대담해지고, 진화하는 사이버 위협: NATO가 직면한 위협
Mandiant
7월 11일까지 미국 워싱턴 DC에서 북대서양조약기구(NATO) 정상 회의가 열립니다. 회의가 열릴 때마다 각국 정상은 NATO가 직면한 여러 현안 과제가 논의합니다. 최근 분위기를 볼 때 NATO의 시급한 현안 과제 중 하나로 사이버 위협을 꼽을 수 있을 것입니다. 실제로 NATO는 악의적인 사이버 활동이 급증하는 것을 목격하고 있습니다. 이들 활동은 특정 국가의 후원을 받는 해커부터 시작해 핵티비스트, 사이버 범죄자들에 의해 이루어지고 있습니다. 이들 위협 행위자가 벌이는 일들을 보면 예전에는 상상하지 못했던 것들도 적지 않습니다. 암묵적으로 직접 공격 대상으로 삼지 않았던 시민 사회 등에 피해를 끼치는 일도 서슴지 않는 경우가 있습니다. 따라서 NATO는 군사 목표물뿐만 아니라 병원, 시민 사회, 그리고 사회 기반 시설에 미치는 위험까지 고려해야 합니다. 사이버 위협으로 인해 위기 상황이 발생하면 정부 조직이 기능을 유지하고 해당 문제를 해결하는 데 어려움을 겪을 수 있습니다.
우크라이나 전쟁은 최근의 사이버 위협 활동 증가와 직간접적인 관련이 있습니다. 그리고 국가 지원 사이버 공격의 위험성을 명확하게 보여주었습니다. 우크라이나 관련 사이버 공격은 여전히 심각한 위협입니다. 이 외에도 다양한 유형의 사이버 공격이 전 세계적으로 증가하고 있습니다. 이러한 공격들은 서로 연관되어 있을 수도 있고, 별개의 위협일 수도 있습니다. NATO는 이런 흐름을 고려해 정보를 수집하고 중요 인프라를 노리는 악의적인 사이버 위협 행위자들에 맞서야 합니다. 구글은 고객을 보호하기 위해 본 포스팅에서 소개하는 바와 같이 사이버 위협을 면밀히 추적하고 있습니다. 참고로 본 포스팅에서 소개하는 내용은 급변하는 사이버 위협 상황의 일부입니다.
사이버 스파이: NATO의 중요한 정보를 탈취하려는 시도 저지하기!
이번에 열린 NATO 정상 회담은 동맹의 방위 태세를 강화하고, 우크라이나에 대한 장기적 지원을 보장하기 위한 여러 조정이 이루어지는 전환점이 될 전망입니다. 이런 분위기는 NATO의 사무총장으로 새로 임명된 마크 퀴터의 최근 행보에 잘 드러나 있습니다. 이번 정상 회담 이후 앞으로 몇 달간은 사이버 스파이들이 동맹 관련 정보 탈취에 주력할 가능성이 큽니다. 사이버 스파이는 동맹을 약화하고, 적의 지도자들에게 NATO의 계획과 투자에 대비하고 대응하는 방법을 알릴 수 있습니다. 따라서 특별한 주의가 필요한 시기라 할 수 있습니다.
오래전부터 NATO는 다양한 능력을 갖춘 전 세계의 여러 위협 행위자의 주요 공격 목표였습니다. NATO의 적들은 오랫동안 사이버 스파이 활동을 통해 동맹의 정치적, 외교적, 군사적 상황을 파악하고 방위 기술과 경제 기밀을 손에 넣으려 하였습니다. NATO를 목표로 하는 대다수의 위협 행위자는 사회 공학 기법처럼 단순하지만, 효과적인 기법을 이용합니다. 하지만 몇몇 위협 행위자는 경험이 많은 보안 조직도 대응하기 어려울 만큼 수준이 높습니다. 이처럼 관심 있게 봐야 할 주요 공격 그룹을 하나하나 알아보겠습니다.
