잉카인터넷 ‘엔프로텍트’취약점 발견… 풍림 디지털서명 탈취 확인
인터넷뱅킹, 전자상거래 등에 의무적으로 사용되면서 국내에서 폭넓은 이용자를 확보하고 있는 유명 보안소프트웨어에서 취약점이 발견됐으며, 이를 통해 악성코드가 유포된 사실이 뒤늦게 확인됐다.
22일 보안 전문가와 한국인터넷진흥원 등에 따르면 잉카인터넷이 제작해 배포하고 있는 '엔프로텍트 네티즌 v5.5' 버전에서 심각한 취약점이 발견됐으며, 이 취약점을 통해 악성코드가 유포된 것으로 확인됐다. 인터넷진흥원 침해대응센터 측은 "지난 11월초 잉카인터넷의 엔프로텍트 네티즌 v5.5에서 원격코드실행이 가능한 취약점이 발견됐다"면서 "공격자는 악성코드를 심어놓은 웹 페이지를 제작한 후 엔프로텍트 네티즌이 설치된 사용자의 사이트 방문을 유도해 감염시켰다"고 설명했다.
그간 소프트웨어나 보안솔루션을 악용한 악성코드 유포는 수차례 있었다. 하지만 엔프로텍트는 인터넷뱅킹이나 전자상거래를 이용할 경우 금융감독 규정에 의해 의무적으로 설치하게 돼 있어 사실상 거의 모든 인터넷 이용자의 PC에 설치돼 있기에 악성코드 유포와 감염 파괴력이 크다는 것이 전문가들의 지적이다.
특히 이번에 해커가 엔프로텍트 취약점을 통해 유포한 악성코드는 감염자 시스템에서 '원격코드 실행'을 시키기 때문에 각별한 주의가 요구되고 있다. 최근 사회적으로 큰 혼란을 빚고 있는 국가기반시설에 대한 사이버 공격에도 엔프로텍트 취약점이 사용됐을 가능성을 배제할 수 없기 때문이다.
실제 엔프로텍트 보안 취약점이 발견된 것과 유사한 시기에 산업용 자동제어 솔루션과 전자부품, 센서, 반도체 등을 제조하는 풍림의 디지털서명이 고스란히 탈취된 사실이 뒤늦게 확인됐다. 디지털서명이란 문서나 프로그램 작성자가 신뢰할 수 있는 상대라고 인증해 주는 수단이다. 해커는 9월과 10월에 걸쳐 국내 웹하드 업데이트 취약점을 공략, 악성파일을 유포했고 이에 감염된 풍림 내부 시스템에 침투해 디지털 서명을 탈취해 낸 것으로 추정된다. 특히 해커는 탈취해 낸 풍림의 디지털서명으로 악성파일을 제작, 2차 유포했는데 이 때 엔프로텍트 취약점을 악용해 퍼뜨린 것으로 확인됐다. 해커는 국내 유명 웹사이트와 대규모 커뮤니티, P2P 사이트, 성인사이트 등에 악성파일을 유포했고 이를 통해 2차, 3차 감염자를 확보하려 한 것으로 보인다.
보안 전문가는 "풍림의 디지털 서명이 도용된 악성 파일은 일반인들에게 큰 위해가 가지 않을 수 있지만, 풍림과 거래관계가 있는 공장자동화 부품 등을 개발, 유통하는 업체라면 풍림이 보낸 문서라 판단해 감염이 더 쉬웠을 것"이라며 "발전소나 대규모 생산공장 등 산업기반 시설에 부품을 공급, 유통하는 이들 업체들의 특성상 악성파일 제작 목적이 산업기반 시설 침투를 위한 것으로 추정된다"고 설명했다.
이 전문가는 또 "디지털서명은 암호 키 등을 모두 알아야 한다. 이는 이미 해커에 의한 내부 시스템 장악이 끝난 상황이라고 유추할 수 있다"면서 "해당 악성 파일을 받은 제2, 제3 업체, 나아가 산업기반시설까지 연쇄 해킹에 당할 가능성도 매우 높다"고 경고했다.
현재 풍림은 디지털서명 유출 사실을 인지하고 복구 조치를 취한 것으로 알려졌다. 잉카인터넷 역시 엔프로텍트의 취약점을 복구한 업데이트 파일을 배포하고 있다. 모든 PC이용자들은 이 업데이트를 반드시 내려받아 실행해야 한다. 이와관련 잉카인터넷 측은 "11월 초 엔프로텍트 네티즌 v5.5에서 보안 취약점이 발견된 건 사실이지만, 이는 낮은 버전의 제품이 공격자가 만든 특수한 웹페이지에 접속했을 때만 발생하는 취약점" 이라면서 "KISA 보안업데이트 권고 전에 보안 패치를 이미 실시했고, 관련 피해사례는 지금까지 보고되지 않았다"라며 반박했다.
