북한의 보안 연구원 표적 캠페인

 (blog.google)
2P by GN⁺ | ★ favorite | 댓글 1개
  • Google TAG가 추적 중인 북한 정부 지원 추정 공격자들은 취약점 연구·개발 보안 연구원을 계속 겨냥하고 있으며, 최근 캠페인에서도 활발히 악용된 0-day가 확인됨
  • 공격자는 X에서 관계를 만든 뒤 Signal, WhatsApp, Wire로 대화를 옮기고, 신뢰가 쌓인 연구자에게 인기 소프트웨어 패키지의 0-day가 포함된 악성 파일을 보냄
  • 익스플로잇 성공 후 셸코드는 가상 머신 탐지를 수행하고 수집 정보와 스크린샷을 공격자 제어 C2 도메인으로 전송함
  • 별도 감염 경로로 의심되는 Windows 도구 GetSymbol은 디버깅 심볼 다운로드 유틸리티처럼 보이지만, 공격자 제어 도메인에서 임의 코드를 내려받아 실행할 수 있음
  • TAG는 관련 도메인을 Safe Browsing에 추가하고 표적 Gmail·Workspace 사용자에게 정부 지원 공격자 경고를 보내며, Chrome Enhanced Safe Browsing과 기기 업데이트를 권장함

반복되는 보안 연구원 표적화

  • Google Threat Analysis Group(TAG)은 2021년 1월, 북한 정부 지원 행위자가 0-day 익스플로잇으로 취약점 연구 보안 연구원을 노린 캠페인을 공개한 바 있음
  • 이후 2년 반 동안 TAG는 같은 계열의 캠페인을 계속 추적·차단하며 0-day를 찾아 온라인 사용자를 보호해 왔음
  • 최근 확인된 새 캠페인은 이전 활동과의 유사성 때문에 같은 행위자일 가능성이 있음
  • 최근 몇 주 동안 보안 연구원을 겨냥한 공격에 최소 1개의 활발히 악용된 0-day가 쓰였고, 해당 취약점은 영향받은 벤더에 보고됨
  • 벤더는 2023년 9월 12일 패치를 발행했으며, TAG는 Google 공개 정책에 따라 root cause analysis를 공개함

소셜 관계 형성 후 악성 파일 전달

  • 공격자는 이전 캠페인처럼 X 같은 소셜 미디어에서 표적 연구자와 먼저 접촉함
    • 한 사례에서는 공통 관심사를 바탕으로 보안 연구자와 수개월 동안 대화를 이어가며 협업을 시도함
    • X에서 시작된 대화는 Signal, WhatsApp, Wire 같은 암호화 메신저로 옮겨감
  • 신뢰가 형성되면 공격자는 인기 소프트웨어 패키지의 0-day가 최소 1개 포함된 악성 파일을 전송함
  • 익스플로잇이 성공하면 셸코드는 여러 가상 머신 방지 검사를 수행함
    • 이후 수집한 정보와 스크린샷을 공격자 제어 명령·제어 도메인으로 보냄
    • 셸코드 구성 방식은 이전 북한 익스플로잇에서 관찰된 셸코드와 유사함

GetSymbol을 통한 잠재적 2차 감염 경로

  • 공격자는 0-day 표적화와 별개로 독립 실행형 Windows 도구도 개발함
  • 이 도구는 리버스 엔지니어를 위해 Microsoft, Google, Mozilla, Citrix 심볼 서버에서 디버깅 심볼을 다운로드한다는 목적을 내세움
  • 소스 코드는 2022년 9월 30일 GitHub에 처음 공개됐고, 이후 여러 업데이트가 배포됨
  • 겉으로는 여러 출처의 심볼 정보를 빠르게 내려받는 유틸리티처럼 보임
    • Symbols는 바이너리에 대한 추가 정보를 제공해 소프트웨어 문제 디버깅이나 취약점 연구에 도움이 될 수 있음
  • 하지만 이 도구에는 공격자 제어 도메인에서 임의 코드를 다운로드하고 실행하는 기능도 포함됨
  • TAG는 이 도구를 다운로드했거나 실행했다면 시스템이 알려진 깨끗한 상태인지 확인하라고 권장하며, 운영체제 재설치가 필요할 수 있음

Google의 보호 조치

  • TAG는 심각한 위협 행위자에 대응하기 위한 연구 결과를 Google 제품의 안전성과 보안 개선에 사용함
  • 확인된 모든 웹사이트와 도메인은 발견 즉시 Safe Browsing에 추가돼 추가 악용으로부터 사용자를 보호함
  • 표적이 된 Gmail 및 Workspace 사용자에게는 government-backed attacker alerts가 발송됨
  • 잠재 표적은 Chrome의 Enhanced Safe Browsing을 활성화하고 모든 기기를 최신 상태로 유지하는 것이 권장됨
  • 전술과 기법에 대한 이해가 높아질수록 위협 헌팅 역량과 업계 전반의 사용자 보호도 강화될 수 있음

