영화인들의 도시에서 진행된 11번째 ISOI 컨퍼런스

2012년 11월 중국 항주에서 열린 AVAR(Association of anti Virus Asia Researchers) 컨퍼런스 이후에 2달만인 1월 6일 다시 해외 출장을 가게 되었습니다. 이 번 출장은 미국 캘리포니이아에 위치한 영화인들의 도시인 L.A에서 진행되는 11번째의 ISOI(Internet Security Operation and Intelligence) 컨퍼런스에 참석하기 위해서 였습니다.

지난 번 AVAR 컨퍼런스 출장은 비교적 편안한 마음으로 다른 업체에 근무하는 연구원들을 만나고, 보안 업계가 전체적으로 돌아가는 분위기를 익히기 위한 것이었습니다. 그러나, 이번 ISOI 컨퍼런스에서는 저와 팀 후배가 같이 작성한 "CYBERCRIMES AGAINST THE KOREAN ONLINE BANKING SYSTEM"라는 주제로 발표가 있기 때문에 약간의 긴장감을 가지고 있었습니다. 해외 컨퍼런스에서 진행되는 발표가 이번이 처음은 아닙니다만, 항상 할 때마다 생기는 그 미묘한 긴장감과 떨림은 잊을 수가 없을 것 같습니다.

컨퍼런스는 1월 10일과 11일 이틀간 입니다만, 시간차가 많이 나는 곳이라 시차적응과 관광을 겸해 1월 6일 도착하여 1월 14일 한국으로 출발 하였습니다. 도착 당일은 비가 조금 왔지만, 그 이후부터는 계속 맑은 날씨가 계속 되었습니다. 하지만, 영하로 내려가지는 않지만 쌀쌀한 날씨가 계속 지속되었습니다.

7일부터 9일 오전까지 L.A 이곳 저곳 다녀보았습니다. 하지만, 컨퍼런스가 워너블라더스 사무실에서 진행되는 관계로 컨퍼런스 지정 호텔은 L.A 외곽에 있는 Burbank라는 소도시에 위치해 있었습니다.

그래서 L.A 중심가로 갈 때마다 Metrolink라는 통근용 열차를 타고 다녔습니다. 우리나라에서는 보기 어려운 2층으로 이루어진 열차더군요.

Metrolink 통근 열차를 타고 내리게 되면 제일 먼저 도착하는 곳은 L.A 중심가에 있는 유니온스테이션(Union Station) 입니다. 외부는 마치 오래된 교회를 연상케하는 작고 아담하게 생긴 역이었습니다.

아마도 L.A 만큼 아시아 민족이 많이 몰려 있는 곳도 드문 것 같습니다. 차이나타운, 져패니즈 타운 그리고 코리아 타운까지 각 민족들마다 L.A의 한 부분을 차지하고 있더군요. 그런 구역이 존재하는 만큼 음식이나 언어 역시 영어보다는 중국어, 일본어와 한국어들이 더 많이 들리는 모습이 자연스럽더군요.

그래서 원래 해외 출장지에서는 현지 음식들 위주로 먹는 습관이 있지만, 이 번에는 코리아타운 방문 기념으로 중심가에 있는 한국인 백화점에서 육개장을 한 그릇 했습니다.

영화인들의 도시로 유명한 만큼 헐리우드를 가보지 않을 수가 없었습니다. 하나의 거리가 모두 영화와 관련된 큰 거리를 헐리우드라고 이야기 하더군요. 그래서 길거리 구석 구석에는 영화와 관련된 포스터, 기념품들을 팔고 있더군요.

아마 저와 비슷한 또래의 분들은 한국에서도 방영되었던 미국 드라마 비버리힐즈의 아이들이라는 드라마를 기억하실겁니다. 저 역시 그 드마라에 대한 기억이 있었던 만큼 비버리 힐즈가 어떠한 곳인지 궁금해서 가보았습니다.

비버리힐즈에는 대부분이 럭셔리 고급 명품 매장들만이 길거리에 나열해 있었고, 실제로 유명인들이 사는 비버리힐즈 주택가는 안쪽으로 한참을 더 들어가야 되더군요.

이와 반대로 우크라 대학으로도 불리는 UCLA 대학은 비버리힐즈와는 반대로 젊은 대학가 분위기가 물씬 났습니다. 대학에서 이 곳 저 곳을 둘러보다 보니 한국어와 영어가 생각외로 많이 들리고, 아시아 인들도 제법 많이 보이더군요.

개인적으로 바닷가를 가본적이 올해되어서 이번 L.A 출장 때에는 산타 모니카 해변을 꼭 가보고 싶었습니다. 다행스럽게도 이번에는 산타 모니카 해변을 갈 수 있었던 기회가 있었습니다.



특이하게도 산타 모니카에는 배가 정박할 수 있는 항구를 개조하여 놀이동산과 기념품 가게들을 운영하고 있더군요.

또 빼놓을 수 없는 명소가 올 시즌부터 류현진 선수가 뛰게 될 L.A 다저스 스타디움이었습니다. 다저스 스타디움이 당시 내부 공사중이라 스타디움 전체를 둘러보지는 못 했습니다만, 기념품 가게에서 티셔츠를 한장 기념으로 샀었습니다. 티셔츠를 사면서 점원에게 류현진 선수에 대해 물어보니 Babyface의 한국인 투수가 뛴다는 것을 안다고 하더군요.

이렇게 저렇게 L.A 대도시를 둘러보고, 컨퍼런스에서 발표도 무사히 마치게 되었습니다. 항상 영어가 그리 유창하지 못해 발표 시에 질문이 많이 나오게 되면 살짝 당황을 하는 경향이 있습니다.

올해는 작년 보다 더 많은 질문들이 나왔습니다. 아마도 한국과 미국 및 유럽 지역의 온라인 뱅킹 시스템이 다르고 그에 따른 보안 위협들도 다르기 때문에 큰 관심이 있지 않았나 싶습니다.

다음에 또 가게 될 기회가 있다면, 유니버셜 스튜디오와 디즈니랜드를 한번 가보고 싶습니다. 아마 그 때는 쌍둥이들을 모두 데리고 가는 가족 여행이 되지 않을까 싶습니다.

