새로운 공격 단체 갬블포스, SQL 주입 취약점을 집중적으로 공략 (21-12 32주차)

[보안뉴스 문정후 기자] 아태 지역의 조직들을 노리는 새로운 공격 단체가 발견됐다. 이들의 주요 수법은 ‘SQL 주입’으로 특별할 것이 없다. 사용하는 도구도 일반적으로 누구나 구할 수 있는 오픈소스 모의 해킹 도구로, 이러한 측면에서도 특별할 것이 없다. 보안 업체 그룹IB(Group-IB)가 지난 9월 처음으로 발견했는데, 이들의 표적이 현재까지 도박 업체인 것을 감안해 갬블포스(GambleForce)라는 이름을 붙였다고 한다. 그렇지만 정부 기관, 도소매 업체, 여행 산업, 구인 구직 포털 등도 이들의 공격에 당했다.

 

그룹IB가 공격자의 서버에서 발견한 오픈소스 모의해킹 도구

1. dirsearch : 숨겨진 파일과 디렉토리를 찾아주는 도구
2. redis-rogue-getshell : 레디스가 설치된 환경에서 원격 코드 실행을 가능하게 해 주는 도구
3. sqlmap : SQL 취약점을 찾아서 익스플로잇 해 주는 도구
4. 코발트 스트라이크(Cobalt Strike) : 최초 침해 후 여러 행위 실행

 

출처: https://m.boannews.com/html/detail.html?tab_type=1&idx=124855

새로운 공격 단체 갬블포스, SQL 주입 취약점을 집중적으로 공략

 

느낀 점: 그룹 IB가 발표한 바에 따르면 갬블포스라는 단체에게 당한 곳은 최소 20군데가 넘으며, 호주, 인도네시아, 필리핀, 인도, 한국이 특히 많이 당했다고 발표했다. SQL 주입 공격은 개발자나 보안 전문가들은 누구나 한 번쯤 들어 봤을만한 취약점이다. 이러한 오픈소스 도구들만으로도 최소 20군데가 넘는 곳의 취약점을 찾을 수 있다는게 조금 흥미로웠고, 주로 도박 업체를 노리지만 정부 기관이나 다른 산업 업체들에게서도 피해가 발견되고 있다고 한다. 또한 공격자들의 C&C 서버가 파일을 로딩할 때 중국어로 된 프레임워크가 호스팅 된 곳에서 파일을 가져온다고 하니 중국의 공격단체도 의심해 볼 필요가 있겠다.