중국 APT 조직 겔세뮴(Gelsemium), 리눅스 시스템 최초 공격 개시

중국의 APT 단체 겔세뮴, 처음으로 리눅스 기반 시스템 공격하기 시작

중국의 APT 단체 겔세뮴, 처음으로 리눅스 기반 시스템 공격하기 시작

 

• 주요 내용
  • 중국 기반 APT 그룹 겔세뮴
    • 기존에는 주로 윈도우 시스템 공격
    • 최초로 리눅스 기반 시스템을 목표로 한 공격 감행
  • 사용된 새로운 리눅스 멀웨어
    • 울프스베인(WolfsBane): 겔세비린(Gelsevirine, 윈도우용)의 리눅스 버전으로 추정
    • 파이어우드(FireWood): 기존 멀웨어 프로젝트우드(Project Wood)의 리눅스 버전
• 공격 방식
  • 멀웨어 배포 단계
    1. 웹 애플리케이션 취약점 활용 또는 드로퍼 사용
    2. cron 및 KDE 위장 바이너리로 초기 실행
    3. 루트킷(BEURK)을 이용한 은닉 및 지속성 확보
  • 주요 기능
    • 시스템 정보, 크리덴셜, 특정 파일 및 디렉토리 탈취
    • C&C 서버와 암호화된 통신(TEA 암호화)
• APT 그룹 간 협력 가능성
  • 파이어우드
    • 다른 중국 APT 조직들과의 연계 가능성 제기
    • 코드 및 통신 프로토콜에서 유사점 발견
  • 중국 APT 간 도구 및 기술 공유 추정
• APT 그룹의 전략 변화
  • 윈도우 보안 강화로 인한 리눅스 대상 공격 증가
    • 마이크로소프트의 VBA 매크로 기본 비활성화
    • 이메일 및 엔드포인트 보안 강화
  • 리눅스는 현재 보안 수준이 상대적으로 낮아 새로운 표적이 됨
• 결론
  • 리눅스 환경 보안 강화 필요
    • 엔터프라이즈 서버 및 클라우드 환경에서 취약점 관리와 모니터링 필수
  • APT 조직의 협력 추세 주목
    • 공격 도구 및 기술 공유 가능성을 염두에 두고 보안 체계 수립
  • 보안 업계는 멀웨어 탐지 및 대응 기술 지속 발전 필요
    • 루트킷 및 은닉된 멀웨어 탐지를 위한 고급 보안 솔루션 도입 중요