Log4j 소프트웨어 중대 결함 北·中 해커들 악용…MS 경고

북한·중국·이란·터키 정부와 연계된 해커들 결함 이용 공격 나서

CISA국장 "지금까지 본 가장 심각한 결함"…분당 100건 넘게 해킹

사이버보안회사 "결함 해결에 수년 걸릴 것…기업들에 시한폭탄"

[자카르타(인도네시아)=AP/뉴시스]지난 9월20일 인도네시아 자카르타의 한 주택에서 한 남성이 해커 커뮤니티 웹사이트를 방문하고 있다. 북한과 중국, 이란, 터키 정부와 연계된 해커들이 전 세계 거대 기술회사들이 사용하는 소프트웨어의 중대한 결함을 이용하고 있으며, 이 결함은 인터넷 전반에 위험을 초래할 수 있다고 마이크로소프트(MS)가 경고했다고 CNN이 15일(현지시간) 경고했다. 2021.12.16

[서울=뉴시스]유세진 기자 = 북한과 중국, 이란, 터키 정부와 연계된 해커들이 전 세계 거대 기술회사들이 사용하는 소프트웨어의 중대한 결함을 이용하고 있으며, 이 결함은 인터넷 전반에 위험을 초래할 수 있다고 마이크로소프트(MS)가 경고했다고 CNN이 15일(현지시간) 경고했다.

MS는 14일 오후 블로그 포스트에 "외국 해킹 그룹의 활동은 취약성에 대한 실험, 기존 해킹 도구와의 통합, 그리고 목적 달성을 위한 목표물에 대한 착취를 포함한다"고 밝혔다. MS는 해커들의 어디를 표적으로 삼았는지 밝히지 않았으며, 대변인도 이에 대해 언급하지 않았다.

이는 최근 밝혀진 소프트웨어 결함의 가장 최근의 여파인데, 미 국토안보부 산하 사이버보안·인프라보안국(CISA)은 이 결함이 전세계 수억 대의 기기에 영향을 미칠 수 있다며 모든 연방 및 민간 기관들에 위협에 대응해 소프트웨어를 업데이트하도록 명령했다.

MS 등 보안업체들에 따르면 이 취약성을 이용한 이란 해킹 그룹은 랜섬웨어를 배포한 전력이 있다. 또 올해 초 백악관이 무모하다고 비난한 MS 익스체인지 이메일 소프트웨어에 대한 해킹 캠페인의 배후는 중국 해킹 그룹이다.

응용프로그램의 정보 기록에 사용하는, 'Log4j'로 알려진 자바 기반 소프트웨어에 중대한 결함이 있어 애플, 구글, 오라클, 시스코, 아마존 웹 서비스, IBM 등 거대 기술 기업들이 영향을 받았다.

미 관리들은 소프트웨어 버그에 대해 매우 경계하고 있지만, CISA의 고위 관계자 에릭 골드스타인은 연방 네트워크가 중대한 결함이 있는 소프트웨어를 이용했다는 어떤 증거도 갖고 있지 않다고 말했다.

사이버 보안회사 맨디언트의 존 헐트키스트 정보분석 담당 부사장은 "우리는 중국과 이란의 국가 행위자들이 이 취약성을 활용하는 것을 보았고, 다른 국가 행위자들도 그렇게 하거나 그렇게 할 준비를 하고 있을 것으로 예상한다"고 말했다. 그는 "이 국가 행위자들이 당분간 지속될 수 있는 후속 활동을 위해 바람직한 네트워크에 발판을 마련하기 위해 빠르게 움직일 것으로 본다"고 덧붙였다.

젠 이스털리 CISA 국장은 이 결함에 대해 "지금까지 보아온 결함들 가운데 가장 심각한 결함 중 하나"라며 "점점 더 많은 해커들이 이 결함을 이용하려 하고 있다"고 말했다.

사이버 보안회사 체크포인트에 따르면 14일 현재 분당 100건이 넘는의 해킹 시도가 발생하고 있다.

또다른 보안회사 트러스티드섹의 데이비드 케네디 최고경영자(CEO)는 "이 결함을 해결하는데 수년이 걸릴 것이다. 이는 기업들에는 시한폭탄이다"라고 말했다.

Log4j는 온라인에서 사용되는 가장 인기 있는 로깅 라이브러리 중 하나로, 소프트웨어 개발자에게 문제 해결, 감사 및 데이터 추적 같은 다양한 목적에 사용될 활동의 기록을 작성할 수 있는 방법을 제공한다. 오픈 소스이면서 무료이기 때문에 라이브러리는 기본적으로 인터넷의 모든 부분에 관련된다.

Log4j를 직접 사용하지 않더라도 사용하는 오픈 소스 라이브러리 중 하나가 Log4j에 의존하기 때문에 여전히 취약한 코드를 실행하고 있을 수 있다.

전문가들은 특히 해커가 회사의 컴퓨터 서버에 쉽게 접근해 네트워크의 다른 부분에 침입할 수 있기 때문에 이 취약성을 우려하고 있다. 케네디에 따르면 취약점을 찾거나 시스템이 이미 손상되었는지 확인하는 것도 매우 어렵다.


◎공감언론 뉴시스 [email protected]