마에스트로포렌식, 실전 침해사고 조사 재현…“통합 디지털 포렌식으로 공격 전 과정 복원”

카드사 해킹에 악용된 ‘오라클 웹로직 서버 취약점’ 기반 공격 시연
‘마에스트로 위즈덤’으로 침해 흔적 통합 분석 지원

마에스트로포렌식(대표 김종광)은 14일 인섹시큐리티 서울 독산 교육센터에서 실무 중심의 디지털 포렌식·침해사고 대응 특강을 열고, 취약점 기반 공격 재현과 포렌식 시연을 통해 실제 사고 흐름과 대응 전략을 상세히 소개했다.

이번 특강에서 마에스트로포렌식은 공격자의 침투·확산·지속성 확보·데이터 접근까지 이어지는 전체 공격 행위를 최근 발생한 해킹 사고 사례를 기반으로 시연하고, 이후 디지털 포렌식 기술로 이를 어떻게 복원하는지를 보여줬다.

카드사 해킹한 오라클 웹로직 취약점 악용한 공격 재현

이날 시연의 중심은 최근 발생한 카드사 해킹 사고에서 주요 원인으로 지목된 오라클 웹로직(Oracle WebLogic) 서버의 CVE-2017-10271 취약점이었다. 마에스트로포렌식 연구진은 “해당 공격은 ‘웹로직 서버(WLS) 보안 구성요소’의 입력값 검증 미흡으로 발생하는 원격코드실행(RCE) 취약점을 노린 것”이라며 “공개된 지 7년이 지났지만 패치되지 않은 환경이 많아 계속해서 공격의 대상이 되고 있다”고 분석했다.

마에스트로포렌식 연구진은 해당 취약점과 동일한 웹로직 서버 환경을 복제한 뒤, 공격자가 사용하는 파이썬 기반 익스플로잇 코드를 적용해 실제 악용 과정을 재현했다. 공격 스크립트가 전달되자마자 원격 명령이 실행되며 서버 제어권이 넘어갔다. 연구진은 “이 시점에서 이미 공격자는 내부 명령을 수행할 수 있는 기반을 확보한다”고 설명했다.

초기 침투 이후에는 공격자들이 실제로 활용하는 방식 그대로 코발트스트라이크(Cobalt Strike, 보안 전문가들이 모의해킹을 위해 사용하는 상용 공격 시뮬레이션 도구)를 연동해 ▲내부 권한 탈취 ▲계정 해시 수집 ▲골든티켓 생성 ▲추가 서버로 공격 확산 등 단계를 몇 가지 조작으로 시연했다. 별도의 악성 파일 없이 시스템 내장 도구만을 사용하는 LOTL(Living Off The Land) 공격도 함께 소개하며 탐지의 어려움을 강조했다.

‘마에스트로 위즈덤’ 기반 통합 분석…흩어진 로그를 하나의 흐름으로

공격 시연 이후 이어진 포렌식 시연에서는 마에스트로포렌식의 디지털 포렌식 플랫폼 ‘마에스트로 위즈덤(MAESTRO WiSDOM)’이 공격 흔적을 자동 분석하는 과정이 공개됐다. 위즈덤은 윈도우·맥·리눅스·라이브·리모트·모바일 포렌식 모듈을 기반으로 하고, 침해사고 대응 전용 플랫폼 ‘위즈덤(WiSDOM Cyber)’로 통합 운영된다.

위즈덤은 서버에 삽입된 웹셸(WebShell) 파일 흔적을 자동 수집하고, 정상 프로세스에 악성 코드를 삽입한 프로세스 인젝션(Process Injection) 기록, 관리자 권한 탈취 과정에서 남은 권한 상승 로그, 시스템에 입력된 명령 실행 이력(Command History) 등을 순서대로 배열해 공격 흐름을 시각적으로 재구성했다.

또한 공격 과정에서 생성된 ‘아티팩트(Artifact·공격자나 시스템이 남긴 침해 흔적)’를 자동 탐지해 새 계정 생성, 서비스 설정 변경, 비정상 네트워크 연결 등 주요 지표를 분리해 보여줬다. 데이터베이스(DB) 접근 여부는 DB 접근 이벤트 로그로 표시됐고, LOTL 공격 중 수행된 키로깅 및 입력값 변조  흔적은 입력 기록 변화로 복원됐다.

이처럼 서로 다른 형태의 로그와 시스템 흔적이 한 화면에서 시간순으로 정렬되자, 공격자가 어디서 시작해 어떤 과정을 거쳐 공격을 내부로 확산했는지 전체 경로가 명확하게 드러났다.

또한 연구진은 위즈덤을 주요 타사 포렌식 도구들과도 비교 설명했다. 기존 도구들이 파일 분석·기본 타임라인 등 일부 기능 중심이라면, 위즈덤은 메모리 분석·암호파일 복호화·데이터 카빙(삭제·파편파일 복구)·DB·이벤트 로그·애플리케이션 로그 분석까지 단일 플랫폼에서 처리할 수 있다는 차별점을 강조했다.

아울러 ▲웹 애플리케이션 취약점을 자동으로 점검하는 HCL소프트웨어 웹 취약점 진단 도구(DAST·IAST·SAST) ▲기업 전반의 취약점을 평가하는 래피드7의 넥스포즈 엔터프라이즈(Rapid7 Nexpose Enterprise) ▲모의해킹 도구 메타스플로잇 프로(Metasploit Pro) ▲자동화 침투 테스트 솔루션인 포트라의 코어 임팩트 엔터프라이즈(FORTRA Core Impact Enterprise) ▲최신 공격 전술을 재현하는 코발트 스트라이크(FORTRA Cobalt Strike) ▲보안 솔루션 우회 공격을 테스트하는 아웃플랭크 시큐리티 툴링(Outflank Security Tooling) ▲멀티 엔진 기반 악성코드 정밀 진단 솔루션 옵스왓 메타디펜더(OPSWAT MetaDefender) ▲동적 악성 행위 분석 플랫폼 조샌드박스(JoeSandbox) 등 다양한 글로벌 보안 솔루션과의 연동 구조도 함께 설명했다. 마에스트로포렌식은 이들 도구와의 통합 활용을 통해 공격·탐지·분석 단계 전체를 아우르는 대응 체계를 구축할 수 있다는 설명이다.

김종광 마에스트로포렌식 대표는 “요즘 공격은 파일리스·LOTL·모의해킹 도구 악용이 결합된 복합적인 공격 구조라 기존 방식만으로는 대응이 어렵다”며 “마에스트로 위즈덤은 취약점 진단부터 악성코드 분석, 침해사고 포렌식까지 이어지는 전체 흐름을 하나의 플랫폼에서 연결하도록 설계한 솔루션이다. 실제 사고가 일어났을 때 ‘공격자가 어디서 시작해 어디까지 갔는지’를 빠르게 확인할 수 있어 기업 실무자들에게 큰 도움이 될 것”이라고 강조했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network