[IT백과] 때를 기다리는 잠복형 해커들…'워터링홀 공격' 기승 작성일 08-24 35 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="6BAmMBEolp"> <div contents-hash="04c8ce408baacffeec5fd818c2f45aae800837cce3676f32a45bdd965de74939" dmcf-pid="PbcsRbDgT0" dmcf-ptype="general"> <strong>정보기술(IT) 영역에 관한 모든 지식을 압축해 풀이합니다. IT산업에 꼭 필요한 용어들을 소개하고, 살펴보면 좋을 쟁점들도 정리합니다. IT가 처음인 입문자라면 혹은 동향을 알고 싶은 전문가라면, 디지털데일리 'IT백과'를 참고하세요. <편집자주></strong> </div> <figure class="figure_frm origin_fig" contents-hash="c2fd9dba6644f18c227da73c3f51696ac8d0620150bf0f624822dc573060d8fe" dmcf-pid="Qtda9tnQW3" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/24/552796-pzfp7fF/20260824111617149mctd.png" data-org-width="640" dmcf-mid="4AaDP7Aivu" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/24/552796-pzfp7fF/20260824111617149mctd.png" width="658"></p> </figure> <p contents-hash="bbdc37ea12d89612b99002266d6f5bee9cc5b08beaec8f19b6e6e0ea8e5af31e" dmcf-pid="xFJN2FLxWF" dmcf-ptype="general">[디지털데일리 김보민기자] 지난 2015년, 주요 뉴스 매체 포브스가 중국 해킹그룹으로부터 해킹 공격을 받았다. 해커는 인터넷 익스플로러와 어도비 플래시 플레이어의 알려지지 않은(제로데이) 취약점을 악용해 포브스 웹사이트에 숨었고, 방문자가 접속할 때마다 악성 기능이 표시되도록 조작했다. 포브스 웹사이트를 방문하는 것만으로 기기를 감염시킬 수 있도록 일명 잠복 작전을 펼친 것이다.</p> <p contents-hash="dff646916705af9c528a47029ee3059e0133c949de4d631a3bab92d7abc550ed" dmcf-pid="ygX0Og1yvt" dmcf-ptype="general">약 11년이 지난 지금, 국가 배후 해커들 가운데 이 같은 '<strong>워터링홀(Watering Hole)</strong>' 공격을 시도하는 조직이 늘어나기 시작했다. 국가정보원, 경찰청 등 관계 기관은 7월 합동권고문을 통해 워터링홀 공격에 대한 위협이 고조되고 있다며 "보안 관리가 미흡한 소규모 웹사이트를 해킹해 악성코드 유포 발판으로 이용하는 사례가 지속 확인되고 있다"고 경고했다.</p> <p contents-hash="f8d486516c9b0a773be803a964662d931f5e2f7342fddbb9496db57e94b8cc01" dmcf-pid="WaZpIatWS1" dmcf-ptype="general">워터링홀은 웹사이트와 보안 소프트웨어(SW) 취약점을 악용해 내부 시스템에 잠복하며 가하는 공격을 의미한다. 해커는 평소 사용자가 자주 접속하는 웹사이트 또는 방문자가 많은 뉴스 사이트 등을 미리 해킹한 뒤, 악성코드 유포 매개체로 이를 활용한다. 사용자가 평소처럼 해당 웹사이트에 접속하면 PC에 설치돼 있는 오래된 버전의 보안 프로그램을 통해 악성코드가 자동 설치되는 방식이다.</p> <p contents-hash="ee525a18f3251fba24a246f4b11cd2be01e94293c81bf6b2124fe1905c64ec62" dmcf-pid="YN5UCNFYS5" dmcf-ptype="general">최근 워터링홀 공격은 악성코드를 은닉하거나 웹사이트 소스코드를 변조해 숨기는 등 수법이 정교해지고 있다. 보안관제를 통해 탐지하기가 더욱 어려워지고 있다는 의미다. 또한 해킹된 웹사이트 화면은 평소와 동일할 뿐만 아니라 '설치하시겠습니까?'와 같은 안내문도 없어, 사용자가 인지하지 못한 상태에서 진행된다는 특징이 있다. 이때 전자서명, 보안 인증, 키보드 보안 프로그램 등 특정 웹사이트를 이용하기 위해 설치한 보안 프로그램이 최신 버전이 아니라면 감염 위험이 높다.</p> <p contents-hash="52a4f7575804ee6c1b13b820032eaf7d943f96f43bfac080238862e2695b5507" dmcf-pid="Gj1uhj3GhZ" dmcf-ptype="general">이러한 위협은 최근에도 계속되고 있다. 보안기업 트렌드마이크로는 최근 발생한 대표적인 워터링홀 공격으로 '엠에디터(EmEditor)' 사례를 꼽았다. 엠에디터는 전 세계 개발자 커뮤니티에서 사용되는 텍스트 편집기로, 지난해 12월 다운로드 페이지가 해킹을 당해 보안 권고문을 배포했다.