공격자 제어 사이트와 계정

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • GitHub의 getsymbol 도구가 214개 스타를 받았는데, 악성 도구라는 배너가 전혀 안 보임
    최근 올라온 이슈에 Google 블로그 글 링크가 있긴 하지만 그게 전부임
    GitHub 관계자가 보고 있다면, 이 도구와 알려진 백도어가 있는 다른 소프트웨어(예: 포크)에 백도어 경고 배너나 모달을 추가하는 걸 강하게 권함

    • GitHub에 올라온 코드도 악성일 수 있고, 작성자가 비슷한 관심사를 가진 것처럼 보인다는 이유만으로 맹신하면 안 된다는 좋은 reminder이기도 함
      나도 여러 번 그렇게 해봤음 :(
    • 소스 코드 자체는 비교적 깨끗해 보이고, 자동 업데이트 기능도 확인 대화상자 뒤에 걸려 있는 것 같음
      백도어는 바이너리 릴리스나 자동 업데이트 바이너리에 들어갔을 가능성이 훨씬 큼
      직접 컴파일한 뒤 자동 업데이트를 수락하면 감염될 수 있고, 바이너리가 15MB가 넘으니 작은 백도어를 숨기기엔 충분하고도 남음
    • getsymbol에 스타를 누른 계정들을 공개되기 전 기준으로 분석해볼 만함
      다른 obscure 프로젝트들과 공통점이 있다면, 그 계정들이 꼭두각시 계정일 수 있다는 신호가 될 수 있음
    • 방금 내려간 것처럼 보임
    • 저장소를 악성코드로 신고했으니 어떻게 처리되는지 보겠음

  • 인기 다운로드 사이트들이 얼마나 신뢰할 만한지 궁금함
    예를 들어 ffmpeg Windows 바이너리[1]는 어떤 개인 사이트에서 호스팅됨
    체크섬 등을 확인할 수는 있지만, 그래도 특정 Git 커밋과 연결된다는 보장은 없음
    재현 가능하거나 증명된 빌드가 없는 비-GitHub/비공식 호스팅 다운로드는 기본적으로 국가 행위자라고 가정하게 됨
    내가 편집증적인가? Linux/Mac 패키지 관리자는 이걸 어떻게 해결함?
    [1] https://ffmpeg.org/download.html

    • 공식 웹사이트에 올라온 바이너리도, 웹사이트가 해킹되어 체크섬까지 바뀌면 당할 수 있음
      실제로 Linux Mint에서 그런 일이 있었음
      https://www.trendmicro.com/vinfo/fr/security/news/cybercrime...
    • 왜 GitHub는 신뢰함? GetSymbol 도구도 거기서 215개 스타를 받았음
      이슈를 확인하지 않으면 완전히 정상처럼 보임
      https://github.com/dbgsymbol/getsymbol
    • mpv도 같은 문제가 있음: https://mpv.io/installation/
      Windows 다운로드는 SourceForge의 "shinchiro"가 제공하고, MacOS 다운로드는 stolendata.net의 "stolendata"가 제공함
    • Linux/Mac 패키지 관리자는 소스에서 바이너리를 빌드하고 자기 서버에서 호스팅하는 방식으로 해결하는 것 아닌가?
    • 이 분야의 검색어/버즈워드는 재현 가능한 빌드(Reproducible Builds) 임
      아직 초기 단계에 가까움

  • 충격적이거나 새롭진 않지만 흥미롭긴 함
    왜 보안 연구자에게 0-day를 썼을까? 내 추측으로는 장점이 있는 테스트임
    보안 연구자에게 먹히면 좋은 취약점이라고 보고 실전에 투입할 수 있고, 장기적으로는 그 연구자에게서 1+x개의 0-day를 얻을 가능성도 계산했을 것임
    보안 연구자 입장에서도 흥미로운 상황임
    충분히 조심하고 충분히 멍청한 척할 수 있다면 신선한 공격 벡터나 0-day를 “공짜로” 수확할 수도 있지만, 자신을 과대평가하면 바로 털림

    • 보안 연구자들은 대체로 0-day를 더 많이 갖고 있음
    • 아니면 그냥 대상이 가진 접근 권한을 노렸을 수도 있음
    • 이건 북한이 0-day의 시장 가격을 내기 싫어서가 확실함

