파이어아이, 글로벌DNS 하이재킹 공격 통한 대규모 DNS 기록 조작 확인
파이어아이가 자사의 맨디언트(Mandiant) 사고 대응 및 정보 팀들이 중동, 북아프리카, 유럽, 북미의 정부, 통신 및 인터넷 인프라 기업의 수많은 도메인에 영향을 미친 ‘DNS 하이재킹(DNS hijacking)’ 공격 시도 사례를 탐지했다고 16일 밝혔다.
파이어아이에 따르면 현재 이러한 공세를 특정 그룹과 연계시킬 수는 없으나 초기 조사에 따르면 공격 세력이 이란과 연결돼 있는 것으로 보인다.
이번 공격은 전례없는 규모로 전세계에서 공격 대상을 겨냥했으며 상당한 성공을 거둔 것으로 평가된다.
파이어아이는 지난 수개월 동안 이러한 공격 활동을 추적하면서 공격 세력이 사용한 혁신적인 TTP(전술, 기법, 절차) 등을 매핑해 파악하고자 노력했다. 또 가능한 지역에서는 피해 기관, 보안 기업, 경찰기관 등과 긴밀히 공조하면서 공격의 파급 영향을 줄여 추가 침해를 방지하고자 노력하고 있다.
이번 공격이 일부 전통적인 전술을 활용하고는 있으나 니즈에 따라 규모를 조절하며 DNS 하이재킹을 시도하고 있다는 점에서 다른 이란계 활동과는 구별된다. 공격 세력이 이러한 기법을 사용해 초기 발판을 구축하고 향후 보다 다양한 방식으로 전개될 가능성이 높다.
파이어아이는 해당 공격에 대한 원점 분석(attribution analysis)이 현재 진행중이라며 이번 DNS 기록 조작 기법이 매우 정교하고 주목할 만하지만 이번 공격이 상이한 시간대에 다양한 인프라와 서비스 공급자를 대상으로 이루어졌음을 고려할 때 단일 위협 세력으로 한정하기는 어려워 보인다고 설명했다.
파이어아이는 2017년 1월부터 2019년 1월까지 해당 공격과 관련된 다양한 활동이 진행된 것으로 파악됐고 이번 공격에 다양하면서 중복되지 않는 공격자 제어 도메인(actor-controlled domain)과 IP가 활용됐으며 암호화 인증 및 VPS 호스트를 위해 광범위한 공급업체가 선택된 것으로 예측된다고 밝혔다.
예비 기술 평가 증거 자료를 고려해 볼 때 파이어아이는 어느 정도 확신을 바탕으로 이란에 근거지를 두고 있는 세력이 이번 공격을 실행했고 이러한 활동이 이란 정부의 이해관계에도 부합된다고 말할 수 있다고 강조했다.
파이어아이는 네트워크 트래픽 차단, 기록, 전송을 위해 사용되는 기기에 이란의 IP를 통한 접속 사실을 발견했다. IP 주소의 지리적 위치가 강력한 지표가 되지는 못하나 이들 IP 주소는 과거 이란의 사이버 스파이 침입에 대응하는 과정에서 이미 발견된 바 있다.
이들 그룹의 목표물에는 중동 지역 정부가 포함된다. 이들 기관의 기밀 정보는 이란 정부의 이해관계에는 부합되지만 상대적으로 금전적 가치는 작다.
이러한 유형의 DNS 기록 조작과 허위 SSL 인증서는 다수의 기관에 영향을 미쳐왔다. 예를 들면 통신 및 ISP 서비스 제공업체, 인터넷 인프라 제공업체, 정부, 주요 민간 업체 등이 포함된다.
기록물 변경 사안 각각을 대상으로 단일 침입 요소(intrusion vector)를 파악하는 것은 매우 어려운 일이다. 공격 세력이 다양한 기법을 활용해 전술한 목표물 내에 초기 침입 기반을 구축할 수는 있다.
파이어아이는 DNS 기록 조작을 시도하는 단일 세력의 정교한 피싱 공격과 관련해 고개사에게 보고 자료를 제공한 바 있다. 또 DNS 기록을 변경하는 메커니즘이 정확히 알려져 있지는 않으나 공격 대상 기관의 도메인 등록 대행사 계정을 침해해 일부 기록을 변경하였다고 판단한다.
이러한 유형의 공격은 공격자가 목표로 삼는 기관의 네트워크에 직접 접속하지 않아도 소중한 정보를 탈취할 수 있기에 적절히 대응하기 쉽지 않다.
파이어아이는 이와 관련해 도메인 관리 포털상에서 다중 인증 시스템(multi-factor authentication) 실행, A 기록과 NS 기록의 변경 검증, 도메인 관련 SSL 인증서를 검색해 악성 인증서 폐기, OWA/익스체인지(Exchange) 로그의 소스 IP 검증, 내부 조사 실시해 공격세력이 접속했는지 파악 등의 대비책을 제안했다.
파이어아이는 이러한 DNS 하이재킹과 그 규모를 고려해 볼 때 이란에 기반을 둔 공격세력의 전술이 지속적으로 진화하고 있음을 알 수 있다며 이번 자료는 다수의 기관에 영향을 미쳤다고 판단한 TTP 등을 개괄적으로 전달하며 이를 통해 공격의 대상이 될 가능성이 있는 기관이 적절한 방어 조치를 취할 수 있도록 하고자 한다고 밝혔다.
