시만텍(www.symantec.co.kr)은 윈도 OS의 새로운 중대 취약점을 이용해 미국과 유럽 내 주요 조직을 공격한 사례가 보고됨에 따라 윈도 사용자들에게 패치 설치와 함께 주의를 당부했다.
공격자들은 ‘마이크로소프트 윈도 OLE 패키지 매니저 원격 코드 실행 취약점(CVE-2014-4114)’을 이용해 외부에서 OLE(Object Linking and Embedding: 개체 연결 삽입) 파일을 삽입함으로써 공격 목표물의 컴퓨터에 멀웨어를 다운로드 받아 설치하는 방식을 이용한 것으로 나타났다. 샌드웜(Sandworm)으로 알려진 사이버스파이 조직은 이 취약점을 이용해 일명 ‘블랙 에너지(Black Energy)’ 백도어라고도 불리는 ‘Backdoor.Lancafdo.A’를 목표 조직에 설치한 것으로 알려졌다.
이 취약점은 윈도 비스타 서비스 팩 2부터 윈도 8.1 및 윈도 서버 2008, 2012에 이르기까지 모든 윈도 버전에 영향을 미치는 것으로 보고되었다. 이번 취약점은 윈도에서 OLE를 처리하는 방식과 관련된 것으로, OLE는 한 문서의 리치 데이터를 다른 문서에 삽입하거나, 문서 링크를 다른 문서에 삽입할 수 있는 마이크로소프트의 기술이다. OLE는 일반적으로 로컬에 저장된 콘텐츠를 삽입할 때 사용되는데, 이번 취약점은 요청이 없어도 외부 파일을 다운로드하고 실행할 수 있게 한다.
아이사이트 파트너스(iSIGHT Partners)가 보고한 이번 취약점은 이미 나토(NATO)와 여러 익명의 우크라이나 정부 단체, 다수의 서유럽 정부단체, 에너지 부문 기업들, 유럽 통신사, 미국 학술 단체를 타깃으로 한 소수의 사이버스파이 공격에 이용되어왔다. 시만텍의 조사에 따르면 해당 페이로드(Payload)를 이용한 공격은 지난 8월부터 진행되어 왔으며, 아이사이트는 해당 공격을 지능형 지속 보안 위협(APT, Advanced Persistent Threat)으로 보고 있다.
이번 공격은 목표한 개인들을 대상으로 Trojan.Mdropper라는 악성코드가 담긴 파워포인트 파일을 첨부한 스피어 피싱 이메일을 발송하는 형태로 이뤄졌다. 파워포인트 파일은 URL을 포함한 두 개의 OLE 문서를 포함하고 있는데, 만약 목표로 한 사용자가 파워포인트 파일을 열면 이 URL에 접속해 .exe와 .inf로 구성된 두 개의 파일이 다운로드 되면서 컴퓨터에 멀웨어를 설치하게 된다. 시만텍의 조사에 따르면 해당 멀웨어 페이로드가 Backdoor.Lancafdo.A.이다.
일단 목표 컴퓨터에 설치되면, 이 백도어는 공격자들이 다른 멀웨어를 다운로드 및 설치할 수 있게 한다. 또한 이 멀웨어는 정보를 탈취하는 컴포넌트를 비롯해 스스로 업데이트를 진행한다.
현재는 파워포인트 파일이 이용되고 있지만, 해당 취약점의 특성을 고려하면 워드나 엑셀과 같은 다른 오피스 파일에서도 발생 가능할 것으로 예상되고 있다.
시만텍은 공격자들이 원격으로 타깃 컴퓨터에 코드를 실행할 수 있다는 점에서 이번 취약점을 심각하게 보고 있다. 그동안 제한적으로 이용되어 왔지만, 이번에 취약점이 널리 알려짐에 따라 다른 사이버범죄그룹에서 이용할 가능성이 높아졌기 때문이다.
시만텍의 SSET(Symantec Security Expert Team)를 총괄하는 윤광택 이사는 “윈도 사용자 모두에게 영향을 미칠 수 있는 중대한 사안인 만큼 기업은 물론 개인사용자들도 주의를 요한다. 피해를 방지하기 위해 ▲ MS의 보안 패치를 즉각 설치 ▲보안 소프트웨어를 최신 버전으로 업데이트 ▲이메일 첨부파일 확인 시 주의할 필요가 있다”고 설명했다.
더 자세한 정보는 시만텍 블로그에서 확인할 수 있다.
