전 세계적으로 널리 사용되는 소프트웨어 구성요소와 관련한 사이버 공격에서 또다시 북한 연계 해킹조직의 연루 정황이 발견됐습니다. 북한 해킹조직이 과거에 주로 사용해 온 해킹 작전과 일치하는 패턴이 반복적으로 나타났다는 분석입니다. 조상진 기자가 보도합니다.
세계적으로 널리 사용되는 소프트웨어 구성요소를 악용한 공급망 공격에서 북한 연계 해킹조직의 과거 작전과 겹치는 정황이 발견됐습니다.
미국 사이버보안업체 위즈(Wiz)는 이번 공격에 사용된 인터넷주소와 서버 등 기반시설이 최근 북한 연계 조직의 소행으로 지목된 공격들과 상당 부분 일치한다고 지난 20일 밝혔습니다.
위즈(Wiz)에 따르면 이번 공격은 프로그래밍 언어 ‘러스트(Rust)’의 공식 소프트웨어 저장소에서 발생했습니다.
개발자들은 프로그램을 만들 때 다른 개발자가 미리 제작한 코드 묶음을 가져다 사용하며, 공격자는 이 가운데 널리 사용되는 ‘어레이레프’ 등 3개 코드 묶음의 악성 버전을 저장소에 올렸습니다.
악성 버전에는 정상적인 구성요소와 이름이 유사한 가짜 구성요소가 추가됐으며, 이를 통해 외부 서버에서 악성 파일을 내려받도록 설계됐습니다.
악성 코드는 감염된 코드로 사람이 작성한 명령을 컴퓨터가 실행할 수 있는 프로그램으로 변환하는 과정에서 자동으로 작동했습니다.
따라서 개발자가 별도의 악성 파일을 직접 열지 않고 감염된 구성요소로 프로그램을 만드는 것만으로도 컴퓨터가 뚫릴 수 있었습니다.
이 같은 공급망 공격은 하나의 소프트웨어 구성요소를 감염시켜 이를 신뢰하고 사용하는 수많은 개발자와 기업에 동시에 침투할 수 있다는 점에서 특히 위험합니다.
설치된 백도어, 즉 비밀 침입 통로는 감염된 컴퓨터의 운영체제와 설치된 프로그램, 브라우저의 로그인 항목 등을 확인했습니다.
또 컴퓨터를 다시 켜도 계속 작동하면서 공격자의 지시에 따라 추가 프로그램을 내려받아 실행할 수 있었습니다.
위즈는 이번 공격의 통신 경로가 앞서 마이크로소프트가 북한 연계 조직 ‘사파이어 슬리트’의 소행으로 지목한 ‘마스트라’ 공격에서도 사용됐다고 밝혔습니다.
또 다른 서버의 인터넷주소는 구글과 맨디언트가 북한 연계 조직 ‘UNC1069’의 소행으로 평가한 ‘액시오스’ 공급망 공격에서 확인된 기반시설과 겹쳤다면서, 기존 북한 연계 작전과 상당한 기반시설 중첩이 발견됐다고 설명했습니다.
러스트 보안대응팀은 문제가 된 악성 버전을 삭제하고 해당 계정을 잠갔습니다. 또 정상적인 관리자의 컴퓨터나 계정정보가 탈취됐을 가능성이 있다고 밝혔습니다.
그러면서 감염된 버전으로 프로그램을 제작한 컴퓨터를 침해된 것으로 간주하고, 비밀번호와 인증정보 등을 교체할 것을 권고했습니다.
VOA 뉴스
Forum