올해 보안 화두는 ‘고도화된 타깃 공격 실시간 대응'

이 글 "올해 보안 화두는 ‘고도화된 타깃 공격 실시간 대응'"은 12월에 분석1팀 내부에서 의견을 모아서 2013년 발생할 가능성이 높은 보안 위협들을 정리한 내용입니다. 세일즈마케팅팀에 전달 한 원고의 원제목은 "2013년 예상 7대 보안 위협"인데, 편집 담당자분께서 제목과 내용의 표현들을 조금 정리하셨습니다.

보안 위협들에 대한 선정은 2012년 데이터들을 바탕으로 향후를 예측한 것입니다만, 외부 강연에서도 항상 말씀드리지만 100% 모두 적중하기는 어렵다는 것입니다. 그리고 선정한 보안 위협들 전부를 적중하는 업체도 사실 없습니다.

다만 과거와 현재를 바탕으로 미래를 조망한 자료이니, 편한 마음으로 이러한 보안 위협이 발생할 가능성이 높다라고 이해하시면 좋을 것 같습니다.

+-----------------------

키워드를 통해 본 2013년 보안 위협 전망

올해 보안 키워드를 한마디로 압축하면 ‘고도화된 타깃 공격 실시간 대응’이 될 듯하다. 최근 공격자들은 광범위한 지역을 상대로 악성코드를 유포하기보단, 특정 지역을 대상으로 악성코드를 제작·유포하는 경향을 보이고 있다. 즉, 국지화·고도화하고 있는 셈이다.
하루가 다르게 발전하고 있는 공격들로 어제 안전했던 프로그램이 오늘은 위협 대상으로 떠오르는, 한치 앞을 내다보기 힘든 상황이 연출되고 있다. 보안업계가 진화를 거듭하며 즉각적인 대응을 펼쳐나가야 하는 이유다.

이에 안랩 시큐리티대응센터(ASEC)는 지난해 보안 위협 사례를 토대로 2013년 7대 보안 위협 전망을 내놓았다. 이를 통해 보안 이슈를 사전 점검하고 대응 방안을 모색하는 기회를 갖고자 한다.

APT 여전히 기승…업데이트 서버 해킹 등 공격 정밀화

2011년부터 보안 업계 화두로 떠오른 APT(Advanced Persistent Threat) 공격은 2013년에도 여전히 기승을 부릴 것으로 전망된다. 다만 그 형태는 더 진화할 것으로 보인다.

APT, 즉 고도화된 지능형 타깃 공격은 그동안 사람들의 심리를 파고드는 사회공학적 공격기법을 주로 이용했다. 사람들의 호기심을 자극하는 소재로 작성된 각종 문서파일을, 이메일을 통해 유포시켜 목적을 달성하는 공격 형태다. 이 과정에서 공격자들은 문서파일의 알려진 취약점이나 알려지지 않은 취약점인 제로데이(Zero-Day) 취약점을 악용해 악성코드 등을 유포하곤 했다.

하지만 올해 APT 공격 기법은 더 고도화되는 경향을 보일 것이라는 게 전문가들의 대체적인 의견이다. 실제로 지난해 말 웹 및 일반 응용 프로그램의 업데이트 서버를 해킹, 악성코드를 유포한 방식은 APT 공격 방식의 변화를 예고하기에 충분했다. 일반적으로 프로그램 업데이트는 프로그램의 버전업과 안정화, 보안 취약점 제거를 위해 이뤄지는 것으로 알려져 있다. 때문에 업데이트 서버 공격은 세간의 인식을 뒤집은, 고도로 지능화된 공격기법으로 받아들여졌다.

이 같은 배경 탓에 올해 APT 공격은 전년과 마찬가지로 주요 위협으로 등장하겠지만, 방식 면에서 다변화되는 경향을 보일 것이라는 예측이 나온다. 문서파일의 취약점을 악용하는 공격보다는 응용 프로그램의 업데이트 서버를 공격하는 사례 등이 증대될 가능성이 크다는 얘기다. 더구나 응용 프로그램은 그 종류와 버전이 다양해, 숨어있는 보안 홀을 정밀 타격할 수 있다는 측면에서 공격자들의 좋은 표적이 될 수 있다.

지역적 특성 이용한 모바일 악성코드 증가

스마트폰 사용자들이 기하급수적으로 늘어남에 따라, 모바일에 대한 보안 위협은 지난해에 이어 올해에도 주요 위협 대상의 하나로 대두될 전망이다.

모바일 보안 위협은 그동안 유럽과 중국 등 해외를 중심으로 발생했다. 하지만 이제부터는 지역적 특성을 타깃으로 한 위협이 증대될 것으로 보여 긴장이 고조되고 있다.

예를 들어 최근 국내 스마트폰 이용자들이 급격히 늘어나면서 모바일 뱅킹과 같은 금융거래가 크게 증가하는 추세다. 이 때문에 해외에서 주로 발견됐던 개인정보 탈취를 노린 모바일 악성코드가 국내에서도 곧 발견될 것이라는 전망이 제기되고 있다.

지난해 국내에 처음 등장한 휴대전화 소액결제를 악용해 금전 탈취를 꾀한 모바일 악성코드 역시 올해 변형된 형태가 나타날 것으로 예상된다.

이와 별개로, 개인 모바일 기기를 업무 현장에서도 활용하는 BYOD(Bring Your Own Device)가 늘어나면서 기업 내부 정보가 외부로 유출되는 피해가 발생할 수 있다. 또한 스마트폰에 설치된 앱을 교묘히 조작해 스마트폰을 봇넷(Botnet)화 하는, 즉 공격자가 자유자재로 제어할 수 있는 기기나 네트워크로 변화시키는 위협들도 등장할 가능성이 점쳐진다.

특정 지역서 사용빈도 높은 취약점 악용 늘어날 것

각종 프로그램의 취약점을 악용한 공격은 2013년에도 지속될 예정이다.

마이크로소프트 오피스나 어도비 리더와 같이 세계적으로 사용 빈도가 높은 '문서 프로그램'들에 대한 취약점 악용 공격이 여전할 것으로 예상된다. 이들 문서 프로그램은 앞서 설명한 APT 공격과 같이 주로 타깃 공격에 활용될 가능성이 높다.