강은성기자 esther@dt.co.kr기
22일 보안 전문가와 한국인터넷진흥원 등에 따르면 잉카인터넷이 제작해 배포하고 있는 '엔프로텍트 네티즌 v5.5' 버전에서 심각한 취약점이 발견됐으며, 이 취약점을 통해 악성코드가 유포된 것으로 확인됐다. 인터넷진흥원 침해대응센터 측은 "지난 11월초 잉카인터넷의 엔프로텍트 네티즌 v5.5에서 원격코드실행이 가능한 취약점이 발견됐다"면서 "공격자는 악성코드를 심어놓은 웹 페이지를 제작한 후 엔프로텍트 네티즌이 설치된 사용자의 사이트 방문을 유도해 감염시켰다"고 설명했다.
그간 소프트웨어나 보안솔루션을 악용한 악성코드 유포는 수차례 있었다. 하지만 엔프로텍트는 인터넷뱅킹이나 전자상거래를 이용할 경우 금융감독 규정에 의해 의무적으로 설치하게 돼 있어 사실상 거의 모든 인터넷 이용자의 PC에 설치돼 있기에 악성코드 유포와 감염 파괴력이 크다는 것이 전문가들의 지적이다.
특히 이번에 해커가 엔프로텍트 취약점을 통해 유포한 악성코드는 감염자 시스템에서 '원격코드 실행'을 시키기 때문에 각별한 주의가 요구되고 있다. 최근 사회적으로 큰 혼란을 빚고 있는 국가기반시설에 대한 사이버 공격에도 엔프로텍트 취약점이 사용됐을 가능성을 배제할 수 없기 때문이다.
실제 엔프로텍트 보안 취약점이 발견된 것과 유사한 시기에 산업용 자동제어 솔루션과 전자부품, 센서, 반도체 등을 제조하는 풍림의 디지털서명이 고스란히 탈취된 사실이 뒤늦게 확인됐다. 디지털서명이란 문서나 프로그램 작성자가 신뢰할 수 있는 상대라고 인증해 주는 수단이다. 해커는 9월과 10월에 걸쳐 국내 웹하드 업데이트 취약점을 공략, 악성파일을 유포했고 이에 감염된 풍림 내부 시스템에 침투해 디지털 서명을 탈취해 낸 것으로 추정된다. 특히 해커는 탈취해 낸 풍림의 디지털서명으로 악성파일을 제작, 2차 유포했는데 이 때 엔프로텍트 취약점을 악용해 퍼뜨린 것으로 확인됐다. 해커는 국내 유명 웹사이트와 대규모 커뮤니티, P2P 사이트, 성인사이트 등에 악성파일을 유포했고 이를 통해 2차, 3차 감염자를 확보하려 한 것으로 보인다.
보안 전문가는 "풍림의 디지털 서명이 도용된 악성 파일은 일반인들에게 큰 위해가 가지 않을 수 있지만, 풍림과 거래관계가 있는 공장자동화 부품 등을 개발, 유통하는 업체라면 풍림이 보낸 문서라 판단해 감염이 더 쉬웠을 것"이라며 "발전소나 대규모 생산공장 등 산업기반 시설에 부품을 공급, 유통하는 이들 업체들의 특성상 악성파일 제작 목적이 산업기반 시설 침투를 위한 것으로 추정된다"고 설명했다.
이 전문가는 또 "디지털서명은 암호 키 등을 모두 알아야 한다. 이는 이미 해커에 의한 내부 시스템 장악이 끝난 상황이라고 유추할 수 있다"면서 "해당 악성 파일을 받은 제2, 제3 업체, 나아가 산업기반시설까지 연쇄 해킹에 당할 가능성도 매우 높다"고 경고했다.
현재 풍림은 디지털서명 유출 사실을 인지하고 복구 조치를 취한 것으로 알려졌다. 잉카인터넷 역시 엔프로텍트의 취약점을 복구한 업데이트 파일을 배포하고 있다. 모든 PC이용자들은 이 업데이트를 반드시 내려받아 실행해야 한다. 이와관련 잉카인터넷 측은 "11월 초 엔프로텍트 네티즌 v5.5에서 보안 취약점이 발견된 건 사실이지만, 이는 낮은 버전의 제품이 공격자가 만든 특수한 웹페이지에 접속했을 때만 발생하는 취약점" 이라면서 "KISA 보안업데이트 권고 전에 보안 패치를 이미 실시했고, 관련 피해사례는 지금까지 보고되지 않았다"라며 반박했다.
강은성기자 esther@dt.co.kr기
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
