2010.10.05 안철수연구소, ‘스턱스넷’ 상세 분석 및 대응책 발표

-이란 원전핵시설, 중국 기반시설 사이버 공격..전세계 비상

-산업자동화제어시스템 겨냥 악성코드 첫 사례..유사 사례 제작 예상

-산업자동화 시스템 전용 보안 솔루션 ‘트러스라인’으로 대응

 

글로벌 통합보안 기업인 안철수연구소(대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’)가 최근 전세계적 사이버 공격 이슈인 ‘스턱스넷(Stuxnet)’ 악성코드에 대한 상세 분석 정보와 대책을 발표했다.

 

‘스턱스넷’은 최초로 산업자동화제어시스템을 겨냥해 제작된 악성코드로서 USB와 네트워크 공유 취약점 등을 이용해서 전파된다. 악성코드가 실제 사이버 전쟁에 이용되는 상황에서 한 국가의 주요 기간 시설이 공격자에게 장악될 수 있음을 보여준 사례이다. 영화 ‘다이하드 4.0’에서 국가 기간망을 공격한 사이버 전쟁이 현실화했다는 점에서 국가 주요 기간 시설 및 산업 자동화 시설에 대한 안전 대책이 필요하다는 것을 보여준다.

 

‘스턱스넷’은 독일 지멘스사의 산업자동화제어시스템을 공격 목표로 제작된 악성코드로 원자력, 전기, 철강, 반도체, 화학 등 주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드를 입력해 시스템을 마비시킬 수 있다.

 

이란 부셰르 원자력핵발전소와 중국 1천여 개 주요 산업 시설을 비롯해 전세계 여러 국가에 감염이 확산된 것으로 보고되고 있다. 해외 보안 업체에 따르면 전세계 PC 수십 만 대가 감염됐다. 다만 일반 PC에서는 SCADA(supervisory control and data acquisition, 감시 제어 데이터 수집 시스템)시스템에 접속할 수 없기 때문에 감염만 될 뿐 산업자동화제어시스템을 직접 동작시켜 피해를 주는 일은 없다.

 

우리나라는 상대적으로 원자력 발전 시설과 첨단 자동화 산업 생산 시설이 많으므로 더욱 주의와 예방이 필요하다. 이에 따라 최근 행정안전부는 국내 피해에 대비해 독일 지멘스사 제어 시스템을 사용하는 산업 시설 40여 개를 대상으로 예방 및 대응 조치를 발표했다.

 

안철수연구소 시큐리티대응센터의 분석에 따르면 ‘스턱스넷’은 여러 개의 파일로 구성되며, 알려지지 않은 여러 개의 취약점을 이용해서 산업자동화제어시스템을 제어하는 PC에 드롭퍼(스턱스넷의 핵심 모듈 파일을 생성하는 하는 파일)가 실행된다. 이 드롭퍼는 정상 s7otbxdx.dll 파일의 이름을 변경해 백업하고 정상 s7otbxdx.dll 파일과 동일한 이름으로 자신의 파일을 생성한다. 이후 산업자동화제어시스템을 통합 관리하는 도구(소프트웨어)인 ‘Step7’을 실행하면 원래의 정상 파일이 아닌 스턱스넷이 실행된다.

 

‘Step7’의 기능은 s7otbxdx.dll 파일을 통해서 제어 PC와 산업자동화제어시스템 간에 블록 파일을 교환하는 것이다. 이 파일을 Stuxnet의 DLL 파일로 바꾸면 산업자동화제어시스템을 모니터링하거나 제어(수정 또는 악성 블록 생성)할 수 있다. 이후 공격자는 모터, 컨베이어 벨트, 펌프 등의 장비를 제어하거나 심지어 폭발시킬 수도 있다. 즉, 산업 시설이 관리자가 아닌 악의적 공격자에게 장악될 수 있는 것이다.

 

스턱스넷이 실행되는 환경 조건은 SCADA 시스템 안에 지멘스사의 ‘Step7’이 산업자동화제어시스템 제어용 PC에 설치되어 있고, 산업자동화제어시스템 타입이 6ES7-315-2 또는 6ES7-417이고, 산업자동화제어시스템 제어 PC의 운영체제(OS)가 윈도우인 경우이다.

 

또한 스턱스넷이 이용하는 취약점은 총 5개이다. 이 취약점 중 3개(USB, 공유 프린터, 공유 폴더를 통해 감염)는 이미 MS에서 보안 패치를 제공하지만 2개는 아직 발표하지 않았다(보충자료1).

 

 

스턱스넷의 피해를 막으려면 산업자동화시스템이 있는 곳에서는 안철수연구소가 최근 산업자동화 시스템에 최적화해 별도 개발한 전용 솔루션인 ‘안랩 트러스라인(AhnLab TrusLine)’을 설치해 방어할 수 있다(보충자료2). 또한 개인 및 기업의 일반 PC에는 V3 제품군(V3 Lite, V3 365 클리닉, V3 IS 8.0 등)을 설치해 예방/치료하는 것이 안전하다.

