서방 에너지기업 겨냥 해킹 정황 포착

시만텍, 에너지기업 타깃으로 지속적인 사이버스파이 활동 펼치는 '드래곤플라이' 포착

아주경제 장윤정 기자 = 시만텍은 프랑스, 이탈리아 등 유럽지역과 미국 에너지기업들을 타깃으로 한 지속적인 사이버 스파이 활동을 포착했다고 1일 밝혔다.

시만텍이 ‘드래곤플라이(Dragonfly)’라고 명명한 이 공격자들은 전략적으로 중요한 일부 핵심 기업 및 기관들을 겨냥한 스파이 활동을 목표로 하고 있으며, 공격을 감행할 경우 해당 국가의 에너지 공급에 차질과 혼란을 초래할 수 있었을 것이라고 설명했다.

드래곤플라이의 타깃은 주요 발전업체와 석유 공급 업체, 에너지 산업 장비 업체들과 같은 에너지 관련 기업들이며, 대부분 미국과 스페인, 프랑스, 이탈리아, 독일, 터키, 폴란드에 위치해 있다.

드래곤플라이는 일련의 멀웨어 툴을 비롯해 풍부한 자원을 갖추고 있으며, 여러 벡터들을 통해 공격을 감행할 수 있는 능력을 보유하고 있다.

가장 특징적인 공격 활동은 산업제어시스템(ICS: Industrial Control System) 장비 공급업자들의 시스템에 침투해 소프트웨어를 원격에서 접속할 수 있는 ‘트로이 목마’로 감염시키는 것이다.

이는 ICS장비를 구동하는 컴퓨터에 소프트웨어 업데이트를 다운로드할 때 멀웨어를 설치하도록 했다. 이를 통해 목표로 삼은 기관이나 단체의 네트워크를 교두보로 제공할 뿐만 아니라, 감염된 ICS 컴퓨터에 파괴행위를 수행할 수 있는 수단을 제공한다.

이번에 발견된 드래곤플라이는 ICS컴퓨터를 타깃으로 한 최초의 대형 멀웨어로 알려진 ‘스턱스넷(Stuxnet)’ 과 유사하다.

드래곤플라이는 ICS 소프트웨어 업데이트 사이트를 감염시키는 것은 물론, 스팸 이메일과 워터링홀(Watering hole) 기법을 이용해 타깃 조직을 공격한다. 

드래곤플라이는 유럽과 미국의 에너지 산업을 대상으로 빠르게 활동 범위를 확대해왔다.

처음에는 목표한 기업의 담당자에게 이메일 피싱을 보내는 것으로 시작했으며, 워터링홀 공격 기법을 활용해 에너지 분야에서 근무하는 사람들이 방문 할 가능성이 높은 웹사이트를 손상시켜 익스플로잇 킷(Exploit Kit)이 있는 웹페이지로 방문을 유도했다. 이 킷은 방문자의 컴퓨터에 멀웨어를 심어 세 가지 다른 ICS 장비 제조 업체가 보유한 합법적인 소프트웨어 번들을 트로이목마에 감염시켰다.

드래곤플라이는 국가가 지원하는 공격의 경우 나타날 수 있는 전형적인 특징을 모두 가지고 있다. 드래곤플라이는 여러 벡터를 통해 공격을 감행할 수 있으며, 이러한 과정을 거쳐 다수의 웹사이트에 피해를 입힐 수 있다. 장기간에 걸쳐 여러 에너지 기업을 노려왔으며, 사이버 스파이 활동이 주요 목적이지만 파괴 행위의 가능성도 배제할 수 없다.

악성코드를 분석 한 결과, 공격자들은 세계표준시(UTC) +4 시간대에 있는 국가의 아침 9시부터 저녁 6시사이에 주로 활동을 한 것으로 밝혀져 동유럽에 근거하고 있을 가능성이 높은 것으로 나타났다.

시만텍의 SSET(Symantec Security Expert Team)를 총괄하는 윤광택 이사는 “이번에 발견된 ‘드래곤플라이’는 에너지라는 특정 산업분야의 주요 기업을 겨냥해 지속적인 사이버스파이 활동을 감행한 것이라는 점에서 주목할 만하다"며 "특히, 복수의 공격 벡터를 동시에 사용하고 있으며, 스파이 활동에서 나아가 파괴 행위도 가능할 만큼 고도로 정교한 공격이었다는 점에서 앞으로 이러한 사이버 공격 단체의 목표가 될 수 있는 조직에서는 보다 높은 수준의 종합적인 보안 체계를 갖출 필요가 있다”고 설명했다.