‘워터링홀(Watering Hole)’이라 불리는 신종 해킹공격은 해커가 그들의 목표가 되는 대상자들이 자주 방문하는 특정한 사이트에 미리 악성코드를 심어 놓고 이들이 해당 사이트를 방문했을 때 자동적으로 컴퓨터를 감염시키는 방법을 사용한다.
워터링홀이란 명칭은 사자가 먹이를 잡기 위해 물웅덩이(watering hole) 근처에 매복하고 있다가 먹잇감이 물에 빠지면 이를 공격하는 모습에서 유래됐다.


익스플로러의 취약점을 공격하는 악성코드

워터링홀은 국내에서 이미 2005년에 게임관련 유저를 대상으로 발생된 사례가 있지만, 심각한 보안위협의 대상으로 급부상하게 된 계기는 최근 미국의 주요 인사들이 회원으로 가입되어 있는 미 외교협회와 정부부처인 노동부 홈페이지에 대한 해킹 공격이 탐지되고 나서부터이다.
이와 관련하여 당시 미 정부의 보안 담당자는 “해커가 악성코드를 사용하여 취약한 시스템에 원격으로 접근하는 작업이 가능했던 것으로 추정된다”며 “시스템의 파일이나 레지스트리를 수정·삭제 할 수 있고 프로세스 등을 종료 시킬 수 있기 때문에 첩보 활동에 이용 할 수도 있었을 것”이라고 밝힌 바 있다.
그는 “워터링홀을 통해 마이크로소프트사의 익스플로러8 사용자들은 브라우저의 취약점을 공격 당할 수도 있다”고 경고했다. 이에 따라 마이크로소프트사는 새로운 버전으로 업그레이드 하는 것을 ‘익스플로러8’ 사용자들에게 권고하면서 브라우저의 취약점에 대한 패치도 게시했다.


사자의 공격방법에 유래된 명칭



워터링홀 공격의 과정을 살펴보면 다음과 같다. 우선 해커는 공격목표로 삼은 피해자들을 조사하여 이들이 자주 가는 웹사이트의 종류를 파악하고 취약점들을 분석하는 등 웹사이트를 자세히 테스트한다.
그런 과정을 거쳐 손상시킬 수 있는 웹 사이트를 발견하게 되면, 해커는 취약점을 공격하는 코드를 선택한 뒤 다른 사이트로 피해자를 유도하는 기능을 가진 자바스크립트 코드 또는 HTML 코드를 몰래 삽입한다.
삽입 후의 자바스크립트 코드는 document.write 메소드를 이용하고, HTML코드는 iframe을 사용하여 최종적으로는 악성코드를 유포하는 페이지로 이용자를 유도한다. 이 공격코드에는 제로데이 공격이나 보안패치가 되지 않은 등 다양한 공격들이 존재하고 있는 것으로 알려져 있다.
이와 관련하여 보안 전문가들은 “워터링홀 공격을 통해 손상된 웹 사이트는 마치 물웅덩이에서 먹이를 기다리고 있는 사자처럼, 사전에 분석한 피해자들의 컴퓨터를 감염시키기 위해 대기하고 있는 것과 흡사하다”고 비유했다.


현재로서는 워터링홀을 막을 완벽한 방법 없어



워터링홀은 웹사이트를 방문만 하더라도 자신도 모르는 사이에 악성코드에 무작위로 감염되는 DBD(Drive by download) 공격의 일종이다.
DBD 공격은 해킹의 과정만 놓고 볼 때 워터링홀 공격과 유사한 면이 많다. 하지만 DBD 공격은 그동안 게임 홈페이지 등에서 사용자들의 정보를 수집하거나 계정을 탈취하기 위한 단순한 목적으로 사용돼 왔기 때문에 추가 피해를 막을 수 있었다.
하지만 워터링홀 공격은 추가피해를 막을 수 없다는 점이 가장 큰 문제다. 워터링홀 공격의 경우 지능형지속가능위협(APT)이 웹으로까지 확대됐다고 해석할 수 있을 정도로 악성코드 배포를 통해 백도어를 설치할 수 있고, 해커는 이를 통해 데이터 유출이나 파괴행위를 감행할 수 있는 것이다.
보안 전문가들은 “다양한 악성코드가 삽입된 웹페이지를 이용자가 방문할 때, 이용자의 접속하는 브라우저가 단 한 가지 취약점에만 노출되어 있어도 이용자의 컴퓨터는 감염되어 좀비 PC가 된다”며 “감염이 되면 컴퓨터의 모든 권한이 해커에게 넘어간 상태가 되고, 추가적인 피해로 이어질 수 있다”고 경고하고 있다.
보안 전문가들의 설명에 따르면, 워터링홀 같은 공격은 우선 웹사이트 보안을 강화해 악성코드가 배포되는 근본적인 원인을 제거해야 하기 때문에, 시큐어코딩(secure coding) 같은 제작방식을 사용하여 취약점을 해결하고, 웹방화벽 등을 통해 웹사이트의 변조나 악성코드의 삽입 등을 차단해야 하는 것으로 나타났다.
이에 대해 국내 보안업체의 관계자는 “국내의 경우 워터링홀에 대한 인식이 부족한 것이 사실”이라며 “현재 웹사이트에 대한 취약점은 늘어나고 있는데 반해 공격은 더욱 거세지고 있는 상황을 극복하기 위해서는 기본적으로 시큐어코딩과 같은 제작방식의 도입과 웹방화벽 정도만 도입하더라도 기본적인 공격은 막을 수 있다”고 강조했다.
하지만 현재로서는 운영체제나 웹브라우저, 그리고 자바 등의 보안 업데이트를 진행해야 함에도 불구하고 보안 패치가 공개되지 않은 상황이라, 제로데이 등의 취약점을 악용할 경우 이를 차단할 수 있는 방법이 없기 때문에 워터링홀이 가진 위험은 쉽게 사그라지지 않을 것으로 보인다.