이와 함께 올해는 특정 지역이나 언어권에서 주로 사용하는 프로그램이나 문서파일, 동영상 등에 존재하는 취약점을 악용한 공격도 한층 증대될 것으로 보인다. 최근 공격자들이 목표를 세밀하게 정조준한 뒤 그에 맞는 프로그램을 찾아 '맞춤형' 공격을 감행하고 있기 때문이다.

세계적으로 사용량이 많은 '일반 프로그램'의 취약점을 악용한 공격도 두드러질 전망이다. 예를 들어 윈도우나 맥 운영체제에서 쓰이는 '자바(Java)' 프로그램에 존재하는 취약점을 악용한 악성코드 유포의 경우 다른 프로그램의 취약점 악용 공격보다 늘어날 것으로 전망된다.

클라우드 서비스 공격, 기업·개인에 다양한 피해 입힐 듯

2013년에는 클라우드 서비스에 대한 보안 위협도 증가할 것으로 예상된다.

클라우드 서비스는 영화나 사진, 문서 등의 파일을 별도의 서버에 저장해두고 필요할 때마다 다운로드해 사용하는 것으로써 시간과 공간의 제약에서 자유롭고 자원을 효율적으로 사용할 수 있다는 이점을 지니고 있다.

이 같은 이점으로 인해 기업들은 클라우드 서비스를 업무에 도입하는 방안을 적극 고려하고 있다. 일명 '스마트 오피스(Smart Office)' 환경 구축이다. 기업뿐만 아니라, 개인들도 자유롭게 데이터를 주고받기 위해 개인용 스마트폰과 업무용 PC를 연계하는 데에 클라우드 서비스를 이용하고 있어 클라우드 서비스 시장은 앞으로 크게 증가할 것으로 보인다.

이런 추세에 힘입어 클라우드 서비스에 대한 보안 위협이 올해 증대될 것이라는 게 전문가들의 예상이다. 예컨대 공격자들이 기업이 이용하는 클라우드 서비스 시스템 자체를 공격, 서비스 중단 등을 주장하며 금품을 요구하는 공격이 일어날 수 있다는 것이다.

일반 사용자들도 클라우드 서비스에 다양한 개인정보 관련 자료를 업데이트 하는 과정에서 개인정보 유출 등의 사생활 침해 문제가 발생할 수 있을 것으로 보인다.

핵티비즘 등 해킹, 실질적 피해 유발로 무게 중심 이동

2013년 해킹 공격은 기존보다 더 강력하고 피해가 큰 형태로 진화할 가능성이 높다.

최근까지 해킹은 자신의 의사 표현을 위한 공격 형태가 많은 편이었다. 해커가 자신의 정치적 의사 표시를 위해 특정 홈페이지를 공격해 변조시키거나, 디도스(DDoS, 분산서비스거부) 공격을 통해 특정 사이트를 무력화 하는 방식 등이 그것이다.

이와 더불어 중요 정보를 폭로하는 이른바 '폭로전'도 핵티비즘의 한 형태로 나타난 바 있다.

하지만 올해부터는 이에 그치지 않고 훨씬 강력한 공격이 감행될 것이라는 분석이 제기되고 있다.

국가 혹은 특정 기관이 보유한 시스템이나 데이터에 물리적이고 논리적인 파괴를 가함으로써, 실질적인 피해를 유발하는 해킹이 기승을 부릴 것이라는 전망이다.

이 과정에서 스카다(SCADA) 등 국가기간시설을 운용하는 시스템을 파괴하는 사이버전이 증가할 가능성도 배제할 수 없다. 국가 간 벌어지는 사이버전의 경우 상대 국의 사회에 커다란 혼란을 야기하는 파괴력을 지닌다는 점에서 심각성이 있다.
또 특정 지역의 관습을 반영하거나 스마트 기기를 연계하는 방식의 해킹도 전년에 이어 올해도 지속될 것으로 예측된다

맥 악성코드 유포, 전년과 비슷…잠재적 위협도

맥 악성코드 유포는 지난 2012년과 비슷한 수준을 유지할 것으로 보인다. 이는 물론, 맥 운영체제가 현재(2012년 말 기준)와 비슷한 시장 점유율을 기록할 경우에서의 예상이다.

이 같은 전망이 나오는 까닭은 공격자들의 입장에서 볼 때, 맥 운영체제를 공격하는 게 윈도우 운영체제를 공격하는 것보다 비용 대비 효율이 떨어져서다.

세계적으로 윈도우 운영체제를 사용하는 PC 사용자가 더 많은 데다가 공격 방식도 다양하게 진화해왔기 때문이다.

하지만 안심하긴 이르다. 2012년에 발견된 플래시백(Flashback) 악성코드와 같이 맥 운영체제에 존재하는 취약점을 악용한 악성코드가 발견되면 언제든지 대규모 감염이 일어날 수 있다.

아울러 최근 들어 각 기업과 가정에서 윈도우 운영체제와 맥 운영체제를 동시에 설치, 사용하는 경우가 늘어나고 있어 이를 악용하는 크로스 플랫폼 악성코드가 증가할 가능성도 있다.

다양한 플랫폼에 대한 보안 위협 증가

새로운 플랫폼이 등장하면 이에 맞는 새로운 보안 위협이 등장하게 마련이다.

2012년 말 출시된 윈도우8과 윈도우폰8로 인해 벌써부터 이에 맞는 공격 기법들이 소개되고 있다. 이들 플랫폼에 적용된 보안 기술을 우회하는 공격 기법들이 언더그라운드에서 회자되고 있는 것이다.

연구 목적의 화이트해커는 물론, 실제 공격을 준비하는 블랙해커들에게도 새로운 플랫폼의 등장은 좋은 타깃이 아닐 수 없다.

이 때문인지 올해는 새 플랫폼을 겨냥한 새로운 공격이 나타날 것이라는 전망이 우세하다.

또 임베디드 소프트웨어가 탑재된 다양한 기기에 대한 보안 위협 연구도 증대될 것으로 보인다. 대중적으로 인기를 끌고 있는 플랫폼인 윈도우나 맥, 안드로이드에 대한 보안 위협 연구가 증가할 것으로 보이는데, 그 이유는 이들이 가장 많은 양의 개인정보를 보유하고 있기 때문이다.

