사회공학과 악성코드·신종 공격

보안 장비가 아무리 튼튼해도 사람이 속아서 문을 열어 주면 소용이 없다. 이 문서는 사람의 심리를 노리는 사회공학(social engineering), 몰래 설치되어 해를 끼치는 악성코드를 정리한다. 신종 공격과 방어 쪽 용어는 다음 문서에서 다룬다. 시험은 짧은 정의를 주고 용어를 쓰게 하는 단답형이 대부분이다. 방어 관점의 개념만 다룬다.

사회공학과 사람을 노리는 공격

사회공학(social engineering)은 시스템의 허점 대신 사람의 신뢰와 심리를 파고들어, 상대가 스스로 보안 절차를 건너뛰게 만드는 침입 방법이다. 코드를 쓰지 않으므로 비기술적 공격으로 분류한다. 직원을 사칭한 전화로 비밀번호를 묻는 것이 전형적이다. 기술적 방어로는 막기 어려워서 보안 교육과 확인 절차가 대책이 된다.

용어	뜻
스피어 피싱(spear phishing)	한 사람이나 조직을 겨냥해 거래처·동료 메일처럼 꾸며 링크·첨부를 열게 함
스미싱(smishing)	SMS와 피싱의 합성어. 문자 속 링크로 개인 정보를 빼냄
큐싱(Qshing)	QR 코드로 악성 앱 설치나 가짜 사이트 접속을 유도
스케어웨어(scareware)	감염됐다고 거짓 경고를 띄워 불필요한 프로그램 구매를 유도
타이포스쿼팅(typosquatting)	주소 오타를 노려 비슷한 사이트 주소를 미리 등록. URL 하이재킹이라고도 함
워터링 홀(watering hole)	대상이 자주 가는 웹사이트를 미리 감염시켜 방문 때 감염
멀버타이징(malvertising)	온라인 광고를 통해 악성코드를 퍼뜨림. 멀웨어와 광고의 합성어

워터링 홀은 포식자가 물웅덩이 근처에서 먹잇감을 기다리는 모습에서 이름을 따왔다. 대상을 직접 공격하지 않고 대상이 믿고 찾는 곳을 오염시킨다는 점이 스피어 피싱과 다르다.

악성코드

악성코드(malware)는 사용자 몰래 설치되어 해를 끼치는 프로그램의 총칭이다. 스스로 퍼지는지, 무엇을 목적으로 하는지로 구분한다.

용어	핵심
바이러스(virus)	다른 프로그램을 감염시키며 자기 복제
웜(worm)	네트워크로 스스로 복제·전파, 부하로 시스템을 다운
트로이 목마(Trojan horse)	정상 프로그램으로 위장, 자기 복제 능력 없음
랜섬웨어(ransomware)	파일을 암호화하고 풀어 주는 대가로 돈을 요구
백도어(back door)	정상 인증을 거치지 않고 들어오는 비밀 통로
키로거(key logger)	키보드 입력을 몰래 기록해 비밀번호 등을 빼냄
루트킷(rootkit)	침입 흔적을 숨기고 백도어 등을 설치하는 도구 모음

백도어는 원래 개발자가 유지보수 편의로 남긴 통로가 지워지지 않아 생기기도 해서 트랩 도어(trap door)라고도 부른다. 찾아내려면 파일 무결성(integrity) 검사, 열린 포트 확인, 로그 분석, 그리고 실행하는 동안 그 파일 소유자의 권한으로 동작하는 SetUID 파일(공격자가 몰래 붙이면 일반 계정으로도 관리자 권한을 얻는다)이 새로 생기지 않았는지 검사한다.

좀비와 봇넷

좀비 PC(zombie PC)는 악성코드에 감염되어 공격자의 원격 조종을 받는 컴퓨터다. 이런 좀비 PC가 네트워크로 묶인 집단을 봇넷(botnet)이라 하고, 공격자가 이들에게 명령을 내리는 서버를 C&C 서버(Command and Control server, 명령 제어 서버)라 한다. 봇넷은 주로 서비스 거부 공격(DoS, Denial of Service)을 여럿이 함께 하는 분산 서비스 거부 공격(DDoS, Distributed DoS)이나 스팸 발송에 쓰인다. 그래서 C&C 서버와의 통신을 끊으면 봇넷 전체를 무력화할 수 있다.

시험 포인트

• 사람의 신뢰를 이용하는 비기술적 침입 → 사회공학.
• 대상이 자주 가는 사이트를 먼저 감염 → 워터링 홀. 주소 오타를 노린 유사 도메인(domain) 선점 → 타이포스쿼팅.
• 파일 암호화 후 몸값 요구 → 랜섬웨어. 정상 프로그램으로 위장, 자기 복제 없음 → 트로이 목마.
• 감염 PC들의 네트워크 → 봇넷. 명령 서버 → C&C 서버. 백도어 탐지 → 무결성 검사, 열린 포트, 로그, SetUID 파일.