메뉴 건너뛰기

오에스매니아

방글라데시 은행 해킹 용의자 ‘Lazarus’가 북한?
  |  입력 : 2017-04-04 18:53
 
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
카스퍼스키랩, 은행 강도 예방을 위해 악질 해커 ‘Lazarus’ 1년 이상 조사

[보안뉴스 원병철 기자] 2016년 방글라데시 중앙은행의 8,100만 달러 도난 사건의 강력한 용의자로 지목 받고 있는 악질 해킹 조직 ‘Lazarus’를 1년간 조사한 카스퍼스키랩이 그 결과를 발표했다. 특히 카스퍼스키랩은 Lazarus가 북한 IP와 연결된 점을 지적하며, 북한일 수도 있다는 의심을 보였다. 

동남아 및 유럽 은행에 Lazarus가 남긴 정보에 대한 포렌식 분석을 수행하던 카스퍼스키랩은 이 해킹 조직이 사용하는 악성 도구와 이들이 금융 기관, 카지노, 전 세계 투자 기업의 소프트웨어 개발자를 공격하면서 어떤 식으로 활동하는지를 심도 있게 파악할 수 있었다고 밝혔다. 덕분에 금융 기관으로부터 거액의 자금을 빼돌리기 위해 진행 중이던 다른 활동을 2건 이상 저지하는 성과를 거두었다. 

001(582).jpg

2016년 2월, 당시에는 신원 불명이던 한 해커 조직이 미화 8억 5,100만 달러를 훔치려는 시도를 했고 이 가운데 방글라데시 중앙은행으로부터 미화 8,100만 달러를 불법 인출했다. 이는 역대 최대 규모의 사이버 강도로 손꼽히고 있다. 다양한 IT 보안 기업의 연구원들은 추가 조사를 실시한 가운데, 카스퍼스키랩은 이 공격이 Lazarus의 소행일 가능성이 매우 높다고 밝혔다. Lazarus는 악명 높은 사이버 스파이 및 사보타주 조직으로 파괴적인 공격을 꾸준히 자행해 왔으며 2009년 이래로 전 세계 18개국 이상의 다양한 제조 기업, 미디어 및 금융 기관을 해킹한 것으로 유명하다. 

방글라데시 공격 이후로 몇 개월 동안 잠잠하긴 했으나 Lazarus는 활동을 지속하고 있었다. 다른 은행의 자금을 훔치기 위한 새로운 계획을 준비해오고 있었으며, 준비 태세가 되는 즉시 동남아 금융 기관에 발을 담갔다. 카스퍼스키랩 제품과 후속 조사에 의해 이러한 계획이 저지된 이후 이 해킹 조직은 몇 개월간 다시 잠잠해졌으며, 이후 활동 무대를 유럽으로 옮겼다. 그러나 카스퍼스키랩의 보안 소프트웨어에 탐지되었을 뿐만 아니라 기업 연구원들의 적극적인 협조와 리버스엔지니어링, 포렌식 분석, 신속한 사건 대응으로 인해 유럽에서도 제대로 활동하지 못한 것으로 드러났다. 

Lazarus의 범죄 패턴
카스퍼스키랩 연구원들은 Lazarus의 공격에 대한 포렌식 분석 결과를 토대로 이 조직의 작업 방식을 재구성했다.

△ 초기 침투 : 원격 액세스가 가능한 취약 코드(예 : 웹 서버에 존재)를 사용해 또는 웹사이트에 이식한 익스플로잇을 통한 워터링홀 공격으로 인해 은행 내부의 한 시스템에 침투한다. 익스플로잇이 이식된 사이트를 희생양(은행 직원)이 방문하면 해당 직원의 컴퓨터가 악성 코드에 감염되어, 은행의 다른 구성 요소까지 침투할 수 있는 상태가 된다.

△ 발판 마련 : 그런 다음 Lazarus는 다른 은행 컴퓨터로 이동하여 영구적인 백도어를 구축한다. 악성 코드를 통해 해커들이 언제든지 드나들 수 있는 문이 만들어지는 것이다.

△ 내부 정찰 : 이후 Lazarus는 상당 시간 해당 네트워크를 분석하고 중요한 리소스를 파악한다. 이러한 리소스로는 인증 정보가 저장된 백업 서버, 메일 서버, 이 회사의 각 보안 액세스에 대한 암호가 포함된 도메인 컨트롤러 전체, 금융 거래 기록 저장/처리 서버 등이 있다.