가상 인터뷰 형태를 빌린 좀비 소설, 세계대전 Z

2012년 레티나 디스플레이를 탑재한 아이패드가 판매되면서, 2년 동안 사용했던 1세대 아이패들 와이프에게 양도하고 새로 아이패드를 하나 구매 했습니다. 새로운 아이패드를 구매 한 뒤에는 예전처럼 아이패드 게임을 설치하기 보다는 논문이나 전자책을 읽어 볼 요령으로 괜찮은 이북 앱들이 뭐가 있나 살펴보게 되었습니다.

1세대 아이패드가 나왔을 때에만 하더라도 괜찮은 이북 앱도 없을 뿐만이 아니라 PDF로 된 논문을 살펴보는 것도 불편 했습니다. 하지만 2년이라는 시간 답게 사용하기 편리하고 콘텐츠도 풍부한 이북 앱들이 많이 나왔더군요.

그래서 그 중에서 평판이 좋고 이북 콘텐츠도 풍부한 리디북스 회원을 가입하고 이북 앱을 새로운 아이패드에 설치 했습니다. 이북의 장점은 아무래도 뚜거운 책들을 들고다니지 않아도 되고, 아이패드와 아이폰만 있으면 시간과 장소에 상관 없이 책을 읽을 수 있다는 점이 좋았습니다.

덕분에 복지카드에 남아 있던 13,000을 모두 리디북스에서 이북을 사는데 투자했으며, 가장 먼저 산 이북이 오늘 이야기할 소설 "세계대전 Z" 입니다. 이 북 형태이다보니 가격도 종이책보다 저렴한데다 연말 할인으로 3,000원이 조금 넘는 가격으로 구매 할 수 있었습니다. 이북 형태이다 보니 출, 퇴근 길을 포함해서 미국 L.A 출장 길에도 종이 책 한권 없이 아이패드로 13시간의 비행 시간을 이 소설과 함께 할 수 있었습니다.

책 제목만을 봤을 때에는 전쟁 소설이나, 가상의 미래 세계 전쟁을 다룬 소설처럼 보이지만,내용은 그와 전혀 다른 좀비와 전쟁이 후에 피폐해진 지구에 살아남은 사람들을 인터뷰하는 내용을 가지고 있습니다.

소설은 좀비와 전쟁이 끝난 이후 살아남은 전 세계 각국의 사람들을 인터뷰하면서 좀비와의 전쟁이 어떻게 시작되었는지, 그리고 그 과정에서 인간은 살아남기 위해서 어떠한 행동들을 했는지, 이러한 일련의 행동들을 인터뷰 형식의 기록문 형태를 가지고 있습니다.

이 소설에서는 한국과 북한이 좀비와의 전쟁에 어떻게 대처했는지 나오는데 그 과정에서 북한은 폐쇄적인 조직으로 인해 좀비와의 전쟁에서 살아남았다는 조금은 황당한 내용을 포함하고 있습니다. 하지만 작가는 외국인이라는 점을 고려하면 그가 바라보는 관점에 대해서는 이해가 가능 할 것 같습니다.

현재 이 소설 역시 브래드 피트 주연으로 올 여름 개봉을 목표로 하고 있습니다. 예고편의 스케일을 보면 원작 소설을 충실하게 반영하고자 노력하고 있은 것 같습니다만, 원작의 인터뷰 형식이 어떻게 변할지도 기대가 됩니다.

이 블로그를 쓰면서 찾아보니 해당 소설의 외전격인 "세계대전Z 외전"이 출판되었더군요.

개인적으로 최초로 구매한 이북이고, 출장지에서 최초로 다 읽은 소설이라는 점에서 남다른 의미가 있습니다. 항상 출장 때마다 무거운 종이책을 몇 권씩 가지고 다녔었는데, 올 해 출장에는 이북으로만 10권 정도 가지고 가서 편하게 다닐 수 있었던 것 같습니다.

다시 소설 이야기로 돌아가서 해당 소설은 좀비에 대처하는 인간의 모습을 담은 좀비 소설이지만 기존과 다르게, 좀비에 대응하는 인간들의 모습을 새롭게 다루었다는 점이 특이한 소설입니다. 다만, 박진감있게 전개되는 부분이 그리 많지는 않지만 결말이 어떻게 될까가 궁금해져서 계속 읽게 되었던 소설이 아닌가 싶습니다.

2012년 모바일 악성코드, 실체적인 위협으로 다가오다

이 글도 12월에 분석팀내 모바일 악성코드 분석 파트분들과 함께 작성하여 월간 안에 기고한 "2012년 모바일 악성코드, 실체적인 위협으로 다가오다"입니다. 실제 제목은 그냥 평범하게 2012년 모바일 보안 위협 이슈였습니다만, 원고를 담당하신 분께서 조금 더 흥미(?)를 유발 하실 수 있는 제목과 내용으로 조금 변경 해주신 것 같습니다.

안드로이드와 이이폰 그리고 윈도우 폰으로 대표되는 스마트 다바이스(Smart Device)의 활용빈도가 증가함에 따라 보안 위협 역시 증가하고 있습니다. 특히 스마트 다바이스를 이용한  경제 활동과 수익 추구 형태 소프트웨어 생태계가 구축되다 보니 사이버 범죄까지 자연 스럽게 이어지고 있는 것으로 보입니다.

특히 스마트 디바이스에서 발생하는 보안 위협의 성장 속도를 보면 과거 PC에서 바이러스로 시작한 악성코드의 보안 위협 발전사 20년을, 스마트 디바이스 보안 위협은 불과 2년에서 3년만에 거기에 비교될 만큼 성장하고 있습니다.

그래서 근미래에 인간 생활에 있어서 가장 큰 위협은 스마트 디바이스로부터 출발하지 않을까하는 생각을 해봅니다.

+-------------------------------

모바일 악성코드 전년 대비 30여배 증가
지역 맞춤형 제작, 고도화된 형태로 진화

2011년까지 모바일은 보안 위협과 관련해 '가능성'으로만 존재했다. 스마트폰의 양적 팽창 등에 힘입어 보안 위협이 크게 늘어날 것이라는 경고가 줄기차게 제기됐던 것이다. 그 예견은 틀리지 않았다. 2012년 모바일에 대한 보안 위협은 실체적인 위험으로 우리 앞에 다가왔다. 기하급수적 증가세는 감히 그 미래를 가늠하기 어려울 정도로 보안 위협의 새 강자로 인식되기에 충분했다.

