ESET은 러시아 연계 해커들이 우크라이나 곡물 회사 공격 과정에서 Yggdrasil 네트워크를 이용해 악성 활동을 은폐했다고 보고했습니다. 이번 발견은 Yggdrasil 네트워크 악성코드 러시아 해커 캠페인이 이국적인 도구에만 의존하지 않는다는 점을 잘 보여주는 사례입니다. 이들은 합법적인 프라이버시 및 네트워킹 기술을 빌려와 은밀하게 섞여들 수도 있습니다.
원문 보도는 짧기 때문에, 이 글은 확인된 사실에만 초점을 맞추고 더 넓은 맥락을 신중하게 설명합니다.
ESET이 우크라이나 곡물 회사 공격에서 발견한 것
ESET에 따르면, 러시아와 연계된 해커들은 우크라이나 곡물 회사에 대한 공격 중 Yggdrasil 네트워크를 사용해 악성코드를 숨겼습니다. 별도의 보도에서는 Yggdrasil을 자원봉사자들이 운영하는 네트워크라고 설명하며, 우크라이나 곡물 물류 업체에 대한 공격에서 통신을 은폐하는 데 사용되었다고 전했습니다.
현재 공개된 보도에는 공격자들이 처음 어떻게 접근했는지, 어떤 악성코드 계열이 관련되었는지, 의도한 피해가 무엇이었는지와 같은 추가 기술적 세부 사항은 없습니다. 이 글에서는 그런 부분을 추측하지 않겠습니다. 분명한 것은 공격 패턴입니다. 공격자들은 암호화된 오버레이 네트워크를 트래픽을 숨길 장소로 선택했습니다.
Yggdrasil이 공격자의 트래픽 은폐를 어떻게 도왔는가
Yggdrasil은 암호화된 오버레이 네트워크입니다. 쉽게 말해, 일반 인터넷 위에 또 하나의 네트워크를 만드는 것으로, 참여자들은 피어를 통해 서로 연결되고 그 오버레이 내부에서 주소를 부여받습니다. 자원봉사자들이 운영하며 탈중앙화되어 있기 때문에, 활동을 차단하거나 기록하도록 쉽게 요청할 수 있는 단일 운영 기업이 존재하지 않습니다.
공격자에게 이는 명령제어(C2), 즉 감염된 시스템의 악성코드와 이를 통제하는 사람들 사이의 통신 채널로 매우 매력적입니다. 감염된 시스템이 오버레이 네트워크를 통해 통제자와 통신하면, 해당 트래픽은 알려진 악성 서버로의 연결과 다르게 보일 수 있습니다. 의심스러운 IP 주소와 도메인 차단 목록에 의존하는 방어자들은 목적지가 일반적인 호스팅 제공업체가 아니기 때문에 활용할 수 있는 정보가 줄어들 수 있습니다.
이것이 네트워크 자체가 악의적이라는 뜻은 아닙니다. 중립적인 도구가 해로운 목표에 겨눠질 수 있다는 뜻입니다.
익명성 도구가 이중 용도인 이유, 그리고 VPN 사용자에게 의미하는 것
프라이버시 기술은 누가 누구와 대화하는지, 무엇을 말하는지를 숨기는 방식으로 작동합니다. 그 이점은 취재원을 보호하는 기자에게도, 서버를 보호하는 공격자에게도 똑같이 적용됩니다. VPN, Tor, 그리고 Yggdrasil 같은 오버레이 네트워크도 마찬가지입니다.
이러한 이중 용도의 현실은 정책 논쟁의 방향을 결정하기 때문에 중요합니다. 익명성 도구를 제한하려는 정부들은 종종 범죄적 오용을 근거로 듭니다. 우리는 다른 곳에서도 프라이버시 도구에 대한 압박을 목격했습니다. 예를 들어 러시아의 VPN 세금과 프라이버시의 비용에서 다룬 러시아의 압박이 그러합니다. ESET의 발견은 오용이 존재한다는 점을 상기시키지만, 그것이 일반 사용자들이 암호화를 포기해야 한다는 주장은 아닙니다.
이것이 당신에게 의미하는 것
일상적인 VPN 및 프라이버시 도구 사용자에게 이 보고서는 자신의 연결에 대한 새로운 위험을 의미하지 않습니다. 원문 어디에도 Yggdrasil 사용자나 VPN 고객이 영향을 받았다는 내용은 없습니다. 실질적인 시사점은 관점에 관한 것입니다:
- 프라이버시 도구가 위협은 아닙니다. 공격이 성공한 것은 곡물 회사가 침해당했기 때문이지, 암호화된 네트워크가 존재하기 때문이 아닙니다.
- 더 많은 감시를 예상하십시오. 네트워크 관리자들이 기업 네트워크에서 오버레이 네트워크 트래픽을 표시하거나 차단하기 시작할 수 있으므로, 직장이나 학교에서 제한을 경험할 수 있습니다.
- 자신의 기기 관리가 여전히 중요합니다. 기기의 악성코드는 어떤 채널로든 외부와 통신할 수 있습니다. 소프트웨어를 최신 상태로 유지하고 알 수 없는 첨부파일을 피하는 것이 공격자가 어떤 네트워크를 사용하든 당신을 보호합니다.
방어자들이 오버레이 네트워크 악용에 대응할 수 있는 방법
조직, 특히 물류, 농업 및 기타 공급망 부문의 조직은 모든 곳에서 프라이버시 기술을 금지하지 않고도 합리적인 조치를 취할 수 있습니다:
- 정상 상태를 파악하십시오. 아웃바운드 트래픽의 기준선을 설정하면 비정상적인 피어투피어 또는 오버레이 연결이 눈에 띄게 됩니다.
- 기본적으로 제한하십시오. 비즈니스에서 서버나 워크스테이션에서 오버레이 네트워크를 실행할 이유가 없다면, 이그레스 필터링으로 차단할 수 있습니다.
- 경계뿐 아니라 엔드포인트도 모니터링하십시오. 네트워크 트래픽을 검사하기 어려울 때도 엔드포인트 탐지는 의심스러운 프로세스를 찾아낼 수 있습니다.
- 신속하게 패치하십시오. 초기 접근은 종종 소프트웨어 취약점을 통해 이루어지며, 이는 다음 사항으로 이어집니다.
러시아 연계 행위자들은 숨겨진 인프라와 악용된 취약점을 결합하는 경향이 있습니다. 러시아 스파이들이 Zimbra 제로데이를 이용해 2FA 코드를 탈취한 방법에 관한 우리의 보고서는 그러한 수법의 나머지 절반을 보여줍니다. 내부자 및 인사 리스크도 중요하며, 이는 내부자 위협 심사 가이드에서 논의했습니다.
핵심 요점
ESET이 보고한 Yggdrasil 네트워크 악성코드 러시아 해커 활동에 관한 이야기는 단일 도구보다는 하나의 패턴에 관한 것입니다. 공격자들은 은폐를 위해 합법적인 프라이버시 인프라를 재활용합니다. 소프트웨어를 최신 상태로 패치하고, 기기에서 실행되는 항목에 주의하며, 프라이버시 도구와 소프트웨어 취약점 모두 국가 연계 그룹에 의해 악용될 수 있음을 이해하십시오. 취약점 측면이 어떻게 전개되는지 보려면 Zimbra 제로데이에 관한 우리의 보도를 읽고 방어를 다층화하십시오.
