사물 인터넷 디바이스(이하 IoT)를 감염시켜 대규모 DDoS 공격을 일으킨 트로이목마 프로그램의 소스 코드가 온라인에 공개됐다. 봇넷 추적기관 맬웨어테크(MalwareTech)는 미라이(Mirai)라는 이름의 이 맬웨어에 의해 현재 12만 대의 디바이스가 감염되었고, 수준 3인 감염의 경우는 백오십만 대에 이른다고 추정하고 있다. 감염의 수가 날로 증가한 이유는 미라이의 소스 코드가 공개되어 계속해서 바이스러가 개발되고 있기 때문이다

이렇게 IoT를 대상으로 하는 디도스 공격이 날로 증가하고 있는 가운데 윈드리버가 미라이 바이러스의 감염 경로 및 제거 방안과 대처법을 소개했다.

일단 디바이스가 미라이 바이러스에 감염되면, 무작위로 인터넷에서 기본 인증 정보를 사용하는 열린 텔넷 포트가 있는 디바이스를 검색한다. 이러한 디바이스를 찾으면 이를 좀비로 감염시키고, 감염된 디바이스는 다시 더 많은 대상을 찾기 위해 인터넷 검색을 시작한다. 일부 디바이스는 치료되거나 보호되지만, 대다수 디바이스는 감염된 상태 그대로 남게 되며, 이는 영구적으로 감염된 디바이스가 된다.

디바이스를 치료했다고 해도, 재감염시킬 수 있는 다른 감염된 디바이스에 대한 면역 상태로는 볼 수 없다. 감염된 많은 디바이스가 감염 제거를 위해 업데이트되지 않고 방치되기 때문에 심각한 상황을 초래할 수 있다.

윈드리버는 미라이 바이러스를 제거하거나, 최소한 그 영향을 제한할 방법에 대해 아래와 같이 제안했다.

- 모든 디바이스의 치료
현실적으로 이는 불가능한 방법이다. 대부분의 디바이스 소유자는 디바이스가 감염되었는지도 모르고, 치료할 기술이나 능력이 없거나, 자신에게 직접 해를 입히는 것도 아니므로 해결할 의지도 없는 경우가 많다.

- 명령 및 제어 서버 제거
미라이 바이러스의 약점은 새롭게 감염된 디바이스가 명령 및 제어 서버를 통해 등록하여 지침을 다운로드 해야 한다는 점이다. 즉 감염된 디바이스가 아니라 감염된 서버를 필요로 하므로, 명령 및 제어 서버를 제거하면, 바이러스의 확산을 제한할 수 있다.

- 타깃 보호
최근의 IoT DDoS 공격에 대응하여, 보안 사이트인 krebsonsecurity.com은 공격을 피하기 위해 호스팅 회사를 변경했다. DDoS 공격은 새로운 것이 아니므로, 대상을 옮기는 것과 같이 이에 대응하여 위험을 완화할 수 있다.

궁극적인 해결 방법은 현재 감염되었거나 감염되었을 가능성이 있는 모든 디바이스를 치료하는 것인데, 이는 현실적으로 불가능하므로 감염을 완전히 제거할 수는 없다.

윈드리버는 미라이가 아니더라도, 소스코드가 공개되어 계속 바이러스가 개발되어 자체적으로 전파되는 몇몇 멀웨어가 IoT 디바이스를 감염시킬 수 있다고 전망했다. 또한 명령 및 제어 서버에 대한 의존성이 없어질 것도 예상할 수 있으며, 이러한 진화가 일어나면 바이러스의 제거는 더욱 어려워 질 것이라고 예측했다.

이번 바이러스는 DDoS 공격에 집중했지만, 다음에 등장할 멀웨어는 IoT 디바이스를 감염시켜 좀비 IoT 디바이스로 만든 후, 같은 네트워크에 있는 다른 시스템을 공격할 수도 있다.

윈드리버의 국내 산업 시장 및 IoT 사업 부문을 총괄하는 이주연 차장은 “IoT 좀비가 만연한 세상은 충분히 예측 가능한 미래이다. 이를 피하고 격리하는 것도 가능하겠지만, 네트워크가 변하고 새로운 디바이스가 배포되면 노출될 새로운 경로도 다시 열리게 된다. 감염으로부터 디바이스의 면역력을 키우는 것이 매우 중요하다”고 말했다.

윈드리버는 면역을 위한 첫 단계로 알려진 감염의 방식을 없애는 것을 제안했다. 텔넷과 같이 불필요한 서비스를 제거하거나 차단하고, 기본 인증 정보를 강력한 암호로 대체하고, 외부 엔드포인트로의 예상하지 못한 연결을 차단해야 한다.

하지만 앞으로의 미래를 예측했을 때, 진화된 바이러스가 악용할 수 있는 취약점을 보호해야 한다. 가장 위험한 25가지 CWE/SANS 소프트웨어 오류 (http://cwe.mitre.org/top25/)와 같은 도구를 유용하게 활용할 수 있다.

윈드리버는 디바이스 면역력 강화를 위해 자사의 IoT 플랫폼을 통해 다중 계층, 사전 통합 방어 기능을 제공한다.
- 감염된 실행 코드로부터의 보호를 위한 안전한 부팅(Secure boot) 및 초기화
- 인증 정보와 기타 민감한 정보를 보호하기 위한 유휴 데이터 암호화
- 위조 엔드포인트와 악성 연결 시도로부터의 보호를 위한 양방향 인증
- 민감한 정보를 보호하기 위한 통신 암호화
- 권한 에스컬레이션을 방지하기 위한 OS 기능 강화
- 예상하지 못한 외부 액세스와 외부 세상으로의 연결을 차단하는 방화벽
- 인증된 변경 내용을 그대로 지원하면서 변화하는 멀웨어를 차단하기 위한 보안 업데이트

이들 기능은 운영체제 통합되어 있고, 디바이스에서 불필요한 서비스를 제외시킬 수 있다. 또한 윈드리버는 보안 인증 정보를 만들고 배포하며, 하드웨어 보안 기능을 최적화하고, 보안 위협을 평가하고 보안을 테스트 하기 위한 도구와 프로세스를 비롯해 디바이스에 필요한 제품의 평가와 최적화를 위한 전문 서비스 조직을 운영하고 있다.

이향선기자 hslee@nextdaily.co.kr