MS 윈도 제로데이 취약점 '샌드웜' 주의보

[이데일리 김관용 기자] 글로벌 보안회사인 시만텍이 마이크로소프트 윈도 운영체제(OS)의 중대 취약점을 이용해 미국과 유럽 내 주요 조직을 공격한 사례가 보고됐다며 윈도 사용자들의 패치 설치와 주의를 당부했다.

공격자들은 ‘마이크로소프트 윈도 OLE 패키지 매니저 원격 코드 실행 취약점’을 이용해 외부에서 ‘개체 연결 삽입(OLE)’ 파일을 삽입함으로써 공격 목표물의 컴퓨터에 멀웨어를 다운로드 받아 설치하는 방식을 이용한 것으로 나타났다. 샌드웜(Sandworm)으로 알려진 사이버스파이 조직은 이 취약점을 이용해 일명 ‘블랙 에너지(Black Energy)’ 백도어라고도 불리는 ‘Backdoor.Lancafdo.A’를 목표 조직에 설치한 것으로 알려졌다.

이 취약점은 윈도 비스타 서비스 팩 2부터 윈도 8.1 및 윈도 서버 2008, 2012에 이르기까지 모든 윈도 버전에 영향을 미치는 것으로 보고됐다. 이번 취약점은 윈도에서 OLE를 처리하는 방식과 관련된 것으로, OLE는 한 문서의 리치 데이터를 다른 문서에 삽입하거나 문서 링크를 다른 문서에 삽입할 수 있는 마이크로소프트의 기술이다. OLE는 일반적으로 로컬에 저장된 콘텐츠를 삽입할 때 사용되는데, 이번 취약점은 요청이 없어도 외부 파일을 다운로드하고 실행할 수 있게 한다.

아이사이트 파트너스가 보고한 이번 취약점은 이미 나토(NATO)와 우크라이나 정부 단체, 서유럽 정부단체, 에너지 부문 기업들, 유럽 통신사, 미국 학술 단체를 타깃으로 한 소수의 사이버스파이 공격에 이용돼 왔다. 시만텍 조사에 따르면 해당 페이로드(Payload)를 이용한 공격은 지난 8월부터 진행돼 왔으며, 아이사이트는 해당 공격을 지능형 지속 보안 위협(APT)으로 판단하고 있다.

이번 공격은 목표한 개인들을 대상으로 ‘Trojan.Mdropper’라는 악성코드가 담긴 파워포인트 파일을 첨부한 스피어 피싱 이메일을 발송하는 형태로 이뤄졌다. 파워포인트 파일은 URL을 포함한 두 개의 OLE 문서를 포함하고 있다. 만약 목표로 한 사용자가 파워포인트 파일을 열면 이 URL에 접속해 .exe와 .inf로 구성된 두 개의 파일이 다운로드 되면서 컴퓨터에 멀웨어를 설치하게 된다. 시만텍의 조사에 따르면 해당 멀웨어 페이로드가 ‘Backdoor.Lancafdo.A.’이다.

일단 목표 컴퓨터에 설치되면 이 백도어는 공격자들이 다른 멀웨어를 다운로드 및 설치할 수 있게 한다. 또한 이 멀웨어는 정보를 탈취하는 컴포넌트를 비롯해 스스로 업데이트를 진행한다.

현재는 파워포인트 파일이 이용되고 있지만 해당 취약점의 특성을 고려하면 워드나 엑셀과 같은 다른 오피스 파일에서도 발생 가능할 것으로 예상된다.

시만텍의 SSET(Symantec Security Expert Team)를 총괄하는 윤광택 이사는 “윈도 사용자 모두에게 영향을 미칠 수 있는 중대한 사안인 만큼 기업은 물론 개인사용자들도 주의를 요한다”면서 “피해를 방지하기 위해 MS의 보안 패치 및 보안 소프트웨어를 최신 버전으로 업데이트하고 이메일 첨부파일 확인 시 주의할 필요가 있다”고 말했다.