“중국 연관 추정 해커 그룹, 한국 400대 시스템 통제” 작성일 05-27 125 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">중국 연관 추정 해커 그룹 10년 이상 72개국 2000대 시스템 조용히 통제</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Yl9KTTBWp1"> <figure class="figure_frm origin_fig" contents-hash="1e25459b67c9a0a9c64f24c75ebcf20ba1f92551be4bd06ee89f53f841f4c0da" dmcf-pid="GS29yybYu5" dmcf-ptype="figure"> <p class="link_figure"><img alt="사진은 기사의 이해를 돕기 위한 이미지.[123RF]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202505/27/ned/20250527104211693ooad.jpg" data-org-width="1280" dmcf-mid="fJhmQQwMud" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202505/27/ned/20250527104211693ooad.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 사진은 기사의 이해를 돕기 위한 이미지.[123RF] </figcaption> </figure> <p contents-hash="7e850266d0f872ff971c2f8680072050360f5ce9308acbd674391656b040540d" dmcf-pid="HvV2WWKG7Z" dmcf-ptype="general">[헤럴드경제=박세정 기자] 중국과 연관된 것으로 추정되는 해커 그룹이 10년 이상 전 세계 2000대의 감염된 시스템을 조용히 통제해오고 있던 것으로 드러나 충격을 주고 있다. 이 중 국내 감염 시스템도 400여대에 달하는 것으로 나타났다.</p> <p contents-hash="ad70c99afe3b23011ce452439a6bb68b31d31bdcec62083af5df5e290e8e4201" dmcf-pid="XaZXAAGkuX" dmcf-ptype="general">27일 안랩과 국가사이버안보센터(NCSC)는 중국과 연관된 것으로 추정되는 APT(지능형 지속 공격) 그룹 ‘TA-ShadowCricket(섀도우 크리켓)’의 사이버 공격 활동을 공동으로 추적·분석한 결과 이같이 확인됐다고 밝혔다.</p> <p contents-hash="d3c35eeaa53223378a5810ca2a065c318719c1c30f64fcb1967fa5ffa6a7c7f0" dmcf-pid="ZN5ZccHEUH" dmcf-ptype="general">이번 결과를 담은 보고서에는 안랩과 NCSC가 2023년부터 최근까지 ‘TA-ShadowCricket’의 활동을 공동으로 추적한 내용이 담겨 있다.</p> <p contents-hash="0dc907b65d6174c3a826019c091ce1fc561ab09afce1610dcbe92a0a08632b6e" dmcf-pid="5j15kkXDzG" dmcf-ptype="general">보고서에 따르면 ‘TA-ShadowCricket’은 2012년 경부터 활동을 시작한 것으로 추정된다. 중국 연관성이 의심되나 국가 지원 여부는 불확실한 APT 공격 그룹이다. 이들은 관련 정보가 거의 없어 보안 업계에서도 상대적으로 주목을 받지 않았던 조직이다.</p> <p contents-hash="0b702b94a86fb00d041ec594e9cbe40f52471f58004c5386a6fd9a77bd3d6dfd" dmcf-pid="1At1EEZw0Y" dmcf-ptype="general">추적 결과 ‘TA-ShadowCricket’은 외부에 노출된 윈도우 서버의 원격 접속(RDP) 기능이나 데이터베이스 접속(MS-SQL)을 노려 시스템에 침투해, 전 세계 2000대 이상의 감염된 시스템을 조용히 통제해오고 있었던 것으로 나타났다.</p> <p contents-hash="9fb502609b04f51221c1e3d6b3a0bfd5c63272c19aa0865a9a329de4409c068b" dmcf-pid="tcFtDD5rFW" dmcf-ptype="general">RDP는 다른 컴퓨터에 원격으로 접속할 수 있도록 해주는 윈도우 기능이다. MS-SQL는 마이크로소프트에서 제공하는 데이터베이스 관리 시스템이다.