올해 상반기 한국에는 두 건의 주요한 사이버 사건이 발생했다. 바로 3.20과 6.25 사이버테러다. 이들 사건들은 과연 이전 발생한 7.7 그리고 3.4 사이버공격과 어떤 연관성이 있을까. 데일리시큐는 오랜 기간 한국을 상대로 사이버테러 공격을 해온 조직과 그들의 공격방법에 대해 연구해 온 최상명 하우리 팀장을 만나 영상 인터뷰를 진행했다. 최근 몇 년간 발생한 한국을 대상으로 한 사이버 공격들과 지난 6.25 공격의 연관성은 무엇이고 연관성이 있다면 그 근거는 무엇인지, 그리고 북한으로 추정할 수 있는 이유는 무엇인지 그리고 우

Tor프로토콜은 익명통신을 할 수 있는 시스템으로 Tor를 이용하면 패킷의 송신자를 알 수 없다. 그래서 해커들이 사이버 공격시 자신의 추적을 피하기 위해 사용하고 있다. 이번 6.25 사이버공격에서 공격자가 Tor를 사용해 공격한 것이 밝혀졌다. 최상명 하우리 선행기술팀장은 “Tor는 익명 네트워크라고 한다. 주로 해커들이 해킹할 때 많이 사용한다. 이를 이용해서 자신의 신분을 숨길 수 있기 때문”이라며 “이번 6.25 사이버공격자들이 Tor를 이용해 공격한 정황을 처음 포착했다. 그래서 아마 악성코드가 16일 이전에 유포됐는데도

6월 25일 정부기관 대상 DDoS 공격을 유발한 악성코드가 웹하드 2곳(심XXX, 송XX)에서 유포됐다. 이에 하우리 선행연구팀 최상명 팀장은 “송XX에서는 최초 19일부터 해당 악성코드가 유포됐고 심XXX에서는 25일 00시부터 유포됐다”고 분석했다. 그는 “19일부터 관련 악성코드가 여러 번 변경되면서 유포된 것으로 분석됐다. 즉 공격자들은 적어도 6일 전부터 이번 공격을 준비한 것으로 추정할 수 있다”며 “한국 정부기관의 DNS 주소까지 모두 알고 있었다는 것은 예전부터 많은 준비를 해오고 있었다는 증거”라고 설명했다. 또

소액결제사기는 물론 피해자의 전화, 상시녹음, 위치추적 기능이 추가된 스미싱 악성앱이 발견되어 사용자들에게 주의가 요구된다. 하우리(대표 김희천 www.hauri.co.kr) 관계자는 “이 악성앱은 ‘법원 등기 발송’이라는 내용과 함께 URL이 포함된 형태의 문자로 전달하여 악성코드를 설치하도록 유도한다. 이러한 수법을 이용한 악성코드는 기존에도 많이 발견 되었으나 전화내용을 녹음하거나 상시 도청을 하는 형태가 발견된 것이 특징이다. 특히 이번에 확인된 상시 도청기능은 스마트폰 주변에서 발생하는 모든 소리를 1분 단위로 녹음하는 기

최근 인터넷뱅킹 보안 솔루션을 공격해 사용자의 금융 개인정보를 탈취하는 악성코드가 발견돼 인터넷 뱅킹을 이용하는 사용자의 각별한 주의가 요구된다. 하우리(대표 김희천 www.hauri.co.kr)는 “해당 악성코드는 인터넷뱅킹 사용자들의 정보를 탈취할 목적으로 2012년 9월경 처음 등장했으며 현재까지 약 550개의 변종이 존재하는 것으로 확인되었다”며 “특히 올해 3월부터는 인터넷 뱅킹의 보안 인증 및 암호화 등을 수행하는 보안 솔루션의 특정 모듈을 악성행위를 수행하도록 변조하는 기법을 사용하기 시작했다”고 설명했다.

최근 APT 악성코드를 유포하기 위한 방법으로 새로운 유형의 문서 포맷 악성코드가 등장했다. 이는 국내 스프레드시트 프로그램인 한셀 프로그램의 취약점을 이용해 악성코드를 설치하는 방법으로 주로 이메일을 통해 한셀 문서 파일(.cell 확장자)이 첨부 파일 형태로 전달된다. 특히 이번에 등장한 한셀 문서 파일은 특정 연구기관의 주소록 파일 이름으로 배포되었다. 사용자가 취약한 버전의 한셀 프로그램을 통해 해당 문서를 열람하면 취약점을 이용해 문서 속에 포함된 악성코드가 설치된다. 이렇게 설치된 악성코드는 “CyberGate RAT”이

하우리(대표 김희천 www.hauri.co.kr)는 최근 무분별하게 범람하고 있는 스미싱(Smishing)문자를 차단해주는 “스미싱 디펜더” 솔루션을 개발 완료하여, 이를 안드로이드 기반 스마트폰을 사용하는 일반 사용자들에게 무료로 제공한다고 5월 27일 밝혔다. 스미싱은 악의적인 목적을 갖는 개인 혹은 특정 단체를 통해 스마트폰 사용자 누구에게나 발송될 수 있고, 스마트폰 사용자는 정상적인 문자와 스미싱 문자를 구분하기가 쉽지 않기 때문에 감염 시 금전적인 피해뿐만 아니라, 개인정보까지도 유출이 가능하다. 최근에는 스미싱을 이용한

