인텔 시큐리티의 맥아피 연구소가 지난 5년 간 진화해온 하드웨어 및 소프트웨어 위협들에 대한 분석 내용이 담긴 2015년 2분기 맥아피 연구소 위협 보고서(8월호)를 발표했다. 이 보고서에는 그래픽 처리 장치(GPU) 내 악성코드 문제 제기에 대한 평가, 최고 수준의 사이버범죄 탈취 기술에 대한 연구를 비롯해 인텔이 맥아피를 합병한 이후 5년 동안 진화해온 위협들에 대한 분석 내용이 담겨 있다.  

맥아피 연구소는 인텔-맥아피의 합병 5주년을 기념해 2010년을 기점으로 하드웨어 및 소프트웨어 보안 위협 영역에서 발생할 것으로 예상했던 전망과 실제 일어난 현상을 비교 분석했다. 관련해 핵심 연구원과 경영진들은 실리콘 상의 보안 기능 및 탐지하기 어려운 새로운 공격들에 대해 인텔 시큐리티가 예측했던 내용들을 분석했으며, 또한 새로운 디바이스와 관련해 예상했던 내용과 실제 시장에서 일어난 결과에 대한 비교도 진행했다.

맥아피 연구소가 발표한 지난 5년 동안 발생한 위협들에 대한 분석 결과는 다음과 같다.

• 인텔 시큐리티는 하드웨어와 펌웨어 구성 요소를 타깃으로 하는 위협과 런타임 무결성에 대한 위협을 예상했다.
• 지능형 악성코드 및 장기간 지속 공격의 증가세는 놀라운 것은 아니었지만 일부 특정 침투 전술과 수법은 5년 전에는 상상할 수 없던 것이었다.
• 모바일 기기는 예상보다 훨씬 빠른 속도로 증가했지만, 모바일 기기에 대한 광범위한 공격은 생각보다 훨씬 더디게 성장했다.
• IoT(사물 인터넷) 기기에 대한 공격과 보안 위반은 이제 막 시작됐다.
• 클라우드 도입은 일부 공격의 특성에 변화를 가져왔는데, 기기에 저장되어 있는 소량의 데이터를 노리고 기기를 공격하는 것이 아니라 기기를 통로로 활용해 주요 데이터가 저장된 곳에 액세스하는 방식이다.
• 사이버 범죄는 공급업체, 시장, 서비스 제공업체, 금융, 무역 시스템 및 비즈니스 모델의 확산과 더불어 성숙한 시장으로 성장했다.
• 기업과 소비자는 여전히 업데이트, 패치, 비밀번호 보안, 보안 경보, 기본 설정, 그리고 간단하면서도 중요한 기타 온라인 자산과 물리적 자산 보호 방법에 충분한 관심을 기울이지 않고 있다.
• 중대한 인터넷 취약점 발견 및 악용 사례를 통해 일부 기초 기술에 대한 인적, 물적 투자가 얼마나 미흡한지 증명됐다.
• 사이버 범죄 활동을 억제하기 위해 보안 업계, 학계, 법집행기관 및 정부 간의 적극적인 협력이 증가하고 있다.

인텔 시큐리티 맥아피 연구소의 수석 부사장인 빈센트 위퍼(Vincent Weafer)는 "공격 범위 확장, 해킹 산업화, IT 보안 시장의 복잡성과 분열이라는 세 가지 핵심 요소가 위협의 발전뿐 아니라 공격의 규모 및 빈도를 가속화했다는 점에 깊은 인상을 받았다” 라며, “이런 공격이 발전해나가는 속도에 발맞추어 대응하려면 사이버보안 커뮤니티가 상호간 위협 인텔리전스 공유를 확대하고, 보다 많은 보안 전문가들을 채용해야 하며, 보안 기술의 혁신을 가속화해야 한다. 또한 정부와의 협력을 통해 정부가 사이버 공간의 시민을 보호하는 역할에 충실하도록 해야 한다"라고 말했다.

