- 국내 IP 카메라 중 80%가 중국산으로 관련 해킹사고 급증 - 철저한 대응체계를 갖춰 개인 피해 줄일 필요
내용
- 최근 국내 중국산 IP 카메라 보안 문제가 사회적 이슈화 > 국내 IP 카메라 중 80%가 중국산 > 가정, 기업, 정부기관에서 사용중인 중국산 Wi-Fi 공유기, IP캠, IT 기기를 노리는 해킹 증가
- 네트워크를 사용하는 대부분의 중국산 제품에서 백도어가 발견 > 정부 제재가 없어 언제든 쉽게 해킹될 수 있는 위험에 무방비로 노출
- 중국산 IT 기기 해킹사고 대응 방안 ① 개인과 소규모 사용자 > 제품 선택 단계에서부터 신뢰할 수 있는 브랜드를 우선 고려 > 값싼 제품보다는 국제 보안 인증기기 선택 > 펌웨어, 소프트웨어 항상 최신 상태로 유지 > 초기 비밀번호 반드시 변경하고, 강력한 비밀번호를 사용 > 기본적인 보안 설정도 철저히 준수 > 기기 사용 시 개인 정보 입력을 최소화 > 음성 녹음이나 위치 추적 등 불필요한 기능은 비활성화
② 기업 및 조직 > 인증받은 IT기기만을 사용하고, 공급망을 철저히 검토 > 민감한 데이터를 다루는 시스템의 경우 인터넷과 물리적으로 분리된 네트워크를 사용 > 정기적인 보안 점검을 통해 기기의 백도어 여부를 확인 > 해킹 시뮬레이션 테스트로 잠재적인 취약점을 미리 탐지 > 네트워크 접근 통제를 강화하고, 불필요한 기능은 비활성 > 네트워크 보안 솔루션을 도입해 외부 공격에 대비
③ 정부와 공공기관 > 수입 규제와 인증 시스템을 강화해, 보안 검증을 통과하지 못한 제품의 수입 및 사용을 제한 > 공공기관과 국가중요기반시설에는 검증된 장비만 사용하도록 법적 규제를 마련 > 국산 보안 기술과 IT 제품 개발을 적극 지원 > 국가 수준의 보안 인증 체계를 마련해 모든 네트워크 연결 기기에 대해 보안성을 확보 > 국민이 IT기기의 보안을 스스로 관리할 수 있도록 교육 및 캠페인을 통해 경각심을 높이기 > 국제 협력을 통해 백도어 문제를 해결하고, 공통 표준을 수립해 신뢰성을 확보
④ 기술적 대책 마련 > 'AI 또는 고급분석 기법 기반의 NDR' 기술을 도입해, 비정상적인 네트워크 트래픽을 실시간 탐지 및 대응 시스템을 구축 > 국가중요기반시설에는 독립적이고 폐쇄된 네트워크를 운영해 외부 해킹 가능성을 차단하고, 백도어를 탐지할 수 있는 전문 솔루션을 적용
- 중국발 국내 웹사이트 공격이 활발 - 국내 10,737개 IP 주소를 텔레그램에 노출 및 한국 공격 권유
내용
- 중국 해커 니옌이 여러 웹사이트 해킹 정황 공개 > 국내 웹사이트를 공격한 IP 주소 10,737개 텔레그램 공유 > 유튜브에 해킹 과정을 공개
- 유튜브를 통해 공격에 사용한 공격 도구와 공격에 성공한 IP 공개 > 취약점, IP 주소 등이 자세하게 소개되어 있었으나, 현재는 지워진 상태 > 2차 피해 가능성 존재
- 텔레그램에 공유한 게시글에서 한국 정부기관 공격에 동참할 것을 권유 > 국토교통부, 청와대 등 공격 권유
- 현재까지 공격된 국내 웹 사이트 목록 > 김천녹색미래과학관 디페이스 공격 > 경성대학교 디페이스 공격 > 신애성구사 디페이스 공격 > 청주시 교통국 지리정보공개플랫폼 해킹 지리 정보 유출 > 숙명여대·순천향대 shellShock(CVE-2014-6271) 취약점 이용 > 순천향대학교, 이화여자대학교 시스템 약물학 연구실 공격 > 용인시장학재단 사이트 관리자 로그인 정보 공유 > 보안뉴스 DDoS 공격 시도
기타
- 정부부처 홈페이지에 대한 공격 가능성도 염두에 두고 대비 - 공격 IP로 추정되는 것을 식별하고 차단 - 공격에 사용된 도구와 취약점 식별이 필요 - 피해 기관과 기업에 대한 점검이 시급 - KISA: 관련 기관과 공유하고, 보안 강화를 요청할 예정