모바일 악성코드는 안랩 시큐리티대응센터(ASEC)가 최근 선정한 '2012년 7대 보안 위협'에 당당히 이름을 올렸다. ASEC에 따르면 모바일에서 동작하는 악성코드는 양적으로 크게 증가했을 뿐만 아니라, 동작 방식 역시 전년에 비해 눈에 띄게 고도화됐다. 실제 사례를 바탕으로, 올해 등장한 모바일 악성코드의 특징을 정리하면 다음의 5가지로 요약이 가능하다.

올해 모바일 악성코드는 ▲양적으로 기하급수적 증가세를 보였으며 ▲국내(한국)를 타깃으로 한 형태가 최초로 나타났고 ▲지역 맞춤형 제작이 늘어난 데에 이어 ▲정상 앱으로 위장하는 이른바 '리패키징' 기법을 사용했으며 ▲정상 앱 마켓으로 악성 앱을 유포시키는 등 고도화된 기술을 선보이는 특징을 나타냈다.

모바일 악성코드, 전년 대비 31배 증가

모바일 악성코드의 급증은 굳이 자세한 설명이 필요 없을 정도다. 안드로이드 체제에서 동작하는 악성코드는 전년인 2011년에 비해 올해 31배나 급증했다. [그림 1]의 2012년 월별 안드로이드 악성코드 발견 수치를 보면 6,7월을 기점으로 얼마나 폭증했는지 한 눈에 확인할 수 있다.

[그림 1] 2012년 월별 안드로이드 악성코드 발견 수치

모바일 악성코드의 유형을 살펴보면 급증한 이유를 유추할 수 있다. 2012년에 발견된 모바일 악성코드들은 동작 유형은 비슷하나, 세부적으로 파고들어가면 내부 코드에서 조금씩 변화를 준 예들이 다수였다.

이는 모바일 악성코드의 대량 생산 시스템(?)에 기인한 때문으로 분석된다. 즉, 기존에 발견됐던 모바일 악성코드의 변종들이 증가한 것은 다름 아닌 '자동화된 모바일 악성코드 생성 툴'을 이용했기 때문이 아니냐는 얘기다. 악성코드 분석가들은 이 같은 해석에 무게를 두고 있다.

모바일 PUP, 2011년보다 3200배 폭증

모바일 악성코드만이 급증한 게 아니다. 스마트폰에서 동작하는 '불필요한 프로그램(이하 PUP, Potentially Unwanted Program)' 역시 상상을 초월할 정도로 급격히 증가했다.

지난해 발견된 모바일 PUP에 비해 무려 3200배나 폭증한 것이다. PUP는 PC와 모바일을 막론하고 최근 자주 유포되고 있는데, 악성코드는 아니지만 잠재적 유해 프로그램으로 주요 보안 위협의 대상으로 꼽히고 있다.

특히 PUP를 악용한 모바일 위협의 경우 모바일의 '푸시(Push)' 알람기능을 이용해 사용자들이 원하지 않는 광고를 노출하는 등의 목적으로 다량 유포되고 있는 실정이다.

모바일에서 유포되는 PUP에 대해 악성코드 분석가들은 윈도우 운영체제에서 동작하는 애드웨어(Adware)와 비슷한 것으로 진단한다. 애드웨어처럼 사용자에게 무료로 배포되나, 실제로는 광고 및 소액결제 시스템을 통해서 금전적 탈취를 시도하기 때문이다.

국내를 타깃으로 한 모바일 최초 발견

2012년 모바일 악성코드 이슈 중에서 또 다른 주목할 만한 사건은 '한국' 사용자들을 타깃 삼은 모바일 악성코드가 최초로 발견됐다는 것이다.

그동안 발견된 안드로이드 기반 모바일 악성코드들은 대부분 해외에서 제작이 이뤄졌고 주로 해외 스마트폰 사용자들을 감염대상으로 삼았다. 하지만 2012년에는 한국의 사용자들을 감염대상으로 삼은 모바일 악성코드가 발견돼 국내 보안업계를 바짝 긴장시켰다.

국내를 타깃으로 한 모바일 악성코드는 'Chest'로, 스마트폰의 SMS(Short Message Service)를 통해 유포됐다. Chest는 한국 문화의 특수성을 고려, 마치 현 시기에 꼭 필요한 메시지인 것처럼 위장했다. 이른바 사회공학적 기법(Social Engineering)을 활용한 것이다. 하지만 본래 의도는 악성코드를 다운로드하도록 유도하는 것이었다.

현재까지 국내를 타깃으로 제작, 유포된 모바일 악성코드로는 스팸 필터, 이동통신업체의 청구금 조회 등이 있다.

[그림 2] 정상 파일로 위장하기 위해 Chest가 사용한 아이콘

Chest를 좀 더 자세히 살펴보면, 지난 2012년 10월 말 최초로 발견된 이후 바로 다음달인 11월 말 다시 변형이 유포됐다. 악성코드 제작자가 주로 월말을 노린 것은 '전화 요금 고지서'가 1개월 단위로 제작되는 점에 착안한 것으로 분석된다.

Chest에 감염이 돼 금전적인 피해가 발생하더라도 피해자는 1개월여가 흐른 뒤에나 인지할 수 있기 때문이다. 악성코드 제작자는 피해자의 소액결제를 통해 구매한 아이템 등을 현금화하는 충분한 시간을 확보하고자 한 것으로 보인다.

지역 맞춤형 제작, 모바일 악성코드

최근 모바일 악성코드는 '지역 맞춤형' 경향이 두드러지고 있다. 특히 모바일 악성코드들이 금전 탈취를 목적으로 삼는 경향이 강해지면서, 특정 국가나 지역에서 사용되는 금전거래 방식에 맞춰 악성코드들이 개발되는 사례들이 늘고 있다.

예를 들어 유럽에서 발견된 SmsSend와 Boxer, Opfake 등의 모바일 악성코드는 특정 전화번호로 SMS를 보내면 금전 결제가 가능하다는 점을 악용했다. 우리나라에서 유사한 예를 찾자면 SMS를 통한 전자결제 방식을 들 수 있다.

개인이 SMS를 통해 의견을 보내거나 문자투표를 진행할 때 일정 금액이 부과되는 형태 등이다. 물론 이는 악의적인 금전 탈취는 아니지만, 유럽의 모바일 악성코드의 동작을 이해하는 데에 도움이 될 수 있다.