▲ 자료 제공 : 맥아피 연구소

2015년 2분기 위협 보고서는 또한 GPU를 악용하는 악성코드와 관련한 3개 PoC(proofs-of-concept, 개념검증)에 대한 자세한 내용을 다루고 있다. 오늘날 거의 대부분의 악성코드가 CPU 상의 메인 시스템 메모리에서 작동되도록 설계되어 있는 반면, 본 PoC들의 경우 디스플레이 출력을 위한 이미지 생성을 가속화하도록 설계된 특별한 하드웨어 구성품들의 효율성을 악용한다. 이를 기반으로 가능한 시나리오를 살펴보면, 해커는 GPU 고유 처리능력을 활용해서 공격을 시도할 것이고, 기존의 방어 시스템이 일반적으로 악성코드 침입에 대비해 감시를 하지 않는 영역에 코드 및 저장 데이터를 실행시킴으로써 기존의 방어 시스템을 우회하는 데 해당 GPU를 사용할 것이라고 보고서는 전하고 있다.

인텔 시큐리티는 PoC에 대한 분석을 토대로 악성코드 일부가 CPU와 호스트 메모리에서 제거되면 호스트 기반의 방어를 위한 탐지 범위가 줄어든다는 점에 동의하지만 연구원들은 악의적 활동을 추적할만한 흔적이 메모리나 CPU에 남기 때문에 엔드포인트 보안 제품이 위협을 감지해서 해결할 수 있다고 보고 있다.

또한 맥아피 연구소는 사이버 범죄자들이 기업 네트워크에서 광범위한 개인 정보를 탈취하기 위해 사용하는 수법에 대해 상세히 분석했다. 탈취 정보에는 사용자 이름, 생년월일, 주소, 전화번호, 사회 보장 번호(한국의 주민등록 번호와 같음), 신용카드 및 직불 카드 번호, 진료 정보, 계정 증명서는 물론이고 개인의 성적 취향까지 포함된다. 본 분석은 또한 공격자들이 사용하는 전술 및 수법과 함께 공격자 유형, 공격 동기, 공격 예상 타깃, 그리고 보안 업계가 탈취 행위를 더 잘 탐지하기 위해 수용해야 할 정책들도 함께 다루었다.

이번 보고서는 2015년 2분기에 일어난 여러 가지 특이한 전개 양상에 대해서도 다음과 같이 분석하고 있다.

•  랜섬웨어(ransomware) : 랜섬웨어는 계속 급증 추세. 2015년 2분기에 새로 발견된 랜섬웨어 수가 58％ 증가. 2015년 2분기에는 전년 동기 대비 랜섬웨어 총 샘플 수가 127％ 증가. CTB-Locker, CryptoWall과 같이 감염 속도가 빠른 신종 악성코드의 증가가 그 원인으로 분석.
• 모바일은 감소세 : 모바일 악성코드 샘플수는 2분기에 17％ 증가. 하지만 4％ 가까이 감소한 북미와 이전 분기와 동일한 아프리카를 제외하고 2분기 모바일 악성코드 감염률은 지역별로 1％ 가량 감소하는데 그침.
• 스팸 봇넷 : Kelihos 봇넷의 활동성이 줄어들면서 봇넷이 생성한 스팸량의 감소 추세는 2분기에도 지속. Slenfbot이 다시 1위에 올랐고 근소한 격차로 Gamut이 그 뒤를 이었으며 Cutwail이 3위를 기록.
• 의심 URL : 2분기에는 이메일, 브라우저 검색 등을 포함하여 맥아피 고객들을 위험한 URL에 접속하도록 유도하는 시도가 시간 당 670만 번 발생.
• 감염 파일 : 2분기에는 시간 당 1,920만 개의 감염 파일이 맥아피 고객의 네트워크에 노출.
• PUP 발생 : 2분기에는 맥아피가 보호하는 네트워크에 PUP(potentially unwanted program, 유해가능프로그램)를 설치 또는 실행하려는 시도가 시간 당 700만 건 발생.

이번 맥아피 연구소 위협 보고서 2015년 8월호에 대한 자세한 내용은 goo.gl/92AwY8 를 통해 다운받아 살펴볼 수 있으며, 인텔 맥아피 연구소에 대한 정보는 Enterprise Blog(https://blogs.mcafee.com/category/business)를 통해서도 확인할 수 있다.

김종렬 기자 obtain07@noteforum.co.kr

[디지털 모바일 IT 전문 정보 - 노트포럼]
Copyrights ⓒ 노트포럼, 무단전재 및 재배포 금지