△ 전달 및 절도 : 마지막으로 금융 소프트웨어의 내부 보안 기능을 우회하고 은행을 대신해 악의적인 거래를 생성하는 특수 악성 코드를 구축한다.

지리적 분포 및 특성
카스퍼스키랩 연구원들이 조사한 공격은 수주간 계속되었지만, 수개월에 걸쳐 은밀하게 진행된 작전도 있었던 것으로 보인다. 한 예로, 동남아에서 발생한 사건을 분석하는 과정에서 전문가들은 Lazarus 해커들이 은행의 보안 팀이 사건 대응을 요청한 하루 전날까지 7개월 미만의 기간으로 은행 네트워크에 침투할 수 있었다는 점을 발견했다. 실제로 Lazarus는 방글라데시 사고 하루 전날에도 은행의 네트워크에 액세스할 수 있었다. 

002(307).jpg


카스퍼스키랩의 기록에 따르면, 2015년 12월부터 대한민국, 방글라데시, 인도, 베트남, 인도네시아, 코스타리카, 말레이시아, 폴란드, 이라크, 에티오피아, 케냐, 나이지리아, 우루과이, 가봉, 태국 및 기타 여러 국가에 소재한 투자 기업의 카지노 소프트웨어 개발자, 암호화 화폐 업체, 금융 기관에서 Lazarus 조직 활동과 연관성이 있는 악성 코드 샘플이 발견되었다. 2017년 3월에도 카스퍼스키랩은 이러한 샘플을 탐지했으며, 이로 미루어볼 때 이 조직은 앞으로도 계속해서 활동을 이어나갈 것으로 보인다.

Lazarus 해커들은 자신의 흔적을 모두 지우는 등의 방식으로 완전 범죄를 꿈꾸고 있기는 하나, 또 다른 작전에서 침투했던 한 서버에서 중요한 정보를 남기는 치명적인 실수를 범했다. 활동 준비가 이루어지는 동안 이 서버는 악성 코드의 C&C 센터로 구성되었다. 구성 당일 이루어진 최초 연결은 여러 개의 VPN/프록시 서버를 통해 이루어졌으며, 이것은 C&C 서버의 테스트 기간을 의미한다. 이날 아주 짧은 연결이 하나 이루어졌는데, 이 연결은 북한의 극히 드문 IP 주소 범위를 통한 것이었다. 연구원들은 다음과 같이 여러 가지로 추측할 수 있다고 밝혔다. 

△ 공격자는 북한의 해당 IP 주소와 연관이 있음
△ 다른 누군가의 정교한 가짜 작전일 가능성
△ 북한에서 실수로 C&C URL에 방문함

Lazarus 조직은 새로운 변종 개발에 대대적인 투자를 단행하고 있다. 수개월 동안 이들은 보안 솔루션을 피해갈 악성 툴을 제작하는 데 심혈을 기울였다. 그러나 새로운 시도를 할 때마다 카스퍼스키랩의 전문가들은 Lazarus의 코드 생성 방식과 관련된 고유한 특성을 식별해냈으며, 그 결과 카스퍼스키랩은 새로운 샘플을 꾸준하게 추적할 수 있게 되었다. 현재는 해커들의 활동이 비교적 잠잠한 편이며, 해킹 전략을 재정비하고 있는 것으로 추측된다.

카스퍼스키랩코리아의 이창훈 지사장(www.kaspersky.co.kr)은 “해커들의 공격이 재개되는 것은 시간문제입니다. Lazarus가 선보인 유형의 공격이 시사하는 점은, 사소한 구성 오류가 엄청난 보안 침해를 초래할 수 있으며 그 결과 회사는 수억 달러에 이르는 재정적 타격을 피할 수 없게 된다는 것입니다. 전 세계 은행, 카지노, 투자 기업의 임원들이 Lazarus라는 해킹 조직을 예의주시하는 것이 필요합니다”라고 말했다.

카스퍼스키랩 제품은 Lazarus에서 사용하는 악성 코드를 다음과 같은 이름을 통해 성공적으로 탐지하여 차단한다.
· HEUR:Trojan-Banker.Win32.Alreay*, 
· Trojan-Banker.Win32.Agent* 

또한 카스퍼스키랩에서는 주요 보안침해 지표(IOC) 및 기타 데이터를 꾸준히 발표해 기업들이 회사 네트워크에서 이러한 공격 조직의 흔적을 찾을 수 있도록 지원하고 있다. 자세한 정보는 ‘Securelist.com’에서 확인할 수 있다.