유럽은 금액을 부과하는 전화번호를 누구나 쉽게 취득할 수 있고 부과되는 금액도 자유롭게 설정이 가능하다. 때문에 이를 악용한 악성코드가 대량 유포되고 있는 실정이다.

유럽 등지에서는 온라인 뱅킹 시 사용되는 개인정보 탈취를 목적으로 한 악성코드가 대거 발견되기도 했다. 유럽의 금융기관들은 보안을 강화할 목적으로 휴대전화에 인증번호를 전송하고 있는데, 이를 악용해 인증번호를 탈취하는 악성코드를 제작한 것이다.

실제 유럽과 러시아 등지에서 인증번호 탈취를 위한 악성코드인 Zitmo((Zeus in the Mobile)와 Spitmo(SpyEye for mobile), Citmo(Carberp-in-the-Mobile) 등이 2012년 무더기 발견됐다. 게다가 이들 악성코드는 PC 기반 악성코드들과도 유기적으로 작동, 사용자가 악성코드에 감염된 사실을 알지 못한 상태로 외부에 정보를 유출하는 치밀함을 보이기도 했다.

앞서 언급된 바 있는 국내 타깃의 악성코드인 Chest 역시 한국의 소액결제 방식을 악용한 점에서 지역 맞춤형 제작의 한 예로 볼 수 있다. 국내에서는 30만 원 한도의 휴대전화 소액결제를 위해 이름과 주민등록번호, 휴대전화번호, 휴대전화로 발송된 인증번호 등을 요구하고 있다. 악성코드 제작자는 이를 감안, Chest를 활용해 인증번호 등의 금융 관련 개인 정보를 사용자 모르게 빼내려 했다.

정상 앱을 위,변조한 '리패키징' 사용 증가

2012년 모바일 악성코드의 또 다른 특징으로는 '리패키징(Repackaging)' 기법의 사용을 들 수 있다. 리패키징이란, 안드로이드 운영체제에서 설치되는 앱을 위조 혹은 변조하는 기법을 말한다. 2011년에도 리패키징은 간헐적으로 등장했으나 2012년 들어 그 사용이 훨씬 증가했다.

[그림 3] 리패키징이 되는 단계

2012년에 발견된 리패키징된 모바일 악성코드들 대부분은 비교적 많은 사용자들이 사용하고 있는 유명 앱들을 위?변조의 대상으로 삼았다. 이들 리패키징 앱은 정상 앱과 구분하기 어려울 정도로 교묘히 제작돼 있다.

일반인들은 앱의 세부 항목을 꼼꼼히 따지기 보단, 주로 앱의 유명세에 의존해 다운로드 받는 경향이 강하기 때문에 이를 노린 제작 기법이 기승을 부린 것으로 해석된다.

국내에서도 지난해 12월 리패키징 된 모바일 악성코드 Gsbot가 발견된 바 있다. 이 악성코드는 한국인터넷진흥원이 배포하는 '폰키퍼(PhoneKeeper)'을 리패키징 했다. 해당 악성코드 제작자는 악의적인 코드를 삽입, 다수의 스마트폰 사용자들에게 SMS를 보냄으로써 악성코드의 설치를 유도했었다.

공식 앱 마켓으로도 유포되는 악성코드

모바일 악성코드의 위험성은 비단, 고도화된 기법이나 양적 증가에만 있었던 것은 아니었다. 유포 방식에서도 ‘경고음’이 끊임없이 울렸다. 모바일의 응용프로그램인 앱을 다운로드 받는 공식 장터에서도 악성 앱이 무분별 유포된 것이다. 공식 장터조차 안전하지 않다는 인식을 심어주기에 충분했다.

안드로이드 사용자들이 앱을 다운로드 받기 위해 사용하는 구글의 공식 앱 마켓인 '플레이 마켓'은 2012년 한 해 동안 악성 앱의 유포지로 종종 활용되곤 했다. 지난해 7월 성경 앱으로 위장해 공식 마켓에 올라온 '마이 모바일 바이블(My Mobile Bible)은 불필요한 광고를 SMS를 통해 전송하는 SMS Bomber(스팸 메일 발송기)였다.

이 같은 앱이 나타난 배경을 살펴보면 구글의 경우 플레이 마켓은 정상 동작 혹은 악의적인 기능이 포함됐는지 여부를 사전 검증하는 절차가 생략돼 있기 때문으로 풀이된다.

구글의 이런 한계는 반대로 다수의 앱 개발자들은 간편하게 자신들이 개발한 앱을 구글 플레이 마켓을 통해 배포하는 이점으로 작용하고 있기도 하다. 그러나 사용자들은 모바일 보안 위협에 노출될 가능성이 높다는 한계를 지니고 있기도 한 것이다. 구글에서도 이를 우려, 바운서(Bouncer)나 앱체커(App Checker)와 같은 시스템을 통해서 악성 앱을 자동 탐지하도록 보안책을 마련하고 있다.

이처럼 지난 2012년 한 해 동안 모바일 악성코드들은 기하급수적으로 늘어났으며, 그 형태도 국가나 사용자의 특성을 고려해 맞춤 제작됐다. 2013년에도 스마트폰의 광범위한 확산과 더불어 더 다양한 형태의 악성코드들이 등장할 것으로 예상된다.

키워드를 통해 본 2012년 보안 이슈 '총정리'

오늘 다시 폭풍 블로그질을 하게되는군요.. ^^

해마다 연말이 되면 티비에서는 영화나 음악 그리고 방송에서 좋은 활동을 보여주었던 배우나 연예인들에게 상을 수여하며, 한 해를 되돌아보게 됩니다. 저 역시도 연말이되면 한 해 동안 발생했던 보안 위협들에 대해 정리하고, 주요 이슈들을 종합 정리하는 일들을 하게 됩니다.

이 글 역시 월간 안이라는 회사 매체에 기고하기 위해 작성했던 "키워드를 통해 본 2012년 보안 이슈 '총정리'" 입니다. 항상 한 해 동안 발생했던 보안 위협들의 주요 이슈들을 정리하면서 예년과 비교하면 보안 위협의 성장 속도가 점점 빨라지고 위험성 역시 커지고 있다는 것입니다. 그 만큼 우리의 생활이 이제 인터넷과 PC 그리고 스마트 디바이스들과 점점 밀착되어 가고 있다는 생각을 하게 됩니다.

