전 세계 정부와 통신 및 인터넷 인프라 기업을 대상으로 하는 DNS 하이재킹 공격이 2017년 부터 지금까지 이어지고 있다. 파이어아이 맨디언트 사고 대응 및 정보 팀은 이 공격자들을 특정 그룹과 연계시킬 수 없지만, 초기 조사에서는 이란과 연결돼 있을 것으로 분석됐다고 밝혔다.
이들은 지난 2017년부터 현재까지 중동, 북아프리카, 유럽, 북미 지역의 정부와 통신·인터넷 인프라 기업의 도메인에 영향을 미치고 있다. 일부 전통적인 전술을 활용하고 있지만, 니즈에 따라 규모를 조절하며 DNS 하이재킹을 시도하고 있다는 점에서 다른 이란계 활동과 구별된다. 공격 세력이 이러한 기법을 사용해 초기 발판을 구축하고, 향후 보다 다양한 방식으로 전개될 가능성이 높다.
초기 조사 결과, 이란이 배후로 의심
파이어아이는 해당 공격에 대한 원점 분석을 진행하고 있는데, 이번 DNS 기록 조작 기법이 매우 정교하고 주목할 만하지만, 이번 공격이 상이한 시간대에 다양한 인프라와 서비스 공급자를 대상으로 이뤄졌음을 고려할 때 단일 위협 세력으로 한정하기는 어렵다. 이번 공격에는 다양하면서 중복되지 않는 공격자 제어 도메인과 IP가 활용됐으며, 암호화 인증 및 VPS 호스트를 위해 광범위한 공급업체가 선택됐다.
예비 기술 평가 증거 자료를 고려해 볼 때, 파이어아이는 어느 정도 확신을 바탕으로 이란에 근거지를 두고 있는 세력이 이번 공격을 실행했고, 이러한 활동이 이란 정부의 이해관계에도 부합된다고 해석하고 있다.
파이어아이는 네트워크 트래픽 차단, 기록, 전송을 위해 사용되는 기기에 이란의 IP를 통한 접속 사실을 발견했다. IP 주소의 지리적 위치가 강력한 지표가 되지는 못하나, 이들 IP 주소는 과거 이란의 사이버 스파이 침입에 대응하는 과정에서 이미 발견된 바 있다. 특히 이들 그룹의 목표물에는 중동 지역 정부가 포함된다. 이들 기관의 기밀 정보는 이란 정부의 이해관계에는 부합되지만 상대적으로 금전적 가치는 작다.
그럼에도 불구하고 파이어아이는 이 공격과 이란의 연결성을 찾을 수 있다고 분석하고 있으며 DNS 하이재킹과 그 규모를 고려해 볼 때, 이란에 기반을 둔 공격세력의 전술이 지속적으로 진화하고 있다고 설명했다.
DNS 통해 기밀정보 유출 가능성 있어
이러한 유형의 공격은 공격자가 목표로 삼는 기관의 네트워크에 직접 접속하지 않아도 소중한 정보를 탈취할 수 있다. 이와 같은 공격에 의한 피해를 막기 위해서는 다음의 조치를 취하는 것이 좋다고 파이어아이는 조언한다.
▲도메인 관리 포털 상에서 다중 인증 시스템(multi-factor authentication)을 실행
▲A 기록과 NS 기록의 변경을 검증한다.
▲도메인 관련 SSL 인증서를 검색해 악성 인증서를 폐기
▲OWA/Exchange 로그의 소스 IP를 검증
▲내부 조사를 실시해 공격세력이 접속했는지 파악