</p> <figure class="figure_frm origin_fig" contents-hash="a93d14c967b63cde6b52ce91e26a9df5da31cd46c1c86f7e446532dc5bb31159" dmcf-pid="Fk3Fww1m7y" dmcf-ptype="figure"> <p class="link_figure"><img alt="[게티이미지뱅크]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202505/27/ned/20250527104212269nlpt.jpg" data-org-width="724" dmcf-mid="49vw66EQue" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202505/27/ned/20250527104212269nlpt.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [게티이미지뱅크] </figcaption> </figure> <p contents-hash="fd5d4eb5b11e90cf5de5db15c7de62e703f506b96f36fb58a2814cc20acc1d5e" dmcf-pid="35RMFFQ0FT" dmcf-ptype="general">안랩과 NCSC는 전 세계 72개국 2000여 대의 피해 IP를 확인했다. 한국 457대가 확인됐다. 한국 외에 IP 기준 국가별 분포는 중국 895대, 인도 98대, 베트남 94대, 대만 44대, 독일 38대, 인도네시아 37대, 태국 31대, 미국 25대 등 총 72개국이다. 이들 국가의 소재 장비를 대상으로 IRC 기반 봇넷을 구축한 정황이 확인됐다.</p> <p contents-hash="8e147da821d7eae646294639433fd89c5daa663f58d53b7adf02a71f25e75a1e" dmcf-pid="01eR33xpFv" dmcf-ptype="general">2020년 7월부터 2025년 2월까지 RDP로 접속해 시스템을 제어했으며, 이 중 일부는 중국 소재 IP에서 접속한 것으로 확인됐다.</p> <p contents-hash="91d5a2eedca429b28f942427b01cb2d78cfe89fac59f47cfd0e57ff062021793" dmcf-pid="ptde00MU7S" dmcf-ptype="general">이와함께 TA-ShadowCricket 그룹이 시스템 침해 후 사용한 악성코드와 도구는 크게 3단계로 구별됐다.</p> <p contents-hash="c2349509bd8196936c19883609c29509e7f139a75ac41bdbf127da1bd8503956" dmcf-pid="UFJdppRuUl" dmcf-ptype="general">1단계는 악성코드를 다운로드 및 설치하는 과정이며, 다운로더, 명령어 실행 툴들이 사용된다. 2단계는 주로 백도어(Backdoor) 류를 설치하며, 3단계는 추가 악성행위를 위한 악성코드 설치로 나눌 수 있다고 분석했다.</p> <p contents-hash="764de2a9c6b3f3893e59d71c459d99c9473ffe18d47f12140ac5471c90728153" dmcf-pid="u3iJUUe7zh" dmcf-ptype="general">이번 분석을 주도한 이명수 안랩 ASEC A-FIRST팀 팀장은 “이번 공격 그룹은 수천 개의 피해 시스템과 C&C 서버(공격자가 악성코드를 원격으로 조종하기 위해 사용하는 서버)를 13년 이상 운영하면서도 조용히 활동해 온 보기 드문 사례”라며 “이처럼 장기간 통제되고 있는 감염 시스템은 공격자의 의도에 따라 언제든 실제 공격에 활용될 수 있는 만큼, 악성코드 제거와 C&C 서버 무력화 등 선제적인 대응이 무엇보다 중요하다”고 말했다.</p> <p contents-hash="48434ba84ffe97307db3177bdebf25fd5b3296d2d5ed7aa8119cab194aa0527f" dmcf-pid="70niuudzzC" dmcf-ptype="general">이 밖에도 보고서에는 해커들이 사용한 악성 프로그램의 종류, 감염 방식, 피해 범위 등 구체적인 정보가 포함됐다.</p> </section> </div> <p class="" data-translation="true">Copyright © 헤럴드경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 “기업 시스템 위협하는 ‘정보 탈취형’ 악성코드 증가” 05-27 다음 고학수 개보위원장 "SKT 사고로 국민 불안 상당…정보보호, 핵심 투자로 인식해야" 05-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