- 중국 해커, ‘김천녹색미래과학관’ 웹사이트 디페이스 공격 - 해킹 사이트에 자신이 운영하는 텔레그램 주소 남기고 정부 공격 예고
내용
- 닉네임 니옌(一年) 중국 해커 김천녹색미래과학관, 데이터 인텔리전스 기업 S2W 공격 > 김천녹색미래과학관: 디페이스 공격 / S2W: DDoS > 해당 해커는 샤오치잉으로 활동한 전력이 있음 > S2W: DDoS 공격 시도는 있었으나 차단 및 대응으로 특별한 피해 없음
- 디페이스 공격 화면에 자신의 텔레그램 주소를 남김 > 우리나라 정부기관과 교육기관 타킷 해킹 공격 예고 > 24.01.17 22시경 go.kr 스캔 및 공격 동참 권유 글 게시
- 교육기관은 개인정보 다수 보유 및 과거 개인정보 유출, 디페이스 공격 피해 有 > 또한, 연초 한국은행, 외교부 등 DDoS 공격 받음
- 웹 사이트의 첫 화면인 홈페이지를 공격자 임의로 변경하는 공격으로, 해킹 사실을 알리기 위한 목적을 지님
- 주로 정치적 목적이나 해킹 실력 과시용으로 활용되었으나, 공격자가 웹 사이트의 권한을 획득한 것이기 때문에 정보 유출 등의 추가 피해 발생 가능
2. 타임라인
3. 공격 기법
- 1월에는 SQL Injection, 외부에 노출된 계정정보를 사용해 침투 후 내부 정보 유출
- 2월에는 WebLogic 취약점을 악용해 웹 페이지만 변조
3.1 취약점 스캔
- 샤오치잉은 웹 사이트를 대상으로 취약점 스캔(sqlmap, Nuclei)을 수행해 공격 대상 선정
① sqlmap [3]
> SQL Injection을 탐지하여 데이터베이스 서버 침투 프로세스를 자동화한 오픈 소스 침투 테스트 도구
> User-Agent 헤더에 sqlmap이 명시되나, 옵션을 통해 변경이 가능함
② nuclei
> YAML 템플릿을 기반으로 공격 대상 스캔을 수행하는 취약점 점검 도구
> 공격시 sftp.json(서버 IP, 계정정보 등 SFTP서버 설정 정보가 저장된 파일) 관련 YAML 탬플릿을 사용한 것으로 판단됨
YAML [5] - 타 시스템 간에 데이터를 주고받을 때 약속된 포맷(규칙)이 정의되어있는 또 하나의 파일 형식 - 인간 중심으로 작성되어 가독성이 높음
3.2 내부 침투
- 스캔 결과 취약한 설정 및 WAS 취약점을 악용해 내부 침투
① SQL Injection
공격에 사용된 SQL Injection
설명
AND ORD(MID((SELECT IFNULL(CAST(table_name AS NCHAR),0x20) FROM INFORMATION_SCHEMA.TABLES WHERE table_schema=**** LIMIT 0,1),1,1))>64&idx=0
Table 이름 확인
AND ORD(MID((SELECT IFNULL(CAST(COUNT(column_name) AS NCHAR),0x20) FROM INFORMATION_SCHEMA.COLUMNS WHERE table_name=admin AND table_schema=****),1,1))>48&idx=0
Column 개수 확인
AND ORD(MID((SELECT IFNULL(CAST(admin_id AS NCHAR),0x20) FROM ****.admin ORDER BY admin_id LIMIT 0,1),1,1))>64&idx=0
admin Table에서 웹 관리자 계정 ID 검색
AND ORD(MID((SELECT IFNULL(CAST(admin_pwd AS NCHAR),0x20) FROM ****.admin ORDER BY admin_id LIMIT 0,1),1,1))>64&idx=0
admin Table에서 웹 관리자 계정 패스워드 검색
② 계정 설정 파일 접근
> 관리자의 설정 실수로 계정정보나 민감정보가 외부에서 접근 가능하도록 설정된 경우가 더러 있음
> sftp.json은 개발환경과 웹 서버 동기화를 위한 SFTP 계정 정보를 저장한 파일로, 해당 파일이 웹 서버에 업로드된 서버를 악용
