악성 공격 사이트에 접속만 해도 자동 감염
최근 클리앙 랜섬웨어 공격 대표적
나도 모르게 개인정보 줄줄이 유출
방문 많은 공공사이트 유포지 악용
최근 클리앙 랜섬웨어 공격 대표적
나도 모르게 개인정보 줄줄이 유출
방문 많은 공공사이트 유포지 악용
![[알아봅시다] 드라이브 바이 다운로드](http://contents.dt.co.kr/images/201505/2015050702101860800001[1].jpg "[알아봅시다] 드라이브 바이 다운로드")
최근 주유소 옆이나 시 외곽 지역을 중심으로 패스트푸드점의 '드라이브 쓰루' 매장이 속속 들어서고 있습니다. 차를 주차하고 매장 안으로 들어가 음식을 주문한 뒤 포장하고 나와 다시 차를 타고 가는 것이 아니라, 차를 탄 채로 이동하며 주문, 포장에 전달까지 받는 방식입니다. 그야말로 패스트푸드의 정점이라고 할 수 있지요.
그런데 사이버 공격에서도 이같은 드라이브 쓰루 형태의 공격이 자행되고 있습니다. 드라이브 쓰루 서비스의 이름을 따 '드라이브 바이 다운로드'라는 형태로 불리는 공격이 바로 그 것입니다.
본래 컴퓨터에 악성 프로그램이 설치되거나 악성코드에 감염되려면 이용자가 파일을 내려받거나(다운로드) 악성코드인터넷 주소(URL)를 '클릭'하는 등 악성코드가 시스템 안으로 침입할 수 있도록 길을 열어주는 '모종의 행위'를 직접 해야만 합니다.
때문에 의심스러운 이메일의 첨부파일은 함부로 다운로드 하지 말아야 하며 URL도 클릭하지 않아야 합니다. 물론 이용자가 이를 일일이 구분하기는 쉽지 않기 때문에 각종 보안기술을 통해 악성행위가 있는지 사전에 탐지하고 걸러내는 각종 솔루션과 서비스도 구축하게 됩니다.
그런데 드라이브 바이 다운로드 공격은 이용자가 어떤 행위를 할 필요가 없습니다. 그냥 악성 공격을 하는 사이트에 접속, 즉 방문만 해도 자동으로 PC에 악성코드나 프로그램이 설치되는 것입니다. 최근 가장 논란이 일고 피해가 컸던 드라이브 바이 다운로드 방식의 공격은 바로 컴퓨터 내 중요 파일을 암호화 하고 돈을 내라고 협박하는 '크립토락커 랜섬웨어'였습니다. 국내 유명 온라인커뮤니티 사이트 클리앙을 통해 유포된 이 랜섬웨어 악성코드는 사이트에 접속한 이용자가 어떤 파일을 다운로드 했거나 광고 배너를 클릭하는 등의 행위를 하지 않고 웹사이트에 접속만 해도 악성코드에 감염이 됐습니다.
이는 드라이브 바이 다운로드 공격이 이용자 PC에 설치된 운영체제나 웹브라우저, 애플리케이션 소프트웨어 취약점을 이용해 악성코드를 실행하고 시스템에서 데이터를 읽어와 공격자가 원하는 작업을 자동으로 실행하도록 하는 방식이기 때문입니다. 당연히 이용자는 자신이 사이트 방문 만으로 악성코드에 감염됐다는 사실을 알지 못합니다.
물론 클리앙 랜섬웨어 공격의 경우 사이트 방문 이후에 중요 파일이 암호화 됐고 협박 메시지가 떴기 때문에 이용자들이 즉각 감염 사실을 인지할 수 있었지만, 대부분의 드라이브 바이 다운로드 공격은 이용자가 알지 못하는 새 악성코드를 설치한 뒤 좀비 PC로 만들어 사이버 테러에 악용하거나 각종 민감한 개인정보를 빼 내 사이버 범죄에 악용하는 사례로 연결됩니다.
