드래곤플라이의 타깃은 주요 발전업체와 석유 공급 업체, 에너지 산업 장비 업체들과 같은 에너지 관련 기업들이며, 대부분 미국과 스페인, 프랑스, 이탈리아, 독일, 터키, 폴란드에 위치해 있다.
드래곤플라이는 일련의 멀웨어 툴을 비롯해 풍부한 자원을 갖추고 있으며, 여러 벡터들을 통해 공격을 감행할 수 있는 능력을 보유하고 있다. 가장 특징적인 공격 활동은 산업제어시스템(ICS) 장비 공급업자들의 시스템에 침투해 소프트웨어를 원격에서 접속할 수 있는 '트로이 목마'로 감염시키는 것이다. 이는 ICS장비를 구동하는 컴퓨터에 소프트웨어 업데이트를 다운로드할 때 멀웨어를 설치하도록 했다. 이를 통해 목표로 삼은 기관이나 단체의 네트워크를 교두보로 제공할 뿐만 아니라, 감염된 ICS 컴퓨터에 파괴행위를 수행할 수 있는 수단을 제공한다.
이번에 발견된 드래곤플라이는 ICS컴퓨터를 타깃으로 한 최초의 대형 멀웨어로 알려진 '스턱스넷' 과 유사하다. 스턱스넷은 이란의 핵 프로그램을 목표로 한 반면, 드래곤 플라이는 산업스파이목적으로 여러 분야를 공격했으며, 필요하다면 파괴를 목적으로 하면서 지속적인 접근을 했던 것으로 보여진다.
드래곤플라이는 ICS 소프트웨어 업데이트 사이트를 감염시키는 것은 물론, 스팸 이메일과 워터링홀 기법을 이용해 타깃 조직을 공격한다. 드래곤플라이는 백도어 올드리아와 트로이 목마를 주요 멀웨어 툴로 사용하고 있으며, 백도어 올드리아는 공격자들이 직접 만들거나, 공격자들을 위해 맞춤형으로 만들어진 멀웨어로 보여진다.
드래곤플라이는 유럽과 미국의 에너지 산업을 대상으로 빠르게 활동 범위를 확대해온 것으로 전해졌다. 처음에는 목표한 기업의 담당자에게 이메일 피싱을 보내는 것으로 시작했으며, 워터링홀 공격 기법을 활용해 에너지 분야에서 근무하는 사람들이 방문 할 가능성이 높은 웹사이트를 손상시켜 익스플로잇 킷이 있는 웹페이지로 방문을 유도했다. 이 킷은 방문자의 컴퓨터에 멀웨어를 심어 세 가지 다른 ICS 장비 제조 업체가 보유한 합법적인 소프트웨어 번들을 트로이목마에 감염시켰다.
드래곤플라이는 국가가 지원하는 공격의 경우 나타날 수 있는 전형적인 특징을 모두 가지고 있다. 드래곤플라이는 여러 벡터를 통해 공격을 감행할 수 있으며, 이러한 과정을 거쳐 다수의 웹사이트에 피해를 입힐 수 있다. 장기간에 걸쳐 여러 에너지 기업을 노려왔으며, 사이버 스파이 활동이 주요 목적이지만 파괴 행위의 가능성도 배제할 수 없다.
악성코드를 분석 한 결과, 공격자들은 세계표준시(UTC) +4 시간대에 있는 국가의 아침 9시부터 저녁 6시사이에 주로 활동을 한 것으로 밝혀져 동유럽에 근거하고 있을 가능성이 높은 것으로 나타났다.
yccho@fnnews.com 조용철 기자
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지