💥 전쟁이 나면 사이버보안은 OO가 된다?!

전쟁이 나면 사이버보안은 OO가 된다⁉️

러시아와 우크라이나 전쟁에서 사이버보안이 어떤 방식으로, 어떻게 활용됐는지 실제 사건들을 통해 살펴볼까요?

러시아-우크라이나 전쟁이 왜 일어났을까?

2022년 2월 24일 새벽 4시, 러시아의 우크라이나 침공이 시작되었어요. 금번 침공은 2014년 2월 20일에 발발한 우크라이나·러시아 전쟁의 연장선으로, 당시 우크라이나 내에 있는 러시아 자국민 보호라는 명분 하에 러시아가 크림반도를 점령하며 두 국가 간의 전쟁이 시작되었어요.

전쟁이 일어난 이유는 링크를 참고해주세요!

러시아와 우크라이나의 하이브리드 전쟁

우크라이나를 향한 러시아의 물리적 침공이 전면전에 돌입하면서 사이버 환경에서도 변화가 감지되기 시작했어요. 침공 이전부터 러시아는 기술력, 정치력, 경제력, 군사력 등 국가차원에서 지원할 수 있는 모든 수단을 이용하여 ‘하이브리드 전쟁(Hybrid Warfare)’을 수행하고 있어요.

러시아와 우크라이나가 아닌 제 3자의 등장  🚩

최근에는 ICT기술이 비약적으로 발전됨에 따라 비군사적인 공격기법에 사이버 해킹 등의 공격이 차지하는 비중이 높아지고 있으며 이러한 양상은 우크라이나·러시아 전쟁에서도 쉽게 볼 수 있었어요. 사이버전쟁이 발생되더라도 일반적으로 전쟁이 진행 중인 국가만 참여하는 것에 반해, 우크라이나·러시아 전쟁에서는 각국을 옹호하는 해커집단들이 참여한다는 점에서 기존 전쟁에서 볼 수 없는 독특한 공격형태를 띄고 있어요.

러시아를 지지하는 해커그룹 중 2021년을 강타한 콘티(Conti) 랜섬웨어 조직은 ‘자신들은 러시아 정부를 전적으로 지지하며, 러시아에 사이버 공격을 수행하는 누구든지 모든 수단을 동원해서 복수하겠다.’라는 공식 발표문을 전쟁 발발 직후인 2월 26일 발표했어요.

이와 같은 러시아 지지 해킹그룹에 대항하기 위해 우크라이나 부총리 미하일로 페도로프는 트위터를 통해 우크라이나 IT군대를 모집하는 글을 개제하면서 Hacktivist 그룹으로 유명한 어나니머스가 우크라이나를 지원하는 등 다수의 해커그룹들이 러시아·우크라이나의 사이버전에 참전했어요.

두 국가가 서로에게 어떤 사이버공격을 가했는지 확인해 볼까요?

러시아와 우크라이나의 서로를 향한 사이버 공격 🎯

주로 어떤 공격들이 이루어졌는지, 어떤 조직들이 가담했는지를 중심으로 분석해고자 해요.

먼저, 아래 영상을 시청하고 본문 내용을 읽는다면 이해가 더욱 수월하니 꼭 시청해주세요!

IT인이라면 친숙한 노마드코더, 니꼴라스님께서 쉽게 설명해주십니다 👍🏻

자, 이제 러시아와 우크라이나가 서로 어떤 공격을 수행하고 있는지 대략적으로 감이 잡히셨을 테니, 같이 더욱 자세한 내용을 살펴볼까요?

러시아 → 우크라이나

위 그림은 22년부터 23년까지의 핵심 공격 사례를 요약 한 것으로, 전쟁이 발발하기 전 22년 1월부터의 내용을 담고있어요.

오늘 살펴볼 공격은 악성코드가 랜섬웨어로 위장한, MBR 파괴형 악성코드인 WhisperGate wiper이에요.

MBR 파괴형 악성코드 (WhisperGate wiper)

WhisperGate wiper 공격은 랜섬웨어로 위장한 MBR 파괴형 악성코드로 타겟 장치의 작동을 불가능하게 만들도록 설계되었어요. 🫠 MBR은 Master Boot Record의 약자로, 컴퓨터가 부팅하기 위한 일련의 작업들이 저장되어 있어 이를 지우면 컴퓨터가 정상적으로 부팅할 수 없는 것이죠.