APT29 (ICECAP)
APT29는 여러 정부가 러시아 외교정보국(SVR) 소속으로 활동하는 사이버 공격 그룹으로 지목하였습니다. 이 공격 그룹은 주로 유럽과 NATO 회원국을 목표로 삼아 외교와 정치 관련 정보 수집에 집중합니다. APT29는 예전에도 정부 기관의 시스템에 접근할 수 있는 기술 기업을 노린 대규모 침해 사건에 연루된 적이 있습니다. 정부 기관을 직접 노리지 않고 정부 기관에 접근할 수 있는 기업들을 먼저 침해하여 정부 기관의 시스템에 악성 코드를 설치할 기회를 노린 사건이었습니다. 최근 1년간 맨디언트(Mandiant)는 APT29가 NATO 회원국의 기술 기업과 IT 서비스 제공 업체를 노린 서드파티 공급망 공격과 정부 기관이 사용하는 소프트웨어에 악성 코드를 심는 소프트웨어 공급망 공격 시도를 관찰하였습니다.
한편, APT29는 클라우드에 매우 깊은 지식이 있으며, 클라우드 환경에서 공격 흔적을 감추는 데 탁월함을 보입니다. 이런 역량 덕분에 탐지와 추적이 어렵고, 침해 네트워크에서 제거하기도 힘듭니다. 또한, APT29는 오랫동안 NATO 회원국, 특히 외교 기관을 대상으로 스피어 피싱 공격을 가해 왔습니다. 유럽과 미국 지역 정부 기관을 여러 차례 침해하는 데 성공하기도 했습니다. 최근에는 독일과 미국 정장을 적극적으로 공격 중인데, 미래 정책의 방향을 가늠해 볼 수 있는 정보 수집이 목적인 것으로 보입니다.
중국의 사이버 스파이 활동
중국의 사이버 스파이 활동은 최근 몇 년간 진화를 거듭하였습니다. 그 결과 예전에는 쉽게 식별할 수 있었던 중국의 사이버 스파이 활동은 점점 탐지가 어려워지고 있습니다. 이처럼 중국의 위협 행위자들이 은밀하게 작전을 수행하는 역량이 높아진 것은 큰 도전 과제가 되어 가고 있습니다. 참고로 중국의 위협 행위자들은 NATO 회원국의 정부, 군사, 경제 부문을 노린 공격을 강화하고 있습니다.
중국의 사이버 스파이 활동은 기술 측면에서 다음과 같은 특징이 있습니다.
- 방어자의 탐지를 줄이기 위해 네트워크 경계에 있는 보안 장비나 기타 네트워크 인프라의 제로데이 취약점을 악용합니다. 제로데이 취약점은 장비나 솔루션 기업이 파악하지 못한 소프트웨어나 하드웨어 취약점이나 패치나 수정 프로그램을 적용하기 전까지 공격자가 악용할 수 있습니다. 중국의 공격자들은 사회 공학적 기법에 덜 의존합니다. 이를 통해 사용자나 보안 제어에 의해 식별될 가능성을 낮추고 있습니다. 2023년에는 중국의 공격자들이 12개의 제로데이 취약점을 악용했습니다. 이 중 상당수는 네트워크 경계에 위치한 보안 제품의 취약점이었습니다. 이러한 보안 제품은 엔드포인트 탐지 기능이 없다 보니 공격의 발판을 마련하기 이상적인 대상이라 할 수 있습니다
- 악성 트래픽의 출처를 숨기기 위해 ORB(Operational Relay Box) 네트워크를 사용합니다. 기존에는 공격자가 프록시 서버를 이용해 악성 트래픽을 숨겼는데, 프록시 서버는 추적이 가능합니다. 그래서 그런지 최근에는 공격자들이 침해된 프록시 서버로 구성한 일회용 네트워크인 ORB를 공유해 활용하고 있습니다. 이 네트워크는 추적하기 매우 어렵고, 방어자들이 해당 인프라에 대한 정보와 지식을 공유하는 것을 복잡하게 만듭니다
- 일부 공격자들은 악성 코드 사용을 중단하고 Living-off-the-Land 기법으로 침투를 강행하고 있습니다. 이 기법은 악의적인 활동을 위해 시스템 내 합법적인 도구와 기능을 활용합니다. 따라서 방어자는 악성 코드 탐지가 어렵고, 관련 악의적인 활동에 대한 정보 공유도 할 수 없습니다
위에 소개한 기술은 중국의 위협 행위자들뿐만 아니라 APT29, APT28, APT44 같은 러시아의 공격 그룹도 사용하고 있습니다.
