Fuxnet ICS 악성코드

정보 보안 연구원들은 최근 우크라이나 해커들이 러시아 지하 인프라 회사에 대한 공격에 배포한 ICS(산업 제어 시스템)를 표적으로 삼은 악성코드의 한 형태인 Fuxnet을 분석했습니다.

우크라이나 보안 기관과 연계된 것으로 알려진 해킹 집단 블랙잭(Blackjack)은 여러 중요한 러시아 기관에 대한 공격을 감행한 책임이 있다고 주장했습니다. 그들의 표적에는 인터넷 서비스 제공업체(ISP), 유틸리티, 데이터 센터, 심지어 러시아 군대까지 포함되어 있어 상당한 피해를 입히고 민감한 데이터를 추출했습니다.

더욱이 블랙잭 해커들은 수도, 하수, 통신 시스템과 같은 지하 인프라를 감독하는 모스크바 소재 회사인 Moscollector에 대한 공격 혐의에 대한 구체적인 내용을 공개했습니다.

Fuxnet 악성코드는 공격 작전에 배포됩니다

해커들에 따르면 러시아의 산업용 센서와 모니터링 인프라가 작동하지 않는 것으로 나타났습니다. 이 인프라에는 원격 센서 및 IoT 컨트롤러로 구성된 광범위한 네트워크와 함께 가스, 물, 화재 경보 및 기타 다양한 시스템을 감독하는 NOC(네트워크 운영 센터)가 포함됩니다. 해커들은 데이터베이스, 이메일 서버, 내부 모니터링 시스템, 데이터 저장 서버를 모두 파괴했다고 주장했습니다.

게다가 그들은 공항, 지하철 시스템, 가스 파이프라인에 필수적인 센서를 포함해 87,000개의 센서를 비활성화했다고 주장했습니다. 그들은 Stuxnet 의 강력한 버전에 비유되는 악성 코드인 Fuxnet을 사용하여 이를 달성했으며 센서 장비를 물리적으로 손상시킬 수 있다고 주장했습니다.

해커들은 Fuxnet이 RS485/MBus의 홍수를 시작했으며 87,000개의 내장 제어 및 감각 시스템에 '무작위' 명령을 내렸다고 밝혔습니다. 그들은 의도적으로 병원, 공항 및 기타 민간 대상을 그들의 행동에서 제외했다고 강조했습니다.

해커의 주장을 입증하기는 어렵지만 연구원들은 Blackjack 그룹이 제공한 정보와 코드를 기반으로 Fuxnet 악성 코드를 분석했습니다.

Fuxnet 악성 코드는 심각한 중단을 초래할 수 있습니다

사이버 보안 전문가들은 온도와 같은 데이터 수집을 담당하는 Moscollector가 사용하는 물리적 센서가 Fuxnet에 의해 손상되지 않았을 가능성이 높다고 강조합니다. 대신 이 악성코드는 Blackjack에서 언급한 것처럼 RS485/Meter-Bus와 같은 직렬 버스를 통해 센서와의 통신을 용이하게 하는 약 500개의 센서 게이트웨이를 표적으로 삼은 것으로 추정됩니다. 또한 이러한 게이트웨이는 회사의 글로벌 모니터링 시스템으로 데이터를 전송하기 위해 인터넷에 연결되어 있습니다.

관문이 손상될 경우 모스크바와 그 외곽에 지리적으로 분산되어 있으므로 수리가 광범위할 수 있습니다. 각 장치에는 교체 또는 개별 펌웨어 재플래시가 필요합니다.

Fuxnet을 분석한 결과 악성코드의 원격 배포가 암시되었습니다. 일단 침투하면 중요한 파일과 디렉터리 삭제를 시작하고 원격 액세스 서비스를 비활성화하여 복원 시도를 방해하며 라우팅 테이블 데이터를 지워 장치 간 통신을 방해합니다. 그 후 Fuxnet은 파일 시스템을 지우고 장치의 플래시 메모리를 다시 씁니다.

파일 시스템을 손상시키고 장치 액세스를 차단하는 경우 악성 코드는 NAND 메모리 칩을 물리적으로 손상시킨 다음 UBI 볼륨을 다시 작성하여 재부팅을 방해합니다. 또한 직렬 버스와 센서를 모두 압도하기 위해 직렬 채널을 무작위 데이터로 가득 채워 게이트웨이에 연결된 센서를 중단시키려고 합니다.

연구원들은 Fuxnet 악성 코드가 센서 게이트웨이를 감염시켰을 수 있다고 추측합니다.

악성코드 작업은 Meter-Bus 채널에 임의의 데이터를 반복적으로 추가합니다. 이 조치는 센서와 센서 게이트웨이 간의 데이터 전송 및 수신을 방해하여 센서 데이터 수집을 무효화합니다. 따라서 87,000개의 장치를 손상시킨다는 공격자의 주장에도 불구하고 센서 게이트웨이를 감염시키는 데 성공한 것이 더 현실적으로 보입니다. 네트워크 퍼징과 유사한 미터-버스 채널의 후속 범람은 상호 연결된 센서 장비를 더욱 방해하는 것을 목표로 했습니다. 결과적으로 센서 게이트웨이만 작동할 수 없게 되고 최종 센서는 영향을 받지 않는 것으로 보입니다.