카스퍼스키랩은 모든 조직들은 회사 네트워크에 Lazarus 악성 코드 샘플이 있는지 정밀 검사를 수행하고, 이러한 샘플이 탐지될 경우 이를 제거하고 해당 침입 사실을 사법 기관과 사고 대응 팀에 보고할 것을 권장하고 있다. Lazarus 조직의 금융 기관 공격에 대한 자세한 내용은 Securelist.com의 블로그에 안내되어 있다.


출처:http://www.boannews.com/media/view.asp?idx=54114&kind=3

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
profile

프리네

2017.04.05 11:54

큰돈 들이지 않고 돈버는 방법이라 그런가....아주 작정한듯 공격적이네요.

profile

Bobono

2017.04.05 12:09

좋은 정보 고맙습니다.

profile

hallasan

2017.04.09 13:32

감사합니다

profile

대공

2017.09.02 15:08

북한이 문제

List of Articles
번호 제목 글쓴이 날짜 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 117
244 바이러스 ASEC이 분석한 바이러스, 스파이웨어, 유해가능 프로그램, 모바일 악성코드 정보 바이러스 Trojan/Win32.Gamarue.C1893551 + 5 ordo 04-09 107
243 보안 소식 VMware 보안 업데이트 권고 + 6 ordo 04-09 51
242 보안 소식 시스코社 제어시스템 전용라우터 중대 취약점 발견 + 6 ordo 04-09 29
241 바이러스 ASEC이 분석한 바이러스, 스파이웨어, 유해가능 프로그램, 모바일 악성코드 정보 PUP/Win32.GoodsFind.C1905968 + 5 ordo 04-09 41
240 보안 소식 [아주포스트] 여기어때, 이런건 소 잃고 외양간 고치지 맙시다 + 8 오에스유 04-09 40
239 보안 소식 2019년 POS 전용 운용체계(OS) 서비스 종료...결제단말기 해커 놀이터 '표적' + 6 ordo 04-09 40
238 보안 소식 개인정보 유출 주의보…10명중 6명 “유출경험” + 6 오에스유 04-09 37
237 보안 소식 국방부의 해킹 대응, 아쉬운 컨트롤타워 역할 + 5 ordo 04-09 15
236 보안 소식 글로벌 보안 솔루션 웹사이트 통한 악성코드 유포 정황 포착 + 3 ordo 04-09 14
235 일반 작년은 랜섬웨어의 시대, 올해는 랜섬웨어 상품화의 시대 + 12 ordo 04-08 79
234 보안 소식 [4.7 버그리포트] CVE-2015,2016,2017 + 8 ordo 04-08 38
233 보안 소식 [긴급] 공유기 DNS 변조 악성앱 다시 기승...계정 탈취 시도 + 6 ordo 04-08 134
232 일반 국제해킹방어대회·글로벌 보안 컨퍼런스 ‘코드게이트 2017’ 개최 + 7 ordo 04-07 94
231 보안 소식 중국 해커의 쉬운 먹잇감 되고 있는 한국의 대학들 + 6 ordo 04-07 76
230 보안 소식 [4.6 버그리포트] CVE-2017 + 5 ordo 04-07 14
229 보안 소식 “해외 카드결제 승인됐습니다” 직구족 겨냥 스미싱공격 발견 + 5 크로커스 04-07 78
228 보안 소식 시만텍과 구글, 한국전자인증의 인증서 소동...팩트는 이것 + 5 ordo 04-06 146
227 보안 소식 中 3월 주요 바이러스와 피싱 사이트 + 5 ordo 04-06 21
226 보안 소식 [4.5 버그리포트] CVE-2016,2017 + 6 ordo 04-06 18
225 보안 소식 이번엔 인도네시아 해커의 공습? 21개 웹사이트 디페이스 공격 + 5 ordo 04-06 53
224 보안 소식 이스라엘 보안전문가가 삼성 타이젠 OS에서 심각한 보안 취약점을 발견했다 + 5 프리네 04-05 56
223 보안 소식 [긴급] 이력서로 위장한 악성코드 유포...개인정보 탈취 + 5 ordo 04-05 42
222 보안 소식 [4.4 버그리포트] CVE-2017 + 3 ordo 04-05 20
» 보안 소식 방글라데시 은행 해킹 용의자 ‘Lazarus’가 북한? + 4 ordo 04-05 14
220 일반 몰지각한 10대들의 돈벌이 해킹에 보안 전문교육 ‘불똥’ + 4 ordo 04-05 67
위로