- 중국 해커조직이 한국 정부부처 및 공공기관을 타깃으로 대규모 네트워크 해킹 작전을 선포 ※ 중국 해커조직: 晓骑营_Xiaoqiying_샤오치잉 > 우리나라에 악명이 높았던 해커조직 ‘腾蛇_Teng Snake_텅 스네이크’의 후신 > 지난해 5월 초 우리나라 보건복지부와 국방부를 해킹한 이후 트위터를 통해 공개적으로 밝힘 > 샤오치잉, 텅 스네이크, GDP, Code Core, White Dawn 등 조직명을 다양하게 바꿔가며 활동 > 4명(아이디 TuBo, RABBIT, chicken, 1337 등)의 해커가 함께 실행한 것으로 추정 > TuBo: post 침투, web 침투, 초기 도구 개발 >RABBIT: 사후 침투와 코드 감사 >chicken: 코드 감사 >1337: 포스트 침투, 네트워크 침투, 1차 도구 개발
- 중국 해커조직은 해킹 조직원들을 추가 모집 및 한국의 기관, 학회, 협회를 타깃으로 해킹 공격을 진행 > 우리나라의 대통령실, 국가정보원, 국방부, 행정안전부 등이 포함된 약 2,000개의 도메인을 공유해 해킹을 독려
- 공격 대상 중 정보보호 전문기관인 한국인터넷진흥원(KISA)을 특정
내용
- 정부나 공공기관의 경우 큰 피해는 없었으며 상대적으로 보안이 취약한 학회 및 연구소 등 총 12곳이 디페이스 공격 피해 ※ 디페이스 공격 (Deface) > 메인 페이지가 해커의 임의대로 바뀌고(시각적으로 해킹을 어필하기 좋은 방식), 사용자는 사이트를 이용할 수 없게 됨 > 해킹 실력을 자랑하거나, 특정 단체의 메시지를 알리기 위한 과시적 공격 수법으로 사용 > 공격에 성공했다는 건 해커가 웹사이트 관리자 권한을 손에 넣었단 뜻 > 홈페이지의 보안이 취약하다는 반증 및 이미지 실추, 신뢰 하락, 매출 감소
- 해킹 당한 곳 모두 메인 페이지 화면이 바뀌었고, 일부 기관은 데이터가 유출되는 피해 > 공격을 받은 초기에는 홈페이지 화면이 변조돼 중국 해커조직 ‘샤오치잉’이 올린 화면이 게시
- 샤오치잉의 주장 > 1월 21일에 우리나라 교육, 과학, 바이오, 의학 분야 연구원 및 협회 등을 해킹해 데이터를 탈취 > 23일에는 한국 정부부처 데이터 54.2GB 분량을 유출 파일은 91개(91 个文件)와 41개(41 个文件来) 등 > 24일에도 한국의 각종 학회 40여 곳을 해킹했다며 탈취한 데이터를 공개
- 깃허브(Github)에 우리나라 공공기관·기업 등에 근무하는 161명의 개인정보를 공개 > 공공기관 2명, 교육기관 2명, 민간기업 157명 > 소속과 이름, 아이디와 비밀번호, 휴대전화번호, 직장 전화번호, 직장과 자택주소 등 > 과거에 탈취돼 공개됐던 정보인 것으로 확인 지난 2022년 12월 26일 공개한 자료와 동일한 자료 및 다크웹 포럼 등을 통해 해킹한 자료들을 공개
- 21일 해킹된 국내 학술기관 홈페이지 12곳 모두 아직 복구되지 않은 상태 > 피해를 본 기관 12곳 모두가 같은 웹호스팅 업체 서비스를 이용 > 웹호스팅 업체는 보통 한 업체가 하나의 서버에 여러 개의 홈페이지 서비스를 호스팅 > 그러므로, 해당 업체 보안 시스템에 고객사가 맞출 수밖에 없음 > 국내 업체는 외국계 웹 호스팅 업체 대비 상대적으로 영세한 소규모란 점도 한계로 지적
- 2023/02/01 12곳 모두 정상 접속이 가능 > 대한건설정책연구원, 한국학부모학회, 우리말학회 홈페이지 공지를 통해 해킹 피해 공지 및 홈페이지 접속 차질, 개인정보 침해에 대해 사과 전체 피해 규모와 개인정보 유출 피해에 대한 추가 조치 부분은 언급하지 않음 > 나머지 9개 기관의 경우 홈페이지 접속 장애나 데이터 및 개인정보 유출에 대해 아직까지 별다른 공지 없음
