편리와 보안 모두 잡으려는 노력, 금융계에서 앞서가

하드웨어에 흔적 안 남기는 또 다른 멀웨어, 스테고로더

[보안뉴스 문가용] 시티뱅크는 사용자마다 거래 전용 기기를 등록하게 하는 기술을 도입해 로그인 과정 자체를 대체한다고 하고, 영국은 기존 암호 방식에 글자를 넣는 대신 이모티콘을 넣는 걸 고려 중이라고 합니다. 둘 다 보안을 위한 조치라고 볼 수 있는데요, 아직 완전한 단계는 아닙니다.

스테고로더라는 멀웨어의 분석 결과가 2년 만에 나왔습니다. 모듈화 되어 있고, 하드웨어 공간을 전혀 사용하지 않으며, 그림 파일에 숨어있기 때문에 발견과 분석이 무척이나 어려웠다고 합니다. 미국 메이저리그에서는 사상 최초의 해킹 사건으로 FBI까지 나섰으며 구글은 넥서스 기기에 대한 새로운 버그바운티 프로그램을 공개했습니다.

1. 금융가의 변화

시티뱅크의 기기 등록 특허, 온라인 뱅킹의 새로운 방향(Infosecurity Magazine)

영국 은행들, 글자와 숫자로 이루어진 암호 대신 이모티콘 사용 고려(The Register)

기술과 보안에 제일 민감하게 반응하는 분야 중 하나가 금융 쪽이죠. 해커들이 제일 많이 몰리는 분야이기도 하고요. 그래서 핀테크니 뭐니 해서 금융업계도 많이 신경을 쓰고 있는데요 시티뱅크에서는 이번에 기기를 등록해 로그인 과정을 없애는 기술을 도입해 특허까지 획득했다고 합니다. 물론 ‘편의’에 더 초점이 맞춰진 거라 보안문제가 걸리긴 하는데 ‘방향 자체는 올바르다’는 게 대체적인 보안업계의 평입니다. 영국 은행에서는 네 자리 PIN 코드를 이모티콘으로 채우는 방안을 마련 중이라고 합니다. 이모티콘 네 개로 암호를 만들면 깨기가 훨씬 힘들다고 하네요.

2. 하드웨어에 안 남는 또 다른 멀웨어

스테고로더멀웨어, 악성코드를 그림에 숨겨(Infosecurity Magazine)

정보 훔치는 스테고로더 멀웨어, 이미지에 숨어서 침투(Threat Post)

정보 훔치는 스테고로더 멀웨어, 이미지에 정체 감춰(Security Week)

스테고로더(Stegoloader)라는 멀웨어의 분석결과가 나왔습니다. 가장 큰 특징은 모듈화 되어 있다는 것, 가장 중요한 모듈은 그림 파일 안에 숨겨져서 전송된다는 것, 그리고 하드웨어에 저장되지 않고 메모리에만 머무른다는 겁니다. 그래서 추적이 무척이나 까다로웠다고 하는데요, 두쿠 2.0에 이어 이렇게 메모리만 노리는 멀웨어가 앞으로 유행이 되면 커다란 재앙이 될 것이라는 우려의 목소리가 나오고 있습니다.

3. MLB의 흑역사 추가되나

FBI, “휴스턴 아스트로스 해킹 사건 철저히 조사할 것”(Threat Post)

FBI와 사법부, MLB 해킹 사태에 강경 대처(SC Magazine)

FBI, MBL 해킹 사건에 공격적으로 대응해(The Register)

이미 국내 여러 매체에서 나온 소식입니다. 세인트루이스 카디널스가 라이벌 팀인 휴스턴 아스트로를 해킹했다는 의혹에 대해 FBI까지 나섰습니다. 스포츠계가 알게 모르게 여러 가지 사기 및 승부조작 등의 범죄가 빈번하게 일어나는 곳인데, 이렇게 해킹까지 등장한 것은 처음 있는 일이라고 합니다. 하지만 아직 카디널스 측은 부정하고 있기 때문에 아직 속단할 수는 없습니다.

4. 구글의 또 다른 보상 프로그램

구글, 넥서스 기기에 버그바운티 시작(Threat Post)

구글, 안드로이드 보안 보상 프로그램 발표(SC Magazine)

구글이 또 다른 버그바운티를 내놨습니다. 이번에는 특히 안드로이드, 그중에서도 넥서스 기기에 초점이 맞춰져 있습니다. 현재는 넥서스 6과 넥서스 9가 대상이 되는 기기인데요, 이 역시 앞으로 점점 늘어날 예정입니다. 최소 333달러에서 8000달러까지, 정도와 등급에 따라 다양한 보상이 이루어질 거라고 합니다.

5. 라스트패스 해킹

암호 관리 서비스, 라스트패스 해킹 당해(CU Infosecurity)

라스트패스 유출사고, 마스터 암호 바꿀 것 권고(Security Week)

암호 관리 서비스인 라스트패스(LastPass)가 해킹을 당했습니다. 사용자의 정보가 유출되는 정황이 발견되어 현재 라스트패스 측에서는 마스터 암호를 바꿀 것을 권고하고 있습니다. 아직 정확한 유출 규모는 밝혀지지 않고 있으나 라스트패스 측은 자사의 암호화 기능을 강력하게 신뢰하기 때문에 큰 규모는 아닐 거라고 장담하고 있습니다.

6. 남중국해에는 분명 무슨 일이 있다

로터스 블러섬 작전, 3년 이상 진행된 듯(Security Week)

중국이 남중국해에서 인공섬을 건조하고 있고, 거기에 군사기지를 구축하겠다는 발표를 해서 국제 사회가 시끄러운데요, 그 근방 국가들을 대상으로 스파이 행위를 한 ‘누군가’의 흔적이 발견되었습니다. 작전명은 로터스 블러섬(Lotus Blossom)으로, 아직 정확히 어느 세력이 사주한 것인지는 밝혀지지 않았지만 벌써 3년이나 진행된 것으로 보입니다.

7. 취약점들

우분투의 권한 상승 취약점 패치(Security Week)

맥키퍼 취약점 악용한 해커들, 위험한 트로이목마 퍼트려(The Register)

우분투(Ubuntu)에 있던 권한 상승 취약점이 패치되었다는 소식입니다. 또한 지난 달 공개되었던 맥키퍼의 취약점을 통해 해커들이 트로이목마를 퍼트리고 있다는 소식도 있습니다. 이래서 패치가 확보되기 전에 취약점을 공개하는 게 위험하다고 하는 거죠.

8. 프라이버시와 감염 실태

프라이버시 논쟁, 이제는 안면인식으로 옮겨가(Security Week)

온라인 거래 사용자들 중 15~30%는 CSIM에 감염(SC Magazine)

프라이버시 논쟁은 이제 안면인식 기술로 옮겨갔습니다. 영상 분석 기술 중 하나인 안면인식 기술의 발전이 놀라울 정도로 빠른데요, 사실 프라이버시 문제 혹은 사용 가이드라인 등을 확실히 정해놓는 게 먼저라고 봅니다. 또한 온라인 거래를 자주 하는 사용자들의 30% 정도가 CSIM(client side injected malware, 클라이언트에 주입된 멀웨어)에 감염되었다는 통계가 나왔습니다.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>