Board

소프트웨어의 공식 배포 경로를 악용해 이용자를 공격하는 ‘공급망 공격’이 잇따르고 있다. 게임을 실행하거나 보안 프로그램을 업데이트하는 정상적인 과정에서 악성코드가 유포되는 방식이다. 이용자가 의심스러운 파일을 내려받지 않아도 감염될 수 있는 데다, 하나의 배포 시스템이 뚫리면 다수의 PC와 서버로 피해가 확산할 수 있어 우려가 나온다.

5일 게임·보안 업계에 따르면 시프트업이 개발하고 텐센트의 퍼블리싱 브랜드 레벨인피니트가 서비스하는 게임 ‘승리의 여신: 니케’의 PC 실행 프로그램(런처)이 악성코드 유포에 악용됐다. 해커가 런처에서 불러오는 파일을 변조하면서 이용자가 정상적으로 게임을 실행하는 과정에서 악성코드가 내려받아질 수 있도록 한 것이다.

레벨인피니트가 이날 공개한 조사 결과에 따르면 지난 9월 27일 PC 런처가 내려받는 공식 콘텐츠전송네트워크(CDN)의 스크립트 파일 4개가 변조됐다. 이후 10월 30일부터 해당 파일을 통해 이용자 PC에 악성 프로그램이 유포됐다.

해당 악성 프로그램은 공격자가 이용자 PC를 원격으로 제어하고 파일을 열람하거나 명령어를 실행할 수 있는 기능을 갖춘 것으로 분석됐다. 웹브라우저에 저장된 계정 정보와 인증 토큰, 가상자산 지갑 관련 정보 등이 탈취될 가능성도 제기됐다.

지난 2일에는 글로벌 서버 보안 솔루션 ‘cPGuard’의 공식 업데이트 시스템이 해킹당했다. 공격자는 개발사 OPSSHIELD의 고객·라이선스 관리 시스템에 침입해 업데이트 배포에 사용되는 접근키를 탈취한 뒤, 정상 업데이트 파일 대신 악성 스크립트를 유포했다.

OPSSHIELD에 따르면 약 70분간 악성 업데이트가 배포됐으며, 이 과정에서 약 2950대의 고객 서버가 해당 업데이트를 실행했다. 악성 스크립트는 서버 관리자 계정의 비밀번호 해시와 SSH 인증키, 데이터베이스 접속 정보 등을 수집하도록 설계됐다. 개발사는 공격자가 수집된 파일 32개를 실제로 가져간 것으로 잠정 파악했다.

◇ 정상 프로그램도 감염 통로로…개인 넘어 기업까지 피해 우려

두 사건은 공격 경로에는 차이가 있지만, 해커가 개별 이용자나 서버를 직접 공격하는 대신 정상적인 소프트웨어 배포 경로를 침해했다는 공통점이 있다.

소프트웨어 공급망 공격은 개발사와 이용자 사이에 형성된 신뢰 관계를 악용한다. 일반적인 악성코드 공격처럼 이용자가 의심스러운 파일을 실행하도록 유도하지 않아도, 공식 프로그램을 설치하거나 업데이트하는 과정에서 악성 코드를 유포할 수 있다.

염흥열 순천향대 정보보호학과 명예교수는 “해커 입장에서는 개별 이용자나 서버를 공격하는 것보다 소프트웨어를 악용하는 편이 쉽고, 성공하면 피해를 광범위하게 확산시킬 수 있다”며 “PC가 장악되면 개인정보 유출뿐 아니라 해당 PC에서 이뤄지는 금융거래에서도 금전적 피해가 발생할 수 있다”고 말했다.

특히 피해 범위가 개인을 넘어 기업 내부 시스템으로도 커질 수 있다. 기업 임직원이나 개발자가 사용하는 PC가 감염되면 해당 기기에 저장된 인증정보 등이 추가 공격에 악용될 수 있기 때문이다.

곽진 아주대 사이버보안학과 교수는 “개발자 PC가 감염돼 클라우드 API 키나 사내망 접속 토큰이 유출되면 해커가 이를 이용해 기업 내부망이나 또 다른 소프트웨어 개발 서버를 장악하는 ‘연쇄 공급망 침해’로 공격을 확장할 수 있다”고 설명했다.

◇ 설치 파일 검사만으론 부족… 실행 중 외부 파일도 검증해야

이 같은 공격을 막으려면 프로그램 설치 단계뿐 아니라 실행·업데이트 과정에서도 외부에서 내려받는 파일이 변조되지 않았는지 확인해야 한다는 지적이 나온다. 정상적인 프로그램이라도 외부 서버에서 변조된 파일을 불러올 수 있기 때문이다.

곽 교수는 “설치 파일만 검증하는 정적 보안에서 벗어나 프로그램 실행 중 외부 CDN에서 불러오는 스크립트의 암호학적 해시를 대조하는 ‘런타임 동적 무결성 검증’을 적용해야 한다”고 말했다.

해시는 파일의 내용을 바탕으로 생성되는 일종의 디지털 지문이다. 개발사가 승인한 정상 파일의 해시값과 이용자에게 실제 배포되는 파일의 해시값을 비교하면 파일이 변조됐는지 확인할 수 있다.

이만희 한남대 컴퓨터공학과 교수는 업데이트 파일에 디지털 서명을 적용하고 이를 검증하는 절차도 필요하다고 강조했다. 디지털 서명은 파일이 승인된 서명키로 변조되지는 않았는지를 확인하는 기술이다. 이 교수는 서명에 사용하는 비밀키를 배포 서버와 분리해 보관해야 한다고 설명했다.

악성 업데이트로 인한 피해 확산을 줄이기 위해 일부 시스템에 먼저 업데이트를 적용하는 ‘카나리아 배포’ 방식도 대응책으로 꼽힌다. 이 교수는 “배포 서버에 대한 공격이 있을 수 있으니 전략적으로 매우 적은 시스템부터 천천히 업데이트하는 카나리아 배포 방법을 사용하는 것을 권고하고 있다”고 말했다.

[관련출처: 조선일보]