- 2023/02/16 새벽 텔레그램에 879건의 개인정보가 들어 있는 데이터베이스를 유출 > 한국스포츠정책과학원 회원의 정보인 것으로 추정 > 올린 파일명에는 'ijass'가 포함됐는데, 이는 한국스포츠정책과학원이 발행하는 체육분야 영문 학술지 > DB에는 개별마다 상이하지만 이름, 소속, 직책, 주거지, 메일 주소, 핸드폰 번호 등 총 879명의 개인 정보가 포함 > 해킹 사실에 대해 국가정보원은 해당 해킹 사실을 인지 및 조사중이며, 구체적인 내용은 알려줄 수 없음이라 밝힘
- 2023/02/18 18:33 한국인정지원센터를 해킹 사실 공개 >16:16 경 탈취한 개인정보를 엑셀파일로 공개 > 이름, 이메일, 비밀번호 등 민감정보가 포함된 약 4만개의 데이터를 확보했다고 공개 > 공무원 정보(이메일+비밀번호+전화번호+이름) 91명, 연구기관 및 유관기관 임직원 정보 476명, 교육기관 관련 임직원 정보 253명, 기타 CO.KR 관련 정보 3,439명 등 > 휴대전화 번호가 011, 016, 019 등 지금은 사용하지 않는 번호로 시작됐기 때문에 꽤나 오래된 정보로 추정
- 2023/02/19 03:25 공격 중지 선언 > ‘한국에 대한 행동을 중지한다(Korean action ends here without any follow-up)’ > 샤오치잉의 공식 홈페이지 또한 접속되지 않음
조치
- 이번 사건은 국가정보원과 개인정보보호위원회에 보고
- 개인정보보호위원회에서 추가 조치를 취함
- KISA > 민간기업의 유출 피해자 157명의 개인정보는 해당 기관 및 기업에 전달해 진위 여부 확인 > 각 피해 홈페이지 관리자 계정 등을 탈취한 것인지 웹호스팅 업체 서버나 관리자 계정이 해킹된 것인지 조사 중 > 추가 보안조치를 요청 ① 로그인 보안 및 사용자 예방 강화 등을 긴급 권고 로그인 기능이 있는 웹사이트에 대한 주기적인 부정 접속이력을 확인해 비정상 IP 차단 및 유관기관 공유 IP당 로그인 시도 횟수 임계치 설정, 캡처 등을 활용한 자동 로그인 시도 차단 등 부정 로그인 차단 강화 비밀번호 변경 및 이중 인증 기능 사용 등 사용자 계정 보안 강화 조치 등
② 사용자 예방 강화 방안 자사 가입자 대상 계정보안 관리 강화 사용자 중요 정보 변경(통신요금 등) 시 SMS 알림 등 피해 알람 기능 강화 관련 서비스 유지보수·위탁업체의 보안강화 요청 등
③ 계정보안 관리 강화를 위한 세부 지침 여러 사이트의 계정정보를 중복되지 않도록 설정 복잡한 비밀번호 설정 및 3개월 단위로 비밀번호를 주기적으로 변경할 것을 당부 ID 및 비밀번호 이외에 OTP, SMS 등을 통한 이중 인증 기능을 설정 계정정보가 노출된 경우 반드시 동일한 계정정보를 사용하는 모든 사이트의 비밀번호를 신속하게 변경할 것
> 업무에 복귀한 기업 보안담당자들의 경우 회사 시스템의 보안 점검과 모니터링에 만전을 기해줄 것을 당부
- 웹 호스팅 업체 > 피해 기관들이 사용 중인 웹호스팅 업체도 근본 원인 파악과 보안 강화를 목적으로 전반적인 점검
- 보안업계 > 보안 시스템 투자가 여의치않은 소규모 기업·기관에 대한 지원 강화 필요 > 공격 타깃이 된 국내 학술기관은 수백개에 달하지만, 홈페이지를 만들어 운영할 만한 능력은 부족 > 웹호스팅을 자체 구축하면 서버와 스토리지 도입과 운영이 필요하고 상시 근무할 수 있는 보안 인력 또한 부족 > 보안 솔루션 운영, 취약점 점검, 주기적 모니터링 등의 체계가 없다 보니 손쉽게 해킹을 당할 수 있는 구조
- 대한건설정책연구원 > 사이버테러수사대에 수사를 요청하고 개인 침해부분에 대해서도 신고를 완료 > 더 이상 해킹시도는 발견되지 않음
- 우리말학회, 한국학부모학회 > 25일 오전 외부 접속에 의한 해킹 정황이 발견 > 즉시 서버를 닫아 불법 접속 차단 및 데이터를 안전하게 보관 > KISA, KERIS 등과 피해범위를 확인하고 수사를 진행 중