3.20 사이버테러에 대한 민관군 합동대응팀의 중간조사 결과가 10일 발표됐다. 결론부터 말하면 북한의 과거 해킹수법과 일치하는 증거가 발견돼 북한의 사이버테러였다는 것이다. 민관군 합동대응팀은 지난 3.20 방송·금융 6개사 전산장비 파괴와 3.25 날씨닷컴 사이트를 통한 전 국민대상 악성코드 유포, 3.26 대북 보수단체 홈페이지 14개 자료삭제, YTN 계열사 홈페이지 자료서버 파괴 등 연쇄적 사이버테러가 2009년 7.7DDoS, 2011년 3.4DDoS와 농협사태, 2012년 중앙일보 전산망 파괴 등 수차례 대남 해킹을 시

이 글은 '백신 무용론'을 주장하는 것이 아니다. 공격자는 백신의 특성 및 한계를 명확히 파악하고 있고 이를 통해 악성코드를 효과적으로 전달, 감염시킨다는 것을 말하고 있는 것이다. 지난 수요일 오후에 발생한 주요 방송국, 은행 등 금융 업계를 대상으로 한 악성코드 공격이 어느정도 분석이 마무리되면서 결과 및 추후 대응이 주목되고 있다. 내부 네트워크에서 확산되었다는 점, 특히 내외 백신 업체에서 악성파일의 탐지 여부에 대한 논평이 이어지고 있다. 이번에 발견된 악성파일은 신종이기 때문에 기존 백신 제품에서 탐지가 어

보안전문기업 하우리(대표 김희천)는 3월 20일 발생한 '주요 방송사 및 금융권 전산망 마비' 로 파괴된 시스템의 데이터를 복원할 수 있는 '데이터 복원 툴'을 긴급 개발했다고 밝혔다. 이번 복원 툴은 피해 시스템의 C 드라이브 데이터를 전체 또는 특정 확장자로 선택해 복원이 가능 하도록 개발 되었으며, 운영체제가 Windows XP 이하 버전으로 설치되었던 PC에 한해 데이터 복원이 가능하다. 지원되는 운영체제가 제한적이기는 하나, 피해를 최소화 하는데 조금이라도 도움을 주고자 무료 배포하고 있다. &

이번 3.20 사이버 공격 사건을 정리해 보자면 이렇다. 지난 3월 20일 2시를 기점으로 일부 방송사 및 금융사 PC 및 윈도우 서버들이 자동으로 리부팅이 되면서 바로 먹통상태에 빠졌다. 이들 회사들은 국산 안티바이러스 소프트웨어를 사용하고 있던 고객들로 이들 보안 밴더(안랩, 하우리)의 시그니처 배포 서버(PMS)를 통해 직원 PC에 설치된 안티 바이러스 시그니처를 최신으로 유지하고 있었다. 하지만 이런 PMS 시스템이 APT로 추정되는 공격에 의해 관리자의 로그인 정보가 해커들에 의해 갈취되었고 해커들은 이들 PMS 서버에 백

3월 20일 14시경 주요 방송사 및 금융기관의 전산망 마비가 발생했다. 이에 하우리는 “현재까지 파악된 내용으로는 시스템 부팅시 로드되는 MBR(Master Boot Record)과 드라이브 파티션 정보를 악성코드가 변조 및 파괴를 생하기 때문”이라고 밝혔다. 또 “장애 증상 PC에서 샘플 파일을 수집하여 분석한 결과, 악성코드가 하우리 백신 프로그램의 구성모듈 파일(파일명: othdown.exe)로 위장했고 타사(안랩) 백신 프로그램 경우도 서버 구성모듈로 악성코드가 위장했다”고 설명했다. 정상 파일로 위장한 악성코드는 특정 언

13일 오전, 최근 발생한 PC 공인인증서 탈취 이슈와 더불어 스마트폰에서도 공인인증서를 탈취하는 악성앱이 발견돼 사용자들의 각별한 주의가 요구된다. 보안전문기업 하우리(대표 김희천 www.hauri.co.kr/) 관계자는 “이 악성앱은 스미싱 기법을 이용해 스마트폰 사용자들에게 ‘보험료미환급금조회’라는 내용으로 허위 문자메세지를 발송하고 문자메세지 내의 URL 링크를 접속해 설치를 유도한다”며 “설치된 악성앱은 자동실행되며 사용자의 문자메세지는 해커에게 발송되어 사용자가 확인할 수 없다”고 주의를 당부했다. 또한 “이 악성앱은 감