해당 공격으로 우크라이나의 외교부, 농림부, 교육과학부, 안보 및 국방부 등의 공공기관을 최소 15곳 이상의 웹 사이트를 공격했어요.

공격자는 공격 이후, 우크라이나 공공기관의 데이터를 탈취하여 해당 데이터를 공개하겠다고 밝혔지만, 우크라이나 정부 측은 그 데이터는 가짜이며 공격자가 우크라이나 국민들에게 ‘정부에 대한 신뢰 약화’를 야기하기 위한 목적이라고 반박했죠.

이 외에도 HermeticWiper, IsaacWiper, CaddyWiper, Industroyer2, SDelete, SharpWipe 등 독특한 와이퍼 악성코드를 사용하여 우크라이나 네트워크를 상대로 공격했어요.

해당 악성코드의 자세한 분석 내용은 링크를 참고해주세요!

데이터 유출

5600만 명의 우크라이나 국민의 개인식별정보가 담긴 데이터베이스가 딥웹에 유출되었어요.

딥웹 게시글에서는 우크라이나 시민 5,600만 명 이상의 개인 식별 정보가 포함된 데이터베이스가 공개되어 있었고, ‘성명, 생년월일, 주소’가 포함되어 있었어요. 다만 데이터의 출처는 불분명하다고 해요 🤔

러시아를 지지하는 해킹 그룹 ♟️

러시아의 대표 지지 세력으로는 ‘SandWorm’, ‘FancyBrear APT’, ‘Conti’ 가 있어요. 각 그룹 별로 수행한 대표적인 공격을 통해 전쟁에 어떻게 참여하고 있는지 살펴볼까요?

SandWorm

→ SandWorm 에 대한 분석 내용은 링크를 참고해주세요!

FancyBear APT

Conti

위 3그룹 외에도 많은 그룹(Solntsepek, InfoCentr, Cyber Army of Russia 등)과 개인이 러시아-우크라이나전에 참전하고 있어요. 러시아를 지지하는 해킹 그룹은 국제법에 위배되는 행위에 가담할 뿐만 아니라, 자신들을 상대로 소송을 진행 중인 형사 수사관과 검사를 표적으로 삼기도 했다고 해요.

이들은 러시아와 우크라이나간의 전쟁에서 각기 다른 방식으로 사이버 전쟁에 참여하고 있어요 🧐

사이버보안은 전쟁에서 ‘무기’가 된다.

러시아와 우크라이나 전쟁, 이란과 이스라엘 전쟁 등에서 사이버 보안을 무기화하여 공격하는 모습을 볼 수 있어요.

최근 북한이 러시아에 파병을 보내며 사실상 전쟁에 가담하면서 사이버보안 측면에서도 우려 섞인 목소리가 많이 들려오고 있어요. 만약 우리나라에 전쟁이 일어난다면 북한 해커들에 의한 사이버 공격이 예상되는데, 이에 대한 대비가 더욱 필요하다는 것이죠.

여러분은 어떻게 생각하시나요?

🐥 짹짹이의 소근소근

우리나라에서도 WhisperGate 악성코드와 유사한 형태의 공격을 당한 적이 있어요. 2013년에 발생한 ‘3.20 전산대란’ 들어보셨나요? ⚠️

3.20 전산대란도 MBR 파괴형 악성코드로 인해 국내 금융기관과 언론사 등의 전산망이 마비되었던 사건이에요. 정부는 당시(2013년 3월 20일 15:00) 사이버위기 경보를 총 5단계(정상→관심→주의→경계→심각) 중 2단계인 ‘관심’에서 3단계인 ‘주의’로 상향 조정하여 국방부와 각 군 본부 및 군단급 정보전 대응팀은 비상 전투준비태세에 돌입해 본격적인 대응채비에 나서기도 했어요. 해당 공격의 배후로 북한 정찰총국이 지목되었어요. 

이번주 해킹짹짹은 여기까지 입니다😊

다음 주에 만나요! 짹짹 🐥

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