  • 이 도구에는 공격자가 통제하는 도메인에서 임의 코드를 다운로드하고 실행하는 기능도 있음
    다른 말로 하면 자동 업데이트임
    Big Tech가 대중에게 이런 종속을 받아들이도록 주입하거나 선택지를 강제로 없애준 덕분이고, 이제 그 종속적이고 신뢰하는 태도가 보안 연구자에게까지 퍼져 되돌아와 물어뜯는 게 아이러니함
    우리 중 일부는 이런 태도가 어디로 이어질지 처음부터 알고 있었고, 모두가 보안 연구자였던 것도 아님
    그냥 누군가가 우리 기계에 뭔가를 밀어 넣고 실행하도록 허용했을 때 생기는 다른 부정적 효과들을 봐왔고, 둘을 연결했을 뿐임

  • 완전한 추측이지만, 새 macOS 보안 업데이트가 방금 나왔고 이런 내용이 들어 있음
    “영향: 악의적으로 제작된 이미지를 처리하면 임의 코드 실행으로 이어질 수 있음. Apple은 이 문제가 실제로 악용되었을 수 있다는 보고를 알고 있음.”
    https://support.apple.com/en-us/HT213906
    내기하는 사람은 아니지만, 논의 중인 취약점이 바로 이거라고 추측함

  • 궁금한 건 이거임
    이 북한 사람들은 0-day를 찾으려면 사실상 필요하니 제한 없는 인터넷 접근권을 갖고 있는 게 분명하고, 영어도 적어도 이해하는 게 분명함
    그런데 어떻게 국가 매체가 숨기는 것들을 보여주는 매체를 우연히 접하지 않았을까?

    • “우리 비밀요원은 모두 충성스러운 애국자이고, 저쪽 요원은 모두 세뇌된 인질이다!”
      현실적으로는 다른 나라 정보기관처럼 당연히 애국심을 보고 뽑을 것임
      이 질문은 미국 정보요원이 북한에 대해 선전 이상의 정보를 접하고도, 북한의 더 나은 의료 보장, 총기 난사 없는 학교, 더 나은 쓰레기 관리 때문에 북한으로 망명하지 않는 이유를 묻는 것과 비슷함
      그들은 북한 사회에서 더 좋아 보이는 측면에 가치를 두지 않고, 특정 상황에서 실제로 더 나은지도 믿지 않을 가능성이 큼
      북한 정보기관이라고 다를 이유가 별로 안 보임
    • 북한 정보기관이 서구 매체 내용을 모른다고 생각하는 건가?
      아마 알고 있을 것임
      이들을 통제하는 다른 수단이 있고, 당근은 북한 내 특권, 채찍은 선을 넘었을 때 본인과 가족에게 닥칠 결과임
    • 선택지는 많지 않아 보임
      더 자유로운 나라로 가는 건 모든 북한 사람에게 어렵고, 당근과 채찍 때문에 해킹을 그냥 그만둘 수도 없을 것임
      아마 면밀히 감시받고 있을 가능성이 큼
      일부는 정말 선전을 믿을 수도 있고, 이 사람들은 꽤 좋은 대우를 받을 것 같음
    • 서구 선전 기계가 북한에 대해 쏟아내는 미친 내용들을 보고 오히려 안심할 수도 있음
      그렇다고 북한의 잘못이 면죄되는 건 아님
    • 훌륭한 BBC 팟캐스트 The Lazarus Heist에서 북한 해커들의 삶을 어느 정도 다룸: https://www.bbc.co.uk/programmes/w13xtvg9/episodes/downloads
      이들은 일하는 곳에서 면밀히 감시받고, 가족에 대한 위협을 받는 경우가 많음

  • 보안 연구자가 채팅으로 모르는 사람에게 받은 Windows 바이너리를 실행할 가능성이 얼마나 되는지 궁금함
    이건 보안 입문 이전에 이제는 그냥 상식에 가까움
    오히려 연구자들이 안전한 환경에서 그 바이너리를 가지고 놀 기회를 얻었을 것 같음
    공격자가 소스 코드를 공개했으니 굳이 역공학할 필요도 없었을 것임
    착한 블랙햇들이네
    그러고 보니 링크된 저장소에서 익스플로잇을 찾아줄 사람 있나? 뭘 하는지 궁금하지만 모든 파일을 훑기는 귀찮음
    원문 기사도 그 링크를 걸고, 이 프로젝트가 북한 해커와 연결됐다고 판단한 근거를 말해줄 수 있었을 텐데

