메일 보내기

솔루션 검색 데모요청 TOP

RSS Feed 받기

로그인 정보로 피드받기
입력한 이메일로 피드받기

보안뉴스

Lazarus 추적: 대규모 은행 강도 예방을 위한 악질 해커와의 전쟁

 

 

카스퍼스키랩은 2016년 방글라데시 중앙은행의 8천1백만 달러 도난 사건의 강력한 용의자로 지목 받고 있는 악질 해킹 조직 Lazarus의 활동을 1년 이상 조사한 결과를 발표했다. 동남아 및 유럽 은행에 Lazarus가 남긴 정보에 대한 포렌식 분석을 수행하면서 카스퍼스키랩은 이 해킹 조직이 사용하는 악성 도구와 이들이 금융 기관, 카지노, 전 세계 투자 기업의 소프트웨어 개발자를 공격하면서 어떤 식으로 활동하는지를 심도 있게 파악할 수 있었다고 밝혔다. 덕분에 금융 기관으로부터 거액의 자금을 빼돌리기 위해 진행 중이던 다른 활동을 2건 이상 저지하는 성과를 거두었다. 

 


2016년 2월, 당시에는 신원 불명이던 한 해커 조직이 미화 8억 5천1백만 달러를 훔치려는 시도를 했고 이 가운데 방글라데시 중앙은행으로부터 미화 8천1백만 달러를 불법 인출했다. 이는 역대 최대 규모의 사이버 강도로 손꼽히고 있다. 다양한 IT 보안 기업의 연구원들은 추가 조사를 실시한 가운데, 카스퍼스키랩은 이 공격이 Lazarus의 소행일 가능성이 매우 높다고 밝혔다. Lazarus는 악명 높은 사이버 스파이 및 사보타주 조직으로 파괴적인 공격을 꾸준히 자행해 왔으며 2009년 이래로 전 세계 18개국 이상의 다양한 제조 기업, 미디어 및 금융 기관을 해킹한 것으로 유명하다. 

방글라데시 공격 이후로 몇 개월 동안 잠잠하긴 했으나 Lazarus는 활동을 지속하고 있었다. 다른 은행의 자금을 훔치기 위한 새로운 계획을 준비해오고 있었으며, 준비 태세가 되는 즉시 동남아 금융 기관에 발을 담갔다. 카스퍼스키랩 제품과 후속 조사에 의해 이러한 계획이 저지된 이후 이 해킹 조직은 몇 개월간 다시 잠잠해졌으며, 이후 활동 무대를 유럽으로 옮겼다. 그러나 카스퍼스키랩의 보안 소프트웨어에 탐지되었을 뿐만 아니라 기업 연구원들의 적극적인 협조와 리버스엔지니어링, 포렌식 분석, 신속한 사건 대응으로 인해 유럽에서도 제대로 활동하지 못한 것으로 드러났다. 


Lazarus의 범죄 패턴
카스퍼스키랩 연구원들은 Lazarus의 공격에 대한 포렌식 분석 결과를 토대로 이 조직의 작업 방식을 재구성했다.
-초기 침투: 원격 액세스가 가능한 취약 코드(예: 웹 서버에 존재)를 사용해 또는 웹사이트에 이식한 익스플로잇을 통한 워터링홀 공격으로 인해 은행 내부의 한 시스템에 침투한다. 익스플로잇이 이식된 사이트를 희생양(은행 직원)이 방문하면 해당 직원의 컴퓨터가 악성 코드에 감염되어, 은행의 다른 구성 요소까지 침투할 수 있는 상태가 된다.
-발판 마련: 그런 다음 Lazarus는 다른 은행 컴퓨터로 이동하여 영구적인 백도어를 구축한다. 악성 코드를 통해 해커들이 언제든지 드나들 수 있는 문이 만들어지는 것이다.
-내부 정찰: 이후 Lazarus는 상당 시간 해당 네트워크를 분석하고 중요한 리소스를 파악한다. 이러한 리소스로는 인증 정보가 저장된 백업 서버, 메일 서버, 이 회사의 각 보안 액세스에 대한 암호가 포함된 도메인 컨트롤러 전체, 금융 거래 기록 저장/처리 서버 등이 있다.
-전달 및 절도: 마지막으로 금융 소프트웨어의 내부 보안 기능을 우회하고 은행을 대신해 악의적인 거래를 생성하는 특수 악성 코드를 구축한다.