파이어아이가 자사의 맨디언트(Mandiant) 사고 대응 및 정보 팀들이 중동, 북아프리카, 유럽, 북미의 정부, 통신 및 인터넷 인프라 기업의 수많은 도메인에 영향을 미친 ‘DNS 하이재킹(DNS hijacking)’ 공격 시도 사례를 탐지했다고 16일 밝혔다.
파이어아이에 따르면 현재 이러한 공세를 특정 그룹과 연계시킬 수는 없으나 초기 조사에 따르면 공격 세력이 이란과 연결돼 있는 것으로 보인다.
이번 공격은 전례없는 규모로 전세계에서 공격 대상을 겨냥했으며 상당한 성공을 거둔 것으로 평가된다.
 |
파이어아이는 지난 수개월 동안 이러한 공격 활동을 추적하면서 공격 세력이 사용한 혁신적인 TTP(전술, 기법, 절차) 등을 매핑해 파악하고자 노력했다. 또 가능한 지역에서는 피해 기관, 보안 기업, 경찰기관 등과 긴밀히 공조하면서 공격의 파급 영향을 줄여 추가 침해를 방지하고자 노력하고 있다.
이번 공격이 일부 전통적인 전술을 활용하고는 있으나 니즈에 따라 규모를 조절하며 DNS 하이재킹을 시도하고 있다는 점에서 다른 이란계 활동과는 구별된다. 공격 세력이 이러한 기법을 사용해 초기 발판을 구축하고 향후 보다 다양한 방식으로 전개될 가능성이 높다.
파이어아이는 해당 공격에 대한 원점 분석(attribution analysis)이 현재 진행중이라며 이번 DNS 기록 조작 기법이 매우 정교하고 주목할 만하지만 이번 공격이 상이한 시간대에 다양한 인프라와 서비스 공급자를 대상으로 이루어졌음을 고려할 때 단일 위협 세력으로 한정하기는 어려워 보인다고 설명했다.
파이어아이는 2017년 1월부터 2019년 1월까지 해당 공격과 관련된 다양한 활동이 진행된 것으로 파악됐고 이번 공격에 다양하면서 중복되지 않는 공격자 제어 도메인(actor-controlled domain)과 IP가 활용됐으며 암호화 인증 및 VPS 호스트를 위해 광범위한 공급업체가 선택된 것으로 예측된다고 밝혔다.
예비 기술 평가 증거 자료를 고려해 볼 때 파이어아이는 어느 정도 확신을 바탕으로 이란에 근거지를 두고 있는 세력이 이번 공격을 실행했고 이러한 활동이 이란 정부의 이해관계에도 부합된다고 말할 수 있다고 강조했다.
파이어아이는 네트워크 트래픽 차단, 기록, 전송을 위해 사용되는 기기에 이란의 IP를 통한 접속 사실을 발견했다. IP 주소의 지리적 위치가 강력한 지표가 되지는 못하나 이들 IP 주소는 과거 이란의 사이버 스파이 침입에 대응하는 과정에서 이미 발견된 바 있다.
이들 그룹의 목표물에는 중동 지역 정부가 포함된다. 이들 기관의 기밀 정보는 이란 정부의 이해관계에는 부합되지만 상대적으로 금전적 가치는 작다.
이러한 유형의 DNS 기록 조작과 허위 SSL 인증서는 다수의 기관에 영향을 미쳐왔다. 예를 들면 통신 및 ISP 서비스 제공업체, 인터넷 인프라 제공업체, 정부, 주요 민간 업체 등이 포함된다.
기록물 변경 사안 각각을 대상으로 단일 침입 요소(intrusion vector)를 파악하는 것은 매우 어려운 일이다. 공격 세력이 다양한 기법을 활용해 전술한 목표물 내에 초기 침입 기반을 구축할 수는 있다.
파이어아이는 DNS 기록 조작을 시도하는 단일 세력의 정교한 피싱 공격과 관련해 고개사에게 보고 자료를 제공한 바 있다. 또 DNS 기록을 변경하는 메커니즘이 정확히 알려져 있지는 않으나 공격 대상 기관의 도메인 등록 대행사 계정을 침해해 일부 기록을 변경하였다고 판단한다.
이러한 유형의 공격은 공격자가 목표로 삼는 기관의 네트워크에 직접 접속하지 않아도 소중한 정보를 탈취할 수 있기에 적절히 대응하기 쉽지 않다.
파이어아이는 이와 관련해 도메인 관리 포털상에서 다중 인증 시스템(multi-factor authentication) 실행, A 기록과 NS 기록의 변경 검증, 도메인 관련 SSL 인증서를 검색해 악성 인증서 폐기, OWA/익스체인지(Exchange) 로그의 소스 IP 검증, 내부 조사 실시해 공격세력이 접속했는지 파악 등의 대비책을 제안했다.
파이어아이는 이러한 DNS 하이재킹과 그 규모를 고려해 볼 때 이란에 기반을 둔 공격세력의 전술이 지속적으로 진화하고 있음을 알 수 있다며 이번 자료는 다수의 기관에 영향을 미쳤다고 판단한 TTP 등을 개괄적으로 전달하며 이를 통해 공격의 대상이 될 가능성이 있는 기관이 적절한 방어 조치를 취할 수 있도록 하고자 한다고 밝혔다.
저작권자 © 파이낸셜신문 무단전재 및 재배포 금지
