기업 내부망을 보호하는 보안장비와 소프트웨어 개발 서버가 북한 해커 등 여러 공격 조직의 침입 통로로 악용되고 있다는 분석이 나왔습니다. 공격자가 이런 시스템을 장악하면 기업 내부로 접근할 발판을 얻는 만큼 보안 결함을 고치는 것뿐 아니라 침입 이후의 공격까지 차단해야 한다는 경고입니다. 조상진 기자가 보도합니다.
미국 사이버보안업체 센티넬원과 테너블이 최근 공동 연구에서 북한 해킹 조직 라자루스의 소프트웨어 개발 서버 취약점 악용 사례를 제시하며 기업 핵심 시스템의 침해 위험을 경고했습니다.
보고서에 따르면 라자루스와 러시아 연계 해킹 조직 APT29는 소프트웨어 개발 도구인 ‘팀시티’의 동일한 보안 결함을 각각 공격에 이용했습니다.
팀시티는 기업들이 소프트웨어를 제작하고 시험·배포하는 과정을 자동화하는 도구로, 해당 결함을 악용하면 외부 공격자가 서버에 명령을 실행할 수 있습니다.
단순히 직원 한 명의 컴퓨터가 아니라 소프트웨어를 만드는 개발 환경이 공격자에게 노출될 수 있는 것입니다.
마이크로소프트가 지난 2023년 북한 연계 조직 ‘다이아몬드 슬릿’과 ‘오닉스 슬릿’이 이 취약점을 악용해 악성코드와 지속적인 접근을 위한 도구를 설치했다고 공개한 바 있습니다.
마이크로소프트는 당시 북한 해커들이 과거에도 개발 환경에 침입해 소프트웨어 공급망 공격을 수행했다는 점에서 피해 기업의 위험이 특히 크다고 평가했습니다.
이번 공동 연구는 이런 기존 공격 사례와 기업들의 취약점 노출·보완 자료를 함께 분석해, 서로 다른 공격 조직들이 같은 기업 시스템을 침입 통로로 삼는 양상을 살폈습니다.
전체 분석에서 여러 공격 주체가 중복 악용한 취약점은 12개로, 관련 조직에는 북한과 중국, 러시아, 이란 연계 해커와 금전 목적의 사이버범죄 조직들이 포함됐습니다.
이들이 같은 취약점을 독립적으로 악용했다는 분석인데, 북한이 러시아, 중국, 이란 등 국가 연계 해킹 조직이나 사이버 범죄 조직들과 공동 작전이나 기술 공유를 했을 가능성도 배제할 수 없습니다.
연구진은 또 가상사설망 VPN 접속 장비와 방화벽 등 기업 내부망과 외부 인터넷을 연결하는 장비의 위험도 강조했습니다.
북한과 같은 공격자가 이런 장비를 장악하면 장비에 저장된 접속 정보와 기존 접근 권한을 이용해 다른 내부 시스템으로 이동할 수 있다는 설명입니다.
문제는 기업의 접속과 보안을 담당하는 핵심 장비일수록 업데이트를 위해 서비스를 중단하기 어렵기 때문에 취약점 보완이 늦어질 수 있다는 점입니다.
실제로 공동 연구에서 조사한 취약점 보완 기간은 중간값 기준 461일에 달했습니다.
연구진은 개별 결함을 고친 뒤에도 같은 제조사의 제품군에서 새로운 취약점이 발견돼 공격이 반복되는 양상에 주목해야 한다고 밝혔습니다.
센티넬원의 스티브 스톤 최고고객책임자는 공동 보도자료에서 “속도만으로는 충분하지 않다”며, 취약점이 보완 대기 목록에 오를 때 이미 공격자들은 공격 수법을 개선하고 있다고 지적했습니다.
테너블의 블라드 코르선스키 최고기술책임자도 같은 자료에서 공격자들이 침입 통로가 될 수 있는 특정 제조사의 제품군을 체계적으로 겨냥한다며, 방어하는 기업들도 개별 취약점에만 매달려서는 안 된다고 강조했습니다.
두 업체는 보안 업데이트를 신속히 적용하는 동시에 불필요한 외부 접속 기능을 줄이고, 북한 해킹 조직 등 침입자가 다른 내부 시스템으로 공격을 확대하는 것을 막는 보호 조치를 병행하라고 권고했습니다.
VOA 뉴스
Forum