슨 뜻이냐면, “위협 행위자들이 오랜 시간 보여주었던 행동의 패턴을 파악하고, 공격의 트렌드 자체를 공략해야 한다”는 것이다. 또한 “공격자들이 보안 업계 내 추세와 연구 결과에도 민감하게 반응한다는 것과, 공격 목표로 삼고 있는 조직의 대응 체계에 맞춰 공격한다는 것도 계산에 넣어야 한다”고 주장한다. 공격 하나하나를 건별로, 단시안적으로 분석하는 건 더 이상 의미가 없다는 뜻이다.
“현재의 방어 전략은 대체적으로 ‘과거지향적’입니다. 소 잃고 외양간 고치는 것이 대부분이죠. 하지만 공격자들은 이미 그 과거로부터 벗어난 상태입니다. 미래의 적을 과거의 방법으로 막을 수 없습니다. 지금 우리가 막을 수 있는 해커들은, 과거로부터 발전이 없는 자들 뿐입니다.”
3줄 요약
1. 공격자들도 보안 관련 뉴스와 보고서 챙겨본다.
2. 그리고 그에 따라 전략과 툴을 수정한다. 살짝 살짝.
3. 과거로부터 이어진 커다란 행동의 궤적을 쫓지 않으면 이러한 적응력 갖춘 공격자들 막을 수 없다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2025-01-21] 