파괴적이고 치명적인 사이버 공격
파괴적이고 치명적인 사이버 공격이 증가는 NATO 동맹에도 직간접적인 영향을 미치고 있습니다. 최근 몇 년 동안 이란과 러시아의 공격 그룹들은 NATO 회원국을 겨냥하였습니다. 이들은 실제 공격을 주도하였지만, 자신들의 소행임을 감추기 위해 가짜 단체를 앞세웠습니다. 예를 들어 '홈랜드 저스티스'라는 핵티비스트 그룹이 2022년 알바니아 정부를 노린 파괴적인 공격을 자신의 소행이라 주장했으나, 미국 정부는 이 공격을 이란이 지원하는 공격 그룹이 수행했다고 밝혔습니다.
특정 국가의 지원을 받는 공격 그룹은 혼란을 야기하기 위해 NATO 회원국의 주요 인프라를 침해하고 있습니다. 이들은 우크라이나의 중요 OT(Operational Technology) 시스템 공격을 통해 중요 인프라를 대상으로 복잡한 공격을 수행할 수 있는 능력을 보여주고 있습니다. 즉, 이들 공격 그룹은 NATO의 주요 인프라를 침해할 수단과 동기 모두가 있다고 볼 수 있습니다.
국가의 지원을 받는 공격 그룹의 사이버 공격 외에도 핵티비스트와 범죄 행위자들이 야기하는 혼란은 더 이상 무시할 수 없는 골칫거리가 되었습니다. 핵티비스트들의 활동은 공공 및 민간 부분에 대한 중대한 공격을 초래하였고, 범죄 활동은 너무나 파괴적이어서 국가 안보 문제로 떠오르고 있습니다.
APT44 (Sandworm, FROZENBARENTS)
APT44는 세간의 이목을 끈 NotPetya, 평창올림픽 공격, 우크라이나 정전 사태 등 여러 파괴적인 공격에 관여한 공격 그룹입니다. 러시아의 군사 정보기관과 연계된 것으로 알려진 이 공격 그룹은 전력 등 민감한 사회 기간 시설의 OT 시스템의 장애 유발이나 기타 영향을 끼칠 수 있는 파괴적인 공격을 수행했습니다. 우크라이나에서 발생한 대부분의 파괴적인 공격은 APT44로 인한 것으로 밝혀졌으며, 전쟁이 시작된 후에는 NATO 국가를 대상으로 한 공격에도 관여하였습니다.
2022년 10월 APT44로 추정되는 공격자는 폴란드와 우크라이나의 물류 기업을 대상으로 PRESSTEA(일명 Prestige) 랜섬웨어를 배포했습니다. 이 랜섬웨어는 해독할 수 없었는데, 효과적으로 파괴적 공격에 활용되었습니다. 이 활동은 우크라이나로 각종 군수 물자를 운송하는 공급 라인을 위협할 수 있는 능력을 보여주기 위한 것으로 보입니다. 이 작전으로 APT44는 NATO 회원국 공격에 대한 의지를 보여주었고, 동시에 기꺼이 위험을 감수할 수 있다는 것도 보여주었습니다.
Hacktivists
최근 러시아의 우크라이나 침공 같은 지정학적 긴장 지역을 중심으로 정치적 목적으로 해킹하는 활동, 즉 핵티비즘이 전 세계적으로 활발해지고 있습니다. 핵티비스트들은 NATO 회원국을 주요 대상으로 삼고 있습니다. 대부분의 활동은 지속적인 혼란을 야기하지 못하는데, 이는 궁극적인 목적이 시선을 끌고 불안감을 조성하는 것이기 때문으로 풀이할 수 있습니다.