</p> <p contents-hash="ceafd50f79ed9b6ddb630dc28ef3fe71586036fa106883de7c085c8a4485d2fd" dmcf-pid="HAt7lA0HvX" dmcf-ptype="general">분석에 따르면 해커는 사용자들이 의심 없이 해킹된 버전의 엠에디터 프로그램을 다운받도록 설계했다. 트렌드마이크로는 해커가 심은 악성코드가 사용자 몰래 실행돼 PC 보안 프로그램을 무력화했고, 중요한 자격 증명과 시스템 정보를 빼돌리는 기능을 갖추고 있다고 평가했다. 구체적인 배후는 밝혀지지 않았지만, 업계에서는 공격 수법을 분석했을 때 러시아 소속 해커의 소행이 의심된다고 보고 있다.</p> <div contents-hash="66d3728b8fb5e508bb7afc2358bd1bb104c951a11333119517ec4f4bd7b1ea6d" dmcf-pid="XcFzScpXWH" dmcf-ptype="general"> 해커가 '공격 시점'을 치밀하게 설계했다는 평가도 나온다. 트렌드마이크로는 이번 엠에디터 공격 시기가 연말과 연휴 기간이었다고 강조하며 "인력 감축이나 업무 완화로 보안 허점이 발생하기 쉬운 점을 악용한 것"이라고 평가했다. </div> <figure class="figure_frm origin_fig" contents-hash="4c056fe5da5d92b5b3e318716eecbc69a3b7e46f98df1d781e16d49f800c0e36" dmcf-pid="Zy4RpyPKlG" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/24/552796-pzfp7fF/20260824111618415ilnt.jpg" data-org-width="480" dmcf-mid="8vpbyD71WU" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/24/552796-pzfp7fF/20260824111618415ilnt.jpg" width="658"></p> </figure> <p contents-hash="a83241070db38ff06a2cded9ce4099db98fc5021767d38d8701edb0f7fda7cde" dmcf-pid="5W8eUWQ9WY" dmcf-ptype="general">이 같은 워터링홀 공격은 북한과 같은 인접 해킹조직의 주요 수법으로도 진화 중이다. 보안업계에서는 올해 상반기 수차례 발생한 워터링홀 공격이 북한 배후 해킹조직 '라자루스' 소행일 가능성에 무게를 두고 있고, 최근 인증기관 해킹으로 발생한 청와대 개인정보 유출 사건 또한 연관성이 있다는 의견이 제기된다. 정확한 사건 경위는 경찰 수사를 통해 밝혀질 예정이다.</p> <p contents-hash="6a1ce26f6960f5752ff98d70c150d8dacf85f517340278ae526148e1607c89c3" dmcf-pid="1Y6duYx2TW" dmcf-ptype="general">국정원은 합동권고문을 통해 "악성코드에 감염되면 조직 또는 개인에게 계정 정보 탈취, 개인정보 및 파일 유출, 추가 확산 등 피해로 이어질 수 있다"며 "사용자가 인지하지 못하는 사이에 이뤄지는 만큼 주의가 필요하다"고 당부했다.</p> <p contents-hash="56a30f865ecd253d44dcc74ba88585446030632ba66cf8024a569e222c46c851" dmcf-pid="tGPJ7GMVly" dmcf-ptype="general">대표적으로 크롬, 엣지 등 웹브라우저에 자동 저장해둔 계정 및 비밀번호 정보가 유출될 가능성이 크다. 아울러 사용자 PC에 있는 문서, 사진, 연락처, 공용 폴더, 내부 클라우드 저장자료, 화면 캡처를 통해 메신저 대화 내용과 활동을 감시할 가능성도 있다. 감염 PC를 교두보로 같은 사무실이나 집 네트워크에 연결된 다른 기기로 악성코드가 확산될 수도 있다.</p> <p contents-hash="d9488ca9929ae8c2b4246a6fb74408388522af68a3c756afde037410879804e9" dmcf-pid="FHQizHRflT" dmcf-ptype="general">이렇게 확보한 정보를 인질 삼아 금전을 요구하는 경우도 있다. 합동권고문에 따르면 해커는 소스코드, 내부 문서, 고객·인사 정보, 영업비밀, 계정 정보 등 중요 자산과 자료를 탈취하고 '돈을 주지 않으면 자료를 유포하겠다'고 협박하고 있다.</p> <p contents-hash="faa24b31b5caa3fdf5c85a26dc7c78c3a8f075a4ee11fcb36b42b6604bf1f573" dmcf-pid="3XxnqXe4lv" dmcf-ptype="general">권고문은 "이 공격은 그간 우리가 신뢰하던 인터넷 뉴스, 웹사이트를 접속하는 것만으로도 악성코드에 감염될 수 있다는 점에서 주의가 필요하다"며 "대응 및 조치를 위해 피해 완화 방법을 지키고 이상 징후 발견 시 즉시 신고해야 한다"고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 삼성SDS, 서울대 ‘차세대 네트워크’ 수주 08-24 다음 "힌지는 합격, 카메라는 글쎄"…애플 첫 '폴더블 아이폰' 실평가 보니 08-24 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