올해는 특히나 회사 차원에서 "2012 보안 이슈 7가지로 보는 보안 트렌드"라는 동영상으로까지 제작을 해서 IT와 보안에 대해 잘 모르는 분들에게 더욱 쉽게 다가가지 않았나 생각 합니다.

+--------------------


APT 공격 기승부터 피싱 기법 발달까지
키워드를 통해 본 2012년 보안 이슈 총정리

2012년 보안업계는 그 어느 때보다 뜨거운 한 해를 보냈다. 고도화된 공격기법은 물론이고 기하급수적으로 늘어나는 악성코드에 맞서 전쟁을 방불케 하는 사투를 벌인 것이다. 게다가 사람의 심리를 파고든 사회공학적 공격기법의 기승과 금전 탈취 목적의 악성코드들의 급증, 날로 높아져가는 모바일 보안 위협 등은 보안업계를 긴장의 한 가운데로 내몰았다.
그 뜨거웠던 1년을 안랩 시큐리티대응센터(ASEC)가 7개의 키워드로 정리했다. APT부터 피싱까지, 2012년의 보안 키워드를 살펴본다.

APT 

고도화된 지능형 타깃 위협(Advanced Persistent Threat, 이하 APT)은 전년보다 수적으로 크게 증대됐다. 공격기법도 진화했으며 공격대상 역시 광범위해졌다.

APT 공격은 그동안 어도비 PDF, 마이크로소프트(MS) 워드 등 문서파일에 존재하는 취약점을 악용해 악의적인 취약한 전자 문서파일을 제작한 뒤 공격하고자 하는 대상이나 기관에 이메일을 보내는 방식이었다. 이 같은 전통적 형태의 APT 공격기법은 2012년에도 여전히 기승을 부렸다.

이와 동시에 APT 공격은 좀 더 진화된 형태를 선보이기도 했다. 정상 전자문서나 이미지 파일에 실행 파일을 삽입, 압축파일(RARSfx)로 만들어 이메일에 첨부한 것이다. 윈도우의 도움말 파일(HLP)에 악성코드를 삽입해 이메일로 전달하는 형태도 등장했다.

또한 공격 대상이 되는 기관(기업)의 직원들의 사용빈도가 높은 운영체제를 파악한 뒤, 그에 맞는 '맞춤형 악성코드'를 제작하거나 모바일 기기에서 작동하는 악성코드를 제작?유포하는 형태도 발견됐다.

특히 국내에서는 기업이나 공공기관에서 자주 사용하는 소프트웨어의 업데이트 파일을 이용해 악성코드를 유포한 사례도 있었다.

APT 공격 대상의 범위도 다양화됐다. 과거에는 주로 첨단산업 분야에서 각 기업의 내부 기밀자료를 탈취하고자 하는 목적으로 APT 공격이 이뤄졌다. 그러나 이제는 정치적인 사안이나 군사 정보를 확보하기 위한 목적으로 정부기관과 민간단체에도 공격이 시도되면서 대상 폭이 넓어졌다.

취약점

2012년 소프트웨어의 취약점을 악용한 보안 위협은 특정 지역에서 주로 사용되는 소프트웨어를 악용하는 형태가 증가했다는 게 특징이다.

이같은 공격들 중 가장 눈에 띄는 것은 국내에서 사용빈도가 높은 한글문서를 악용한 공격이다. 국내에도 타깃 공격이 증대되고 있는 징후로 해석할 수 있다.

한글문서 파일의 취약점을 악용한 보안 위협은 지난 2012년 4월부터 서서히 발견됐다. 그러다 6월 이후에는 거의 매월 취약한 한글문서 파일을 악용한 보안 위협 사례들이 쏟아졌다.

애초 한글문서 파일을 악용한 공격은 대부분은 기존에 알려진 취약점을 악용한 사례들이 다수를 이뤘다. 그러나 6월과 11월엔 기존에 발견되지 않은, 이른바 제로데이 취약점이 발견되었으며 이를 활용한 공공 및 정부기관 내부 직원 타깃의 공격도 가해져 주목을 끌었다.

이밖에 세계적으로 사용빈도가 높은 소프트웨어의 취약점을 악용한 보안 위협도 지속적으로 발견됐다. 어도비플래시의 경우 CVE-2012-0754 취약점을 비롯해 CVE-2012-0779, CVE-2012-1535 등 3개의 취약점 이슈가 주로 대두됐다.

MS 관련 취약점 악용 보안 위협으로는 MS12-004 윈도우 미디어 취약점이나, MS12-043 XML 코어 서비스 취약점, MS12-027 윈도우 공용 콘트롤 취약점, MS12-063 인터넷 익스플로러 버전 7과 8의 취약점 등이 나타났다. 2011년부터 위협 대상으로 떠오른 자바 역시 JRE 7에 존재하는 CVE-2012-4681 취약점을 악용한 형태가 등장했다.

사회공학

사회공학적 공격기법에서는 정치적인 이슈를 악용한 보안 위협이 크게 늘었다는 점을 꼽을 수 있다. 미국과 한국의 대선 등 2012년이 세계적으로 '정치의 해'였기 때문에 세간의 관심과 호기심을 자극할 수 있는 정치 이슈를 악용한 공격이 증대된 것으로 풀이된다.

사회공학적 공격기법에 악용된 정치 이슈는 한국의 4.11 총선과 미국의 대선, 한국의 대선 등을 들 수 있다. 또한 북한 광명성 3호 발사 및 핵실험, 2012 서울핵안보정상회의 등이 있다.

사회적으로 이슈가 된 현안들도 공격에 자주 이용됐다. 세계적인 이목이 집중됐던 런던올림픽은 물론이고 국내에서 뜨거운 화두가 됐던 한 걸 그룹의 멤버 '왕따 사건'도 있다.

일반적인 소재를 활용한 공격 사례도 심심찮게 발견됐다. 유명 패스트푸드 업체에서 제공하는 프리미엄 환불서비스, 한 보안업체의 보안관련 소식, 남성들이 주로 읽는 무협지, 자동차업체가 제공하는 경품 이벤트 등으로 위장한 이메일 발송 사례 등이 그 예다.