    • 생각보다 훨씬 자주 일어남
      젊은 정보보안 실무자들은 OSCP, eJPT 같은 자격증을 따도록 권장받고, 이런 자격증 장사판에서는 알려진 박스를 털어야 하는 경우가 많음
      그래서 Discord 서버에서 서로 “도와주는” 문화가 생기고, 그 도움의 일부는 바이너리나 난독화된 소스 코드 형태임
      그걸 침투 테스트 업무용 노트북에서 실행함
      그 노트북에는 보고서 작성 서버로 들어가는 SSH 키가 있고, 결국 털리면 북한이 미국 민간 기업 데이터와 취약점에 접근하게 됨
      실제로 이런 일을 본 적이 있을지도 모름
    • 그들이 말한 위협은 그게 아님
      어떤 프로그램이 읽는 문서가 0-day를 악용했고, 그 문서를 받았다는 내용임
    • 이 프로젝트가 북한 해커와 연결됐다는 근거를 묻는다면, 충분한 확신을 갖고 attribution을 하면서 방법을 공개하지 않는 경우엔 앞으로도 유용할 수 있는 출처나 지표를 태우고 싶지 않은 것이라고 꽤 합리적으로 추측할 수 있음
      공개하면 아마 더는 쓸모없어질 테니까
    • “위협 행위자들이 인기 소프트웨어 패키지의 최소 하나의 0-day를 포함한 악성 파일을 보냈다”는 말은, 즉 실행 파일이 아니었다는 뜻임
    • 보안 입문의 핵심은 언젠가는 모두가 실수한다는 것임. 모두가
      보안 연구자의 환경이 잘 설계되어 있지 않으면, 예산 문제든 부주의든 그런 일은 실제로 일어나고, 공격자는 아주 빠르게 맛있는 속살까지 도달할 수 있음

  • 연구자들이 이런 캠페인을 너무 태연하게 attribution하는 게 걱정됨
    attribution 방법론은 절대 알려주지 않는데, 비기술자들이 가장 주목하는 건 항상 그 attribution임
    이 기사만 봐도 첫 두 단어가 attribution된 행위자임
    하지만 그걸 증명할 방법은 전혀 없음
    인터넷에서 attribution은 정말, 정말, 정말 어려움
    우리가 맞았는지 틀렸는지 독립적으로 판단할 방법이 없기 때문에 얼마나 어려운지도 모름
    attribution이 정치적 동기와 무관하다고 생각하면 어리석음

    • Citlab은 상업 보안 인텔리전스를 얻기 위해 여러 민간 데이터 브로커와 협력하고, 보고서에서도 종종 참조됨
      이를 바탕으로 attribution은 대체로 정확하다고 가정함
      다만 한 걸음 물러서 객관적으로 보면, 그 인텔리전스의 출처가 프라이버시 침해적이라는 점에서 꽤 위선적으로 보임

  • 북한은 인구 전반의 컴퓨팅 교육 수준이 그렇게 약한데도 이런 일을 할 만큼의 고급 해커와 사이버보안 인력을 충분히 찾는다는 게 놀라움

    • 북한 전문가들에게서 읽은 바로는, 북한은 의도적으로 강도 높게 해커를 만들어냄
      북한의 아이가 수학 재능을 보이면 감시 대상이 되고, 충분히 뛰어나면 특수 수학 학교로 보내져 사실상 다른 건 거의 배우지 않음
      이후 유일한 기술 대학으로 보내져 수년간 컴퓨터 프로그래밍을 집중적으로 공부함
      기준을 통과하면 중국으로 보내지고, 더 나은 인터넷 접근성을 이용해 MMORPG 골드 절도부터 피싱 공격, 0-day 탐색까지 하게 됨
      하루 12시간, 지속적인 성과 압박, 비좁은 기숙사 생활이라는 암울한 삶처럼 들림
      그러니까 Silicon Valley와 좀 비슷함 ;)
    • 부유하거나 연줄 있는 북한 사람들은 서구와 중국의 여러 명문 학교에서 교육받음
      심지어 최고 독재자도 스위스에서 중고등학교를 다녔음
    • 주변 국가 중 하나의 인재 풀을 끌어다 쓰고 있을 가능성이 거의 확실함

  • “발견 즉시 확인된 모든 웹사이트와 도메인은 사용자를 추가 악용에서 보호하기 위해 Safe Browsing에 추가된다.”
    Brave 브라우저에서 dbgsymbol.com은 Safe Browsing 경고가 뜨지 않음
    경고: 알려지지 않은 벡터임

    • Safe Browsing은 해킹 탐지용이 아니라 Google이 사용자를 쉽게 감시하기 위한 것임
답변달기