보안전문기업 하우리(대표 김희천 www.hauri.co.kr)는 북한의 도발위협이 계속 되고 있는 가운데 APT 공격용 악성 한글 악성 문서가 계속 발견되고 있다고 밝히고 주의를 당부했다. 해당 악성코드의 정보는 아래와 같다. 지난 주 5일 접수된 악성문서는 모 라디오 프로그램으로 위장해 특정 국회위원에게 직접 해킹 메일이 발송한 정황이 포착됐다. 해당 해킹 메일에는 Adobe Reader 프로그램 취약점을 이용한 첨부파일(‘초점.pdf’)이 포함되어 있다. 사용자가 첨부파일을 열람할 경우 아래와 같은 러시아어 문서가 출력된다. 해

1월 말부터 공인인증서를 탈취하는 악성코드가 지속적으로 발견되었으며, 설 연휴에도 수십 개의 공인인증서가 탈취된 것이 확인됐다. 또한 해당 악성코드로 인해 12일(화) 오전까지도 공인인증서가 탈취되는 것이 확인됐다. 심각한 상황이다. 보안전문기업 하우리(대표 김희천 www.hauri.co.kr) 관계자는 “해커들은 악성코드가 설치 동의 없이 바로 설치되는 드라이브 바이 다운로드(Drive-by Download) 방식을 통해 인터넷뱅킹용 악성코드를 유포한 후, FTP를 통해 공인인증서를 모두 수집해 탈취해 갔다”고 설명했다. 한편 해

악성앱에 감염된 스마트폰 단말기가 PC에 연결될 경우, PC에서 도청을 시도하는 악성코드 감염이이루진다는 것이 확인됐다. 이제 악성코드가 스마트폰과 PC의 경계를 넘나들고 있는 상황이다. 하우리 관계자에 따르면 “이 악성앱은 구글마켓을 통해 정식 배포되었으며 다수 스마트폰 사용자들이 다운로드 받은 것으로 추정된다”며 “이 악성앱이 설치된 스마트폰을 컴퓨터 USB를 통해 연결하면 PC용 악성코드가 자동실행되어 PC에 악성코드를 감염시키는 동작을 한다”고 밝혔다. 또 “감염된 스마트폰은 악성코드 제작자(해커)에 의해 조정될 수 있고 스

보안전문기업 하우리(대표 김희천 www.hauri.co.kr)는 14일부터 3일째 금융권 앱을 위장한 피싱 앱이 구글 정식 마켓을 통해 지속적으로 등록되었음을 확인했다고 밝혔다. 이원남 하우리 모바일 보안연구팀 팀장은 “이 앱들은 구글 마켓에 정식으로 등록된 후 사용자가 아무런 의심없이 다운로드 받을 수 있어서 더욱 위험하다. 최초 14일 5종의 악성코드가 발견되었고 15일 10종, 16일 4종, 17일 1종이 구글 정식 마켓에 등록되어 있는 것을 확인했다”며 “정식 마켓을 통해서도 악성코드가 배포됨으서 마켓 보안강화와 스마트폰 백

지난 한 해, APT 공격의 특성상 조직이나 기업의 내부적인 피해보다는 고객정보 및 서비스와 관련된 외부적인 피해가 발생하지 않는 한 겉으로 크게 공개되지 않는 점을 감안하면, 이렇다 할 크게 알려진 APT 공격 사례는 많지 않았다. 하지만 실질적으로 APT 공격에 대한 시도 및 외부로 알려지지 않은 APT 공격, 계속 진행 중인 APT 공격은 생각하는 것보다 매우 많이 빈번하게 이루어지고 있다. 그렇다면 이러한 APT 공격은 2013년, 계사년을 맞이하여 어떻게 변화되고 진행될까? ◇계속되는 문서 취약점을 이용한 내부 감염 시도주

한국과 일본의 양국간 독도 영토문제로 인하여 대립이 더욱더 첨예해지고 있는 가운데, 중국과 일본간의 조어도(일본명 센카쿠 열도) 관련 한글문서를 이용한 악성코드가 발견되어 주의가 요구된다. 하우리(대표 김희천, www.hauri.co.kr) 관계자는 “발견된 한글 악성문서는 조어도에 관련된 내용을 한글문서화해 악성코드를 삽입하는 형태로 제작되었다. 해당 한글 프로그램의 취약점을 이용하여 감염되기 때문에 한글 최신 보안패치가 되어 있지 않은 수신자들은 첨부파일을 열람할 경우 감염이 이루어진다. 해당 한글 악성문서를 열람하면 사용자들

보안전문기업 하우리(대표 김희천 www.hauri.co.kr)는 12월 19일 제 18대 대통령선거를 앞두고 국민들의 관심이 집중되고 있는 가운데, 이를 이용한 악성코드가 추가 발견되었다고 밝혔다. 지난 주 해킹 메일 중에는 ‘핵심공약.hwp’, ‘현안대응.hwp’ 이라는 대선과 관련된 내용의 한글 악성문서가 첨부파일로 배포되어 사용자가 해당 문서를 열람하는 순간, 악성코드에 감염되는 정황도 포착이 되었다.(www.hauri.co.kr/customer/security/colum_view.html?intSeq=155&page=1&ke