지리적 분포 및 특성
 
카스퍼스키랩 연구원들이 조사한 공격은 수 주간 계속되었지만, 수 개월에 걸쳐 은밀하게 진행된 작전도 있었던 것으로 보인다. 한 예로, 동남아에서 발생한 사건을 분석하는 과정에서 전문가들은 Lazarus 해커들이 은행의 보안 팀이 사건 대응을 요청한 하루 전날까지 7개월 미만의 기간으로 은행 네트워크에 침투할 수 있었다는 점을 발견했다. 실제로 Lazarus는 방글라데시 사고 하루 전날에도 은행의 네트워크에 액세스할 수 있었다. 





카스퍼스키랩의 기록에 따르면, 2015년 12월부터 대한민국, 방글라데시, 인도, 베트남, 인도네시아, 코스타리카, 말레이시아, 폴란드, 이라크, 에티오피아, 케냐, 나이지리아, 우루과이, 가봉, 태국 및 기타 여러 국가에 소재한 투자 기업의 카지노 소프트웨어 개발자, 암호화 화폐 업체, 금융 기관에서 Lazarus 조직 활동과 연관성이 있는 악성 코드 샘플이 발견되었다. 2017년 3월에도 카스퍼스키랩은 이러한 샘플을 탐지했으며, 이로 미루어볼 때 이 조직은 앞으로도 계속해서 활동을 이어나갈 것으로 보인다.

Lazarus 해커들은 자신의 흔적을 모두 지우는 등의 방식으로 완전 범죄를 꿈꾸고 있기는 하나, 또 다른 작전에서 침투했던 한 서버에서 중요한 정보를 남기는 치명적인 실수를 범했다. 활동 준비가 이루어지는 동안 이 서버는 악성 코드의 C&C 센터로 구성되었다. 구성 당일 이루어진 최초 연결은 여러 개의 VPN/프록시 서버를 통해 이루어졌으며 이것은 C&C 서버의 테스트 기간을 의미한다. 이날 아주 짧은 연결이 하나 이루어졌는데, 이 연결은 북한의 극히 드문 IP 주소 범위를 통한 것이었다. 연구원들은 다음과 같이 여러 가지로 추측할 수 있다고 밝혔다. 

 - 공격자는 북한의 해당 IP 주소와 연관이 있음
 - 다른 누군가의 정교한 가짜 작전일 가능성
 - 북한에서 실수로 C&C URL에 방문함

Lazarus 조직은 새로운 변종 개발에 대대적인 투자를 단행하고 있다. 수개월 동안 이들은 보안 솔루션을 피해 갈 악성 툴을 제작하는 데 심혈을 기울였다. 그러나 새로운 시도를 할 때마다 카스퍼스키랩의 전문가들은 Lazarus의 코드 생성 방식과 관련된 고유한 특성을 식별해냈으며, 그 결과 카스퍼스키랩은 새로운 샘플을 꾸준하게 추적할 수 있게 되었다. 현재는 해커들의 활동이 비교적 잠잠한 편이며, 해킹 전략을 재정비하고 있는 것으로 추측된다.

카스퍼스키랩코리아의 이창훈 지사장(www.kaspersky.co.kr)은 “해커들의 공격이 재개되는 것은 시간 문제입니다. Lazarus가 선보인 유형의 공격이 시사하는 점은, 사소한 구성 오류가 엄청난 보안 침해를 초래할 수 있으며 그 결과 회사는 수억 달러에 이르는 재정적 타격을 피할 수 없게 된다는 것입니다. 전 세계 은행, 카지노, 투자 기업의 임원들이 Lazarus라는 해킹 조직을 예의주시하는 것이 필요합니다.” 라고 말했다.

카스퍼스키랩 제품은 Lazarus에서 사용하는 악성 코드를 다음과 같은 이름을 통해 성공적으로 탐지하여 차단한다.