모바일

모바일 악성코드의 기하급수적 증가도 2012년 눈에 띄는 사건 중 하나다. 모바일 악성코드는 지난해부터 안드로이드 운영체제를 중심으로 늘기 시작했지만 올해에는 그 증가세가 훨씬 뚜렷했다.

악성코드 제작자들로 하여금 모바일 환경이 금전적 탈취가 가능한 새로운 시장으로 인식된 것이 모바일 악성코드의 양적 팽창을 이끈 게 아니냐는 해석이 제기된다.

모바일 악성코드의 급증은 유포 방식의 다변화로 이어지기도 했다. 유용한 애플리케이션이나 유명한 게임으로 위장해 허위 안드로이드 마켓에서 유포되는 방식이 대표적이다. 또한 소셜네트워크서비스인 트위터나 문자서비스(이하 SMS)를 통해 단축 URL을 유포하는 형태도 등장하고 있다.

모바일 악성코드의 기능적 진화도 주목할 만하다. 스마트폰의 하드웨어 정보, 혹은 사용자의 개인정보를 유출하는 형태는 물론이고 온라인 뱅킹에 사용하는 인증번호 등 SMS 탈취까지 나타나고 있다. 모바일 백신으로 위장해 금전적 대가를 요구하는 형태와 모바일 애드웨어도 등장했다.

모바일 악성코드의 주 공격 지역은 점차 국지적 경향을 띄고 있다. 중동에서는 이스라엘을 타깃해 히브리어로 제작한 모바일 악성코드가 발견된 바 있다. 국내에서도 공공기관을 사칭하거나 스마트폰의 청구서로 위장한 모바일 악성코드가 발견, 특정 지역 타깃의 모바일 악성코드 제작이 이뤄지고 있음을 증명했다.

고도화

2012년 발견된 악성코드들은 과거보다 보안에 적극적이고 고도화된 경향을 보였다. 과거에는 실행 압축과 암호화 기법 등을 사용해 보안 소프트웨어의 탐지를 회피하는 비교적 소극적인 방법을 택했다.

그러나 2012년에는 보안 소프트웨어 관련 파일을 직접 삭제하거나 운영체제의 커널(Kernel) 영역에서부터 보안 소프트웨어 관련 파일이 실행되지 않도록 하는 적극적인 방법이 나타났다. 이들은 모두 온라인 게임 영역에서 활용이 두드러진 편이다.

부팅에 관련된 영역인 MBR(Master Boot Record)을 감염시키는 악성코드 유형인 '부트킷(Bootkit)' 형태의 악성코드도 지난 한 해 동안 지속적으로 발견됐다.

특히 러시아와 중국에서 주로 제작해 유포하는 것으로 알려진 부트킷의 경우 한국의 PC 사용자들만을 대상으로 한 형태로 등장, 주목을 받았다.

제로엑세스(ZeroAccess)로도 알려진 스미서의 변형은 물론, 국내 PC 사용자들을 감염 대상으로 유포한 아두스카(Adusca) 부트킷 등이 나타난 것이다. 이들 모두 온라인 게임 관련 개인 정보 탈취를 목적으로 제작됐다.

또한 기존 악성코드들은 탈취한 정보를 이용해 간접적으로 이익을 취했다. 그러나 2012년 유포된 뱅키(Banki) 트로이목마의 경우 개인 금융 정보를 직접 탈취해 곧바로 금전적 이익을 가져가는 특징을 보였다.

유포방식 면에서도 발전된 경향을 보였다. 일반 소프트웨어의 취약점을 악용하거나 소프트웨어의 설치 파일에 악성코드를 삽입하는 등 다양한 유포경로를 활용했다.

핵티비즘

2012년에 발생한 해킹 공격들은 크게 두 가지 목적으로 시도됐다. 정치적인 의사를 표시하기 위해 사용하는 이른바 ‘핵티비즘(Hacktivism)’과 기업이 가진 내부 정보를 탈취하기 위한 목적의 해킹이다.

먼저 핵티비즘 성격의 해킹을 살펴보면 올해 4.11 총선과 12.19 대선 등 정치적인 이슈가 많았던 해인 만큼, 각 정당 및 정치단체 홈페이지, 혹은 언론사 홈페이지를 해킹한 사건이 많았다. 이들 모두 핵티비즘 성격의 해킹으로 해석이 가능하다.

아울러 2012년 가장 큰 해킹사고로는 한 방송사의 홈페이지가 해킹돼 회원 400만명의 개인정보가 유출된 사건을 들 수 있다. 또 국내 유수의 통신사가 해킹돼 가입자 870만명의 개인정보가 유출된 사고도 있었다.

이들 모두 기업 내부의 중요한 정보인 고객의 개인정보를 탈취하기 위한 목적으로 해킹이 이뤄졌다. 국산 문서 프로그램 업데이트 서버를 해킹해 악성코드를 유포한 해킹 사고도 해당 소프트웨어를 사용하는 기업과 기관의 내부 정보를 탈취하기 위한 성격이 짙은 것으로 분석된다.

피싱

2012년은 개인의 금융 정보를 직접적으로 탈취하기 위한 목적의 피싱(Phishing) 웹사이트의 유포가 그 어느 때보다 활발했다. 무엇보다 올해 피싱 웹사이트의 유포는 스마트폰의 대중화로 인해 스마트폰 문자메시지인 SMS를 활용하는 방식이 두드러지는 경향을 보였다.

전 세계적으로 피싱 웹사이트의 유포는 흔한 일이었다. 반면에 국내에서는 금융기관으로 위장한 피싱 웹사이트 발견이 좀 처럼 쉽지 않았다.

하지만 올해는 예년과 달리, 국내 금융기관은 물론이고 공공기관으로 위장해 개인이 금융 정보를 탈취하는 피싱 사이트들의 급증해 사용자들을 바짝 긴장시켰다.

게다가 스마트폰이 대중화되면서 모바일 뱅킹 역시 일상화됨에 따라, SMS를 통해서 피싱 웹사이트로 유도하는 사례 역시 증가했다. 일각에서는 모바일 브라우저 형태의 피싱 웹 사이트도 등장해 ‘모바일 맞춤형’ 피싱 웹사이트가 기승을 부리고 있는 단면을 엿보게 했다.