클리앙의 사례에서 보듯 드라이브 바이 다운로드 공격을 하는 사이트는 해커가 꾸며놓은 가짜 사이트나 의심스러운 곳이 아닙니다. 이용자들이 일상적으로 찾는 유명 커뮤니티나 대형 병원, 대학교 등 신뢰할 수 있을만한 곳의 홈페이지가 순식간에 악성코드 유포지가 돼 버린 것입니다. 이용자는 정상적으로 사이트에 접속했지만, 해당 홈페이지 시스템이 해커에게 침투당해 악성코드를 유포하고 있습니다. 해커 입장에서는 보다 많은 사람들이 홈페이를 찾아야 악성코드 감염률이 높고, 해커의 범죄 목적을 달성할 확률이 높아지겠죠. 그러다보니 보안은 취약하면서도 상대적으로 이용자 방문률이 높은 병원이나 학교, 커뮤니티 홈페이지 등이 드라이브 바이 다운로드 방식의 악성코드 유포지로 종종 악용되고 있습니다.
순천향대 SCH사이버보안연구센터에 따르면 지난해에는 국내 대형 병원의 임상실험센터 웹사이트가 해킹돼 악성코드가 이용자 컴퓨터에 유포되고 있는 것으로 확인된 사실도 있습니다. 공격자는 취약한 병원의 웹사이트를 해킹해 악성코드를 업로드 했고 웹사이트의 도메인(URL)을 악성코드 유포지로 사용하고 있었던 것이죠. 해당 악성코드에 감염된 시스템은 공격자에 의해 RAT(Remote Administration Tool) 유형으로 제어되며, 시스템 내부에 있는 민감한 정보를 수집해 명령제어(C&C) 서버로 전송했습니다. 또 추가 악성코드를 다운로드해 분산서비스거부(DDoS; 디도스) 공격 등의 다른 악성행위를 수행할 수 있는 것으로 분석됐습니다.
스마트폰을 이용한 쇼핑, 결제 등 모바일 인터넷 이용률이 급증하면서 PC 뿐만 아니라 스마트폰까지 감염시키는 드라이브 바이 다운로드 공격도 보고됐습니다. 이 공격은 사용자 PC가 최신 보안 패치가 되지 않은 상태로 해커에 의해 변조된 웹사이트에 방문하면 드라이브 바이 다운로드 방식으로 침투한 악성코드가 취약한 PC를 1차 감염시킵니다. 이어 감염된 PC와 기존에 연결되어 있었거나 새로 연결된 안드로이드 스마트폰을 체크해 연결이 활성화된 기기에 악성앱을 강제로 내려 받고 사용자 동의 없이 설치하는 2차 감염 작업을 진행하는 것입니다. 스마트폰에 설치된 악성앱은 감염된 스마트폰 내에 저장된 사용자 정보를 빼돌리는 것은 물론 수신되는 전화와 문자 내역도 조작하거나 차단합니다. 동시에 스마트폰에 이미 설치된 인터넷 뱅킹앱을 가짜 뱅킹앱으로 대체하고, 사용자가 허위 뱅킹앱에 입력한 각종 금융관련 정보를 탈취해 금전을 빼 내게 됩니다.
염흥렬 순천향대 정보보호학과 교수는 "웹 사이트의 취약점을 이용한 드라이브 바이 다운로드 방식의 악성코드 유포는 좀처럼 줄어들지 않고 있다. 이는 인터넷 이용자에게 매우 위협적인 공격 방식"이라면서 "웹사이트 관리자는 자신의 홈페이지가 악성코드 유포지로 악용되지 않도록 지속적인 점검과 모니터링을 해야 하며 이용자는 사용하고 있는 소프트웨어나 운영체제, 웹브라우저 등을 최신 버전으로 업데이트 해 취약점을 그때 그때 보완해야 한다"고 강조했습니다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
