일상 방문 사이트가 공격 벡터가 되는 방법과 안전하게 보호하는 방법

무엇이 일어났나

최근 보안 조사에서 뉴욕타임스, BBC, MSN, AOL 등 대형 사이트를 방문한 이용자들이 악성 광고를 통해 자동으로 공격을 받았다는 사례가 보고됐습니다. 공격자는 만료된(혹은 인수된) 합법적 마케팅 도메인을 이용해 광고 네트워크에 광고를 등록했고, 광고 안에 악성 스크립트를 심어 방문자의 브라우저를 검사한 뒤 취약점이 있는 경우 익스플로잇 킷을 통해 악성코드를 배포했습니다.

이 익스플로잇 킷은 Angler exploit kit으로 알려져 있으며, 감염된 기기에 TeslaCrypt 랜섬웨어 또는 Bedep 트로이목마 등을 설치했습니다. 결과적으로 일부 사용자는 파일이 암호화되어 금전을 요구당했고, 다른 사용자는 여러 종류의 멀웨어에 감염되었습니다.

왜 위험한가

• 대형 사이트의 광고는 신뢰도가 높아 사용자가 의심 없이 페이지를 열기만 해도 공격 노출이 가능하다.
• 광고 네트워크가 여러 곳에 광고를 동시 공급하므로 감염 범위가 빠르게 확산된다.
• 공격자는 안티바이러스나 특정 방어 도구가 감지하는 환경에서는 페이로드를 숨기는 등 탐지를 회피한다.
• 취약한 브라우저 플러그인(Flash, Java, Silverlight 등)과 오래된 브라우저가 주요 공격 표적이 된다.

중요: 광고 자체가 악성 코드를 직접 포함하지 않더라도, 광고에 포함된 외부 스크립트나 리디렉션이 익스플로잇 킷으로 연결될 수 있습니다.

지금 당장 해야 할 보호 조치

1. 운영체제와 브라우저를 최신 상태로 유지하세요. 보안 패치가 곧 방어입니다.
2. 백신(안티바이러스) 프로그램을 설치하고 시그니처와 엔진을 최신으로 유지하세요.
3. 브라우저 플러그인(Adobe Flash, Java, Silverlight 등)은 가능한 제거하거나 ‘사용자 허용 시에만 실행’으로 설정하세요.
4. 광고 차단기(Adblocker) 및 스크립트 차단기(NoScript 계열)를 설치해 불필요한 광고와 외부 스크립트 로드를 차단하세요.
5. Windows 사용자는 관리자 계정 대신 표준 계정을 사용하세요. 원문에서는 표준 계정으로 전환하면 즉시 전체 위협의 86%가 제거된다고 했습니다.
6. 의심스러운 사이트 방문 후 이상 증상(브라우저 과도한 팝업, 속도 저하, 알 수 없는 파일 암호화 등)이 보이면 즉시 네트워크 연결을 차단하고 백업에서 복구를 고려하세요.

실용 팁

• 브라우저를 분리해서 사용하세요. 예를 들어 일상 웹서핑 전용 브라우저, 금융 거래 전용 브라우저 등으로 용도를 나누면 위험 감소에 도움이 됩니다.
• 광고 네트워크는 신뢰도와 평판을 따르더라도 완전한 보안 수단이 아니므로 항상 클라이언트 측 방어를 병행하세요.

점검 체크리스트

사용자용 단기 체크리스트

• 운영체제 자동 업데이트 활성화
• 브라우저 및 확장 프로그램 업데이트
• 광고 차단기 설치
• 플러그인 삭제 또는 클릭 투 플레이 설정
• 정기 백업 설정

시스템 관리자용 점검

• 웹 필터링과 보안 게이트웨이에서 악성 도메인 차단 목록 유지
• 광고 스크립트에 대한 모니터링 및 샌드박스 검사 도입
• 엔드포인트 탐지·대응(EDR) 솔루션 배치
• 보안 로그와 트래픽의 이상 징후 상시 분석

사건 대응 간단 절차

1. 감염 의심 기기 네트워크 분리
2. 메모리와 네트워크 트래픽 캡처(가능하면)로 포렌식 확보
3. 최신 백신으로 전체 검사 및 샘플 격리
4. 오프라인 백업에서 시스템 복원 혹은 클린 이미지로 재설치
5. 계정·비밀번호 변경 및 관련 시스템 모니터링 강화

결정 흐름(간단)

flowchart TD
  A[광고 클릭 또는 이상 징후 발견] --> B{브라우저 팝업/리다이렉트 발생?}
  B -- 예 --> C[즉시 네트워크 분리]
  B -- 아니오 --> D[브라우저 캐시 및 쿠키 삭제 후 모니터링]
  C --> E[오프라인 검사 및 포렌식]
  D --> F[정기 백신 스캔 및 플러그인 업데이트]

언제 기본 방어가 실패하는가(예외 사례)

• 조직 내부의 오래된 중앙 이미지가 배포되어 모든 클라이언트가 동일 취약점을 가질 때
• 광고 네트워크의 서플라이 체인 공격으로 합법적인 광고주 계정 자체가 악용될 때
• 제로데이 취약점이 익스플로잇 되었고 패치 전까지 방어 수단이 효과적이지 않을 때

대응 방안: 최소 권한 원칙, 네트워크 분리, 신속한 패치 적용과 침해사고 대응 계획이 필요합니다.

1줄 용어집

• malvertising: 광고 네트워크를 통한 악성코드 유포 기법
• 익스플로잇 킷: 취약점을 자동 탐지·악용해 악성코드를 전달하는 도구
• 랜섬웨어: 파일을 암호화해 금전을 요구하는 악성코드
• 트로이목마: 정상 프로그램으로 보이는 악성 소프트웨어

요약

• 대형 사이트의 광고는 신뢰를 악용해 대규모 감염을 유발할 수 있다.
• 가장 효과적인 방어는 패치, 플러그인 관리, 광고/스크립트 차단, 표준 계정 사용이다.
• 의심스러운 징후 발견 시 즉시 네트워크를 분리하고 백업에서 복구하는 것이 빠른 피해 최소화에 도움이 된다.

중요: 정기적인 백업과 기본 보안 수칙이 결국 가장 강력한 방어입니다.