제대로 실행된 APT의 예로 대략 2009년 초에 시작된 캠페인인 APT10을 간략히 살펴보겠습니다. 잠재적으로 역사상 가장 오래 지속된 사이버 보안 위협 중 하나인 APT10은 최근 일부 일본 기업을 비롯한 다양한 국가의 여러 산업 분야를 대상으로 관리형 서비스 공급업체를 통해 기업을 공격하여 대량의 데이터를 훔쳤으며 그 피해 수준은 확인이 불가능합니다.

이러한 공격은 2016년 말부터 시작되었으며 PwC UK와 BAE Systems에 의해 발견되었습니다. 이 캠페인에 대한 공동 보고서인 Operation Cloud Hopper에서 조직들은 APT10으로 인한 전체 피해 범위를 결코 가늠할 수 없다는 사실을 쉽게 인정합니다.

다음은 이 조직들이 APT10에 대해 알게 된 몇 가지 주요 사항을 보고서에서 발췌한 것입니다.

• 이 캠페인은 중국에 소재한 위협 행위자가 오케스트레이션했을 가능성이 높습니다.
• 이 공격은 2009년 또는 그 이전에 시작되었으며 시간이 지남에 따라 다양한 유형의 멀웨어를 사용하여 전례 없는 규모의 액세스 권한을 확보합니다.
• APT10 공격자는 공격의 규모를 키우고 기능을 향상하는 데 도움이 되는 새로 개발된 지능형 툴을 사용하여 공격 방법을 지속적으로 발전시킵니다.
• 대부분의 APT 공격과 마찬가지로 APT10은 지적 재산과 중요 데이터를 대상으로 합니다.
• PwC UK와 BAE는 위협 행위자의 직원과 리소스가 빠른 속도로 증가하고 있으며, 고도로 숙련된 공격자로 구성된 여러 팀이 지속적으로 활동하고 있다고 판단합니다.

* APT(지능형 지속 공격)에 노출되었다는 5가지 신호

점점 더 많은 APT가 발견됨에 따라 보안 조직 역시 이 은밀한 위협을 발견하는 데 더욱 능숙해지고 있습니다. 진화하는 접근 방식 중 하나는 위협 헌팅으로, 혁신적인 기술과 인간의 지성을 사전 예방적이고 반복적인 접근 방식으로 결합하여 표준 엔드포인트 보안만으로는 놓칠 수 있는 공격을 식별합니다.

침해를 발견하는 데는 평균 150일이 소요됩니다. 그러나 위협 헌팅을 통해 조직은 필터링되지 않은 과거의 엔드포인트 데이터를 관찰하여 비정상적인 동작과 이상 활동 간의 관계를 발견함으로써 공격 시퀀스의 초기 단계에서 APT와 같은 공격을 발견할 수 있습니다.

위협 헌터는 일련의 혁신적인 기술 툴, 위협 인텔리전스 및 인간의 통찰력을 바탕으로 헌팅을 시작합니다. 그런 다음 반복적인 검색을 통해 근본 원인을 파악하여 헌팅 프로세스를 구체화합니다. 그러고 나면 위협을 차단하고 획득한 통찰력과 인텔리전스를 사용함으로써 위협에 대응하고 이를 통해 향후 환경을 보호합니다.

• 먼저 위협 헌터는 특정 위협의 알려진 특성과 더불어 잠재적인 공격 시퀀스에 대한 인간의 통찰력을 사용할 수 있습니다. 헌터는 모든 엔드포인트 활동을 모니터링, 기록, 저장하면서 동시에 환경을 검색하는 툴을 사용하여 일련의 반복적인 검색을 시작할 수 있습니다.
• 예를 들어 PwC UK와 BAE Systems는 공격자가 Outlook을 사용하는 e-메일 피싱 캠페인을 통해 전달된 악성 Excel 파일을 사용한다는 사실을 발견했습니다. 또한 연구원들은 이러한 파일을 열면 새 파일이 임시 폴더에 저장되고 이 파일이 C2 리스너 역할을 하여 8080 포트를 통해 전송된다는 사실도 발견했습니다.
• 초기 검색은 많은 양의 데이터를 반환할 수 있으므로 위협 헌터는 일반적으로 검색 범위를 좁혀야 합니다. APT10 위협의 경우 민감하고 중요한 데이터를 보유하고 있는 HR 머신이 하나의 검색 기준이 될 수 있습니다. 다음으로 위협 헌터는 알려진 인텔리전스를 사용하여 Outlook e-메일의 첨부 파일로 제공된 Excel 파일을 찾아 검색 범위를 더욱 좁힐 수 있습니다. 다음 논리적 검색 기준은 둘 이상의 연결이 포함된 네트워크 연결을 검색하여 발견할 수 있는 명령 및 제어 연결입니다.
• 이렇게 하면 더 작은 데이터 세트가 생성되어 악성 임시 파일을 노출시키는 프로세스 분석 트리로 표시될 수 있습니다. 일단 파악하고 나면 이 파일이 8080 포트를 통해 네트워크 연결을 생성하려고 시도했는지 추가로 추적할 수 있습니다.
• 이 일련의 활동을 통해 이 환경에서 활성 APT10 공격이 발생했음을 확인할 수 있습니다. 위협 헌팅 및 고급 차세대 안티바이러스 툴을 사용하면 호스트 컴퓨터에서 공격을 격리하여 네트워크에서 제거할 수 있습니다. 또 다른 옵션은 해시 값을 차단하여 실행을 막는 것입니다.
• 위협 헌터의 마지막 활동은 향후 공격으로부터 환경을 보호하는 것입니다. 이는 위에서 설명한 쿼리 순서를 일반화하고 확장하여 감시 목록을 만드는 방식으로 수행됩니다. 보안 툴은 이러한 활동을 식별하고 자동 e-메일 알림을 전송하여 즉시 교정 조치를 취할 수 있도록 지원합니다.