핵티비스트들은 무시할 수 있는 대상이 아닙니다. 이들의 활동은 표적으로 삼은 국가의 언론에서 주목받고 있습니다. 그리고 상황에 따라 심각한 결과를 초래할 방법을 사용하기 때문입니다. 이들이 선호하는 방법의 하나인 DDoS는 특정 시스템에만 영향을 끼치다 보니 비교적 피해가 심각하지 않습니다. 그러나 선거 같은 이벤트 동안에 큰 영향을 끼칠 수 있습니다. 친러시아 공격 그룹인 CAPR(Cyber Army Russia Reborn) 같은 일부 핵티비스트는 중요 인프라에 대한 심각한 공격을 시도하고 있습니다. APT44와 불분명한 관계가 있는 것으로 알려진 CAPR은 미국, 폴란드, 프랑스의 중요 시설을 대상으로 단순하지만, 과감한 공격을 감행하여 물 공급을 잠시 중단시킨 적이 있습니다.
사이버 범죄
돈을 벌기 위한 목적으로 수행한 랜섬웨어 공격은 이미 NATO 국가들의 중요 인프라 전반에 심각한 피해를 초래하고 있습니다. 이러한 공격은 환자 치료 중단, 에너지 부족, 정부 서비스 장애 등의 문제를 야기합니다. 일부 사이버 범죄자들은 중요 인프라 공격은 하지 않겠다고 말하지만, 많은 사이버 범죄자는 여전히 중요 시설을 대상으로 공격을 감행하고 있습니다. 미국과 유럽의 의료 기관은 재정적인 이익을 노리는 러시아계 범죄자들과 첩보 활동 자금을 마련하려는 북한 공격자들의 공격을 받았습니다. 한편, 여러 사이버 범죄자는 사이버 범죄 처벌이 미약하거나 범죄인 인도 조약이 없는 국가를 거점으로 활동합니다. 이런 능력과 함께 공격의 수익성을 생각할 때 랜섬웨어 공격은 계속 심각해질 것으로 예상됩니다.
허위 정보 및 정보 작전
지난 10년간 정보 작전(Information operations)은 사이버 위협 부문에서 주목하는 주제로 자리를 잡았습니다. 지정학적 긴장이 심화하면서 정보 작전은 증가 추세를 이어가고 있습니다. 정보 작전은 소셜 미디어 조작(troll farm)부터 네트워크를 침투하는 것까지 다양한 전술을 사용합니다. 특히 러시아와 벨라루스의 정보 작전은 주로 NATO 회원국을 목표로 하며, 동맹의 단결과 목표를 약화하는 것을 주요 목표로 합니다.
은밀한 정보 수집에 집중하는 일부 사이버 스파이 기관도 정보 작전에 참여합니다. APT28과 COLDRIVER 같은 그룹은 유출 작전(hack-and-leak campaigns)을 통해 훔친 정보를 공개적으로 활용했으며, UNC1151과 같은 다른 공격자들은 보유한 침투 역량을 다른 복잡한 정보 작전에 활용했습니다. 이러한 시도들은 거짓되고 오해의 소지가 있는 정보를 유포하여 여론을 조작하고 불화를 조장하며 정치적 의제를 추진하려 합니다.
구글은 정책을 위반하는 활동을 저지하고 공개적이거나 은밀히 진행되는 정보 작전 캠페인을 차단하기 위해 제품, 팀 및 지연 간에 적극적으로 협력하고 있습니다. 이러한 조치의 예로는 유튜브 채널, 블로그, 애드센스 계정 차단, 구글 뉴스 서페이스에서 제거된 도메인 등이 있으며, 이는 분기별 TAG 게시물(TAG Bulletin)을 통해 보고됩니다.
프리고진 사망 이후에도 계속되는 정보 작전
러시아 사업가 예브게니 프리고진 사망 소식이 있었지만, 허위 정보 유포 활동은 여전히 계속되고 있습니다. 이전과 같이 여러 소셜 미디어 플랫폼을 통해 친러시아 메시지와 허위 정보를 확산하는 캠페인이 진행 중인데, 최근에는 대안 플랫폼에 집중하고 있습니다. 캠페인은 주로 NATO 해체 요구, NATO는 세계 불안정의 원흉, NATO 회원국 지도자 비판 같은 내용을 홍보합니다.