- HEUR:Trojan-Banker.Win32.Alreay*, 
- Trojan-Banker.Win32.Agent* 

또한 카스퍼스키랩에서는 주요 보안침해 지표(IOC) 및 기타 데이터를 꾸준히 발표해 기업들이 회사 네트워크에서 이러한 공격 조직의 흔적을 찾을 수 있도록 지원하고 있다. 자세한 정보는 Securelist.com에서 확인할 수 있다.
카스퍼스키랩은 모든 조직들은 회사 네트워크에 Lazarus 악성 코드 샘플이 있는지 정밀 검사를 수행하고, 이러한 샘플이 탐지될 경우 이를 제거하고 해당 침입 사실을 사법 기관과 사고 대응 팀에 보고할 것을 권장하고 있다.
Lazarus 조직의 금융 기관 공격에 대한 자세한 내용은 Securelist.com의 블로그에 안내되어 있다.


카스퍼스키랩 소개
 
1997년 설립된 글로벌 사이버 보안 전문 회사 카스퍼스키랩은 심층적인 보안 위협 인텔리전스와 보안 전문 지식을 바탕으로 전 세계 각지의 기업, 기간 산업 인프라, 정부 및 개인 소비자에게 혁신적인 보안 솔루션과 서비스를 제공하고 있습니다. 카스퍼스키랩은 세계 최고 수준의 엔드포인트 보호 솔루션부터 다양한 특수 분야 전용 보안 솔루션 및 서비스까지 광범위한 제품 포트폴리오를 갖추고서 갈수록 정교해지는 디지털 위협에 맞서 싸우고 있습니다. 전 세계적으로 카스퍼스키랩의 기술을 통해 보호를 받는 사용자 수는 4억 명 이상이며, 27만 곳의 기업 고객이 카스퍼스키랩의 보안 서비스와 솔루션을 이용하고 있습니다. 
자세한 내용은 www.kaspersky.com을 참조하십시오.

번호 제목 날짜
92 스파이 전쟁: 서로 간 정보 탈취와 복제가 한창인 국가 지원 해킹 조직들

2017.11.07 0

2017.11.07
91 새로운 보안위협 정보 교환 협약으로 더욱 공고해진 인터폴과 카스퍼스키랩의 공조

2017.11.07 0

2017.11.07
90 평균 6.3대의 IT 기기를 보유한 새로운 ‘가정 2.0’ 시대를 위한 보안

2017.11.07 0

2017.11.07
89 초보자도 가능한 ATM 해킹: 아마추어를 대상으로 하는 신종 ATM 해킹 악성 코드 패키지 Cutlet Maker 적발

2017.11.07 0

2017.11.07
88 싱가포르 정부, 카스퍼스키랩의 새로운 사이버 보안 연구에 투자

2017.11.07 0

2017.11.07
87 당혹스러운 루머의 진상: FAQ file

2017.10.25 0

2017.10.25
86 2017년 1분기 카스퍼스키랩 DDoS 공격 보고서: 폭풍전야

2017.06.26 0

2017.06.26
85 카스퍼스키 Data Feed Service

2017.06.26 0

2017.06.26
84 WannaCry Ransomware 예방을 위한 Microsoft 보안 패치 원격 설치 가이드 file

2017.05.15 0

2017.05.15
83 대규모 랜섬웨어 공격 WannaCry에 대한 카스퍼스키랩 코멘트

2017.05.15 0

2017.05.15
» Lazarus 추적: 대규모 은행 강도 예방을 위한 악질 해커와의 전쟁

관리자 2017.04.14 122

2017.04.14
81 15개의 새로운 복호화 도구와 새로운 파트너로 더욱 강력해진 No More Ransom 프로젝트

2017.04.14 0

2017.04.14
80 보안 제품 성능 평가 TOP3 지표에서 1위를 지킨 카스퍼스키랩

2017.03.20 0

2017.03.20
79 PetrWrap: 해커들이 랜섬웨어 코드를 해커들로부터 훔치다

2017.03.20 0

2017.03.20
78 카스퍼스키랩, Kaspersky 운영 체제 출시

2017.03.20 0

2017.03.20
77 금융보안원 글로벌 보안 기업과 사이버위협 정보공유 업무협약 체결

2017.02.27 0

2017.02.27
76 보안 사각지대 ‘리눅스서버’

2017.02.27 0

2017.02.27
75 2016년에 발견된 암호화 랜섬웨어의 75% 이상은 러시아어 사용 범죄조직에서 배포

2017.02.21 0

2017.02.21
74 새로운 국면을 맞은 DDoS 공격

2017.02.21 0

2017.02.21
73 AV-TEST에서 최우수 부문을 석권한 카스퍼스키랩

2017.02.06 0

2017.02.06