 

안철수연구소 조시행 연구소장은 “이번 스턱스넷은 최근 꾸준하게 보안전문가들이 제기한, 구체적인 목표를 가진 타깃형 사이버 공격이다. 악성코드가 전략적으로 이용될 가능성을 보여주는 구체적인 사례이며, 이 같은 공격은 더욱 늘어날 것으로 예상된다. 특히 SCADA 시스템과 같이 폐쇄적인 환경에서 악성코드가 감염되었을 경우 일반적인 안티바이러스로는 대응이 어려울 수밖에 없으므로, 화이트리스트(Whitelist) 기반의 전용 솔루션으로 대비하는 방안이 필요하다.”라고 강조했다.

 

<보충자료>--------------------------------------------------------------------------------------------------------------------

 

(1) 스턱스넷이 이용하는 취약점

-Microsoft Windows Shortcut 'LNK/PIF' Files Automatic File Execution Vulnerability((http://www.microsoft.com/korea/technet/security/bulletin/ms10-046.mspx) - USB를 통해 감염시킴

-Microsoft Windows Print Spooler Service Remote Code Execution Vulnerability(http://www.microsoft.com/korea/technet/security/bulletin/ms10-061.mspx) – 공유 프린터를 통해 감염시킴

-Microsoft Windows Server Service RPC Handling Remote Code Execution Vulnerability(http://www.microsoft.com/korea/technet/security/bulletin/ms08-067.mspx) - 공유 폴더를 통해 감염시킴

-Privilege escalation via Keyboard layout file – 아직 MS에서 보안 패치를 공식 발표하지 않았음

-Privilege escalation via Task Scheduler – 아직 MS에서 보안 패치를 공식 발표하지 않았음

 

(2) ‘안랩 트러스라인’의 특징과 기능

 

‘트러스라인’은 불필요한 프로그램 작동이나 악성코드 침입 등으로 시스템의 작동에 차질이 생기지 않도록 해주는 제품이다. 반도체/LCD/자동차 생산 라인 등의 산업용 시스템이나 백화점/할인마트/편의점 등의 판매 시스템의 안정적 운용을 보장해준다.

 

산업용 시스템을 운용하는 데는 기본적으로 OS(운영체제), 보안 솔루션, 시스템 전용 관리 솔루션이 필요하다. 그런데 이 프로그램들의 보안 패치, 업그레이드, 엔진 업데이트 및 패치 등의 과정에서 이상 증상이나 재부팅이 발생하면 시스템 작동이 불안정해진다. 또한 악성코드 침해로 인해 작업에 차질이 생기면 매출과 기업 신뢰도 하락으로 이어진다. 피해 복구를 위한 비용 지출, 생산성 저하 등 복구 과정에서 발생하는 문제 역시 심각하다.

 

‘트러스라인’은 이런 문제를 해결하고자 개발됐다. 관리자가 설정한 프로그램만 실행 가능하도록 하는, 이른바 ‘화이트 리스트’ 방식을 적용했다. 따라서 관리자가 아닌 일반 사용자의 웹 서핑, 불필요한 프로그램의 설치 등 시스템에 장애를 주는 행위를 할 수 없다. 또한 허용된 프로그램만 실행하는 방식이라 한번 설치한 후에는 신경 쓸 요소가 거의 없기 때문에 시스템 관리자의 업무 부하가 적다. 또한 설비 기기에 설치된 프로그램의 운영 여부만 체크하므로 리소스(CPU, 메모리 점유율)를 최소로 사용한다. 따라서 저사양 시스템에도 설치 및 운용이 가능하다.

 

또한 화이트 리스트 방식은 현존 악성코드는 물론 미발견 변종/신종 악성코드까지 막을 수 있다. 기존 백신 제품은 엔진에 포함된 악성코드 시그니처를 기반으로 악성코드 유무를 판단하기 때문에 사후 처리만 가능하다. 반면, ‘트러스라인’은 허용된 프로그램만 실행하게 함으로써 현존 악성코드뿐 아니라 향후 발생할 변종 및 신종 악성코드까지 원천적으로 막을 수 있다.

 

한편 ‘트러스라인’은 기존 일반적인 화이트 리스트 방식의 제품과도 차별된다. 즉, 다른 제품은 각 클라이언트 PC에 설치된 파일의 안전 여부를 PC용 백신으로 검증하는 데 반해 ‘트러스라인’은 관리 서버에서 검증한다. 따라서 클라이언트 PC용 백신을 추가로 설치하지 않아도 된다.

 

주요 기능은 악성코드로 인해 발생하는 이상 트래픽과 네트워크 장애 방지, 애플리케이션 제어, 파일 무결성 검사, 파일/폴더/레지스트리 변경 차단, 비허가 실행 코드 차단, USB 등 매체 제어, IP/Port 차단 등이다.