2022년 러시아의 우크라이나 침공 같은 지정학적 사건과 러시아의 전략적 목표는 정보 작전 캠페인 내용에 큰 영향을 미칩니다. 우크라이나에 대한 NATO 회원국들의 지속적인 지원은 NATO가 러시아의 전략적 이익에 도전하는 문제로 인식되면서 직간접적으로 공격 대상이 되고 있습니다.
Ghostwriter/UNC1151
Ghostwriter는 최소 2016년부터 활동하고 있으며, 벨라루스와 일부 관련이 있는 것으로 알려져 있습니다. 주요 목표는 벨라루스의 이웃 국가인 리투아니아, 라트비아, 폴란드이며 우크라이나도 일부 공격을 받았습니다. 이 작전은 악성 활동으로 악명 높은 UNC1151이라는 사이버 스파이 집단으로부터 기술 지원을 받고 있습니다. Ghostwriter는 사이버 공격 기반의 정보 조작에 악명이 높으며, 지속해서 반-NATO 서사를 홍보하는 데 중점을 두고 있습니다. 예를 들어 2020년 4월 Ghostwriter 작전은 NATO 군대가 라트비아에 코로나19를 퍼트렸다고 거짓 주장을 하는 작전을 감행했습니다.
또한, Ghostwriter 작전은 지역 정부와 안보 협력을 약화하려고 시도했습니다. 여기에는 폴란드 유명인들의 소셜 미디어 계정을 해킹하여 잠재적으로 명예를 손상하는 사진을 포함한 컨텐츠를 홍보해 폴란드 정치인들의 이미지를 실추시키려는 시도가 포함됩니다. 2022년 이후 관측된 Ghostwriter 작전은 기존 캠페인 목표를 유지하면서 러시아 침공에 대한 서사도 포함하는 쪽으로 활동을 확대했습니다. 예를 들어 2023년 4월 Ghostwriter 작전은 폴란드와 리투아니아가 우크라이나에 배치될 다국적 여단에 주민들을 모집하고 있다고 주장하는 작전을 펼쳤습니다.
COLDRIVER
COLDRIVER는 러시아 연방보안국(FSB)와 연계된 것으로 알려진 러시아의 사이버 스파이 집단입니다. COLDRIVER는 정기적으로 비정부기구(NGO)의 고위 인사들뿐만 아니라 전직 정보 및 군사 장교들을 대상으로 자격 증명 피싱 캠페인을 수행합니다. COLDRIVER가 피해자 메일함에서 훔친 정보는 해킹 및 유출 작전에 사용되었습니다. COLDRIVER가 훔친 정보는 2022년 영국 정치에서 브렉시트 관련 정치 분란을 악화하기 위해 유출되었습니다. 이전에는 2019년 영국 선거를 앞두고 미국과 영국 무역 협정 세부 사항을 유출하였습니다. COLDRIVER는 주로 NATO 국가를 노리며 2022년에는 우크라이나 정부와 전쟁을 지원하는 조직으로 목표를 확대했습니다. 2022년 3월에는 COLDRIVER 캠페인이 여러 유럽 국가의 군대와 NATO CoE(Centre of Excellence)를 목표로 삼기도 하였습니다.
전망
사이버 영역은 무력 충돌 사태와 관계없이 지속해서 갈등 관계에 있는 적을 대상으로 공격 활동이 이어집니다. 사이버 스파이 활동의 원동력은 지정학적 갈등입니다. 러시아의 우크라이나 침공은 NATO 동맹국들을 노린 대담하고 무모한 사이버 활동의 계기가 되었습니다. 가까운 미래에 사이버 스파이 활동이 줄어들 가능성은 작아 보입니다.
악의적인 사이버 활동이 끼치는 영향은 광범위합니다. 사이버 위협은 정치 군사 분야부터 동맹의 경제 및 사회 기반에 이르기까지 NATO 동맹국과 파트너들에게 잠재적으로 영향을 끼칠 가능성이 있습니다. 이러한 위협에 대응하는 것은 NATO가 하는 모든 일처럼 방어에 대한 집단적인 헌신이 필요합니다. NATO는 구성원들의 힘을 끌어내듯이 민간 부분과 협력해야 합니다. NATO는 민간 부분의 기술 역량을 활용해 사이버 공간에서 주도권을 잡아야 합니다.
