2020년은 Linux 맬웨어 대유행의 해입니까?

보안에 대한 명성은 Linux가 Microsoft Windows 시스템을 정기적으로 괴롭히는 종류의 위협에 덜 취약하다고 생각되는 경우가 많다는 것을 의미합니다. 인식된 보안의 대부분은 상대적으로 적은 수의 Linux 시스템에서 비롯되지만 사이버 범죄자들은 양보다 질 을 선택하는 데 가치를 보기 시작하고 있습니까?

Linux 위협 환경이 변화하고 있습니다.

FBI 및 NSA와 같은 연방 기관과 함께 Kaspersky 및 Blackberry와 같은 회사의 보안 연구원 은 맬웨어 작성자가 Linux에 점점 더 집중하고 있다고 경고하고 있습니다.

이제 OS는 영업비밀, 지적재산권, 인사정보 등 귀중한 데이터의 관문으로 인식되고 있습니다. Linux 서버는 Windows, macOS 및 Android 장치로 가득 찬 더 넓은 네트워크의 감염을 위한 준비 지점으로도 사용할 수 있습니다.

데스크탑이나 노트북에서 실행되는 OS가 아니더라도 조만간 데이터가 Linux에 노출될 수 있습니다. 귀하의 클라우드 스토리지, VPN 및 이메일 제공업체는 물론 고용주, ​​건강 보험 회사, 정부 서비스 또는 대학이 네트워크의 일부로 Linux를 실행하고 있는 것이 거의 확실하며 귀하가 Linux 기반 인터넷을 소유하고 있거나 소유할 가능성이 있습니다. 현재 또는 미래의 사물(IoT) 장치.

지난 12개월 동안 여러 위협이 발견되었습니다. 일부는 Linux로 이식된 알려진 Windows 맬웨어이고 다른 일부는 거의 10년 동안 서버에서 탐지되지 않은 채 방치되어 있어 보안 팀이 위험을 얼마나 과소평가했는지 보여줍니다.

많은 시스템 관리자는 자신의 조직이 대상이 될 만큼 중요하지 않다고 가정할 수 있습니다. 그러나 네트워크가 큰 대상이 아니더라도 공급자나 클라이언트가 더 유혹적일 수 있으며 예를 들어 피싱 공격을 통해 시스템에 액세스하는 것이 그들의 네트워크에 침투하는 첫 번째 단계일 수 있습니다. 따라서 시스템을 보호하는 방법을 평가할 가치가 있습니다 .

2020년에 발견된 Linux 악성코드

여기에 우리의 라운드 업 작년에 확인 된 위협.

RansomEXX 트로이 목마

Kaspersky 연구원들은 11월에 이 트로이 목마가 실행 파일로 Linux에 이식되었음을 밝혔습니다. 피해자에게는 256비트 AES 암호로 암호화된 파일과 악성코드 작성자에게 연락하여 데이터를 복구하라는 지침이 남게 됩니다.

Windows 버전은 2020년에 Konica Minolta, Texas Department of Transport, 브라질 법원 시스템을 포함한 일부 중요한 표적을 공격했습니다.

RansomEXX는 암호화된 파일 확장자와 랜섬 노트의 이메일 주소 모두에 조직 이름이 포함되어 각 피해자에게 특별히 맞춤화되었습니다.

Gitpaste-12

Gitpaste-12는 Linux를 실행하는 x86 서버 및 IoT 장치를 감염시키는 새로운 웜입니다. GitHub 및 Pastebin을 사용하여 코드를 다운로드하고 12가지 공격 방법에서 이름을 얻었습니다.

이 웜은 AppArmor, SELinux, 방화벽 및 기타 방어 기능을 비활성화하고 암호화폐 채굴기를 설치할 수 있습니다.

IP스톰

2019년 5월부터 Windows에서 알려진 이 봇넷은 Linux를 공격할 수 있는 새 버전이 9월에 발견되었습니다. Linux의 메모리 부족 킬러를 해제하여 자체 실행을 유지하고 작동을 중지시킬 수 있는 보안 프로세스를 종료합니다.

Linux 에디션에는 SSH를 사용하여 대상을 찾고, Steam 게임 서비스를 이용하고, 음란물 웹사이트를 크롤링하여 광고 클릭을 스푸핑하는 등의 추가 기능이 제공됩니다.

ADB(Android Debug Bridge)를 통해 연결된 Android 기기를 감염시키는 맛도 있습니다.

드로보룹

FBI와 NSA는 8월 경고에서 이 루트킷을 강조했습니다. 관리자 및 바이러스 백신 소프트웨어를 회피하고 루트 명령을 실행하며 해커가 파일을 업로드 및 다운로드하도록 허용할 수 있습니다. 두 기관에 따르면 Drovorub는 러시아 정부에서 일하는 해커 그룹 Fancy Bear의 작품입니다.

감염을 감지하기 어렵지만 최소한 3.7 커널로 업그레이드하고 신뢰할 수 없는 커널 모듈을 차단하면 감염을 방지하는 데 도움이 됩니다.

샛별

Lucifer 악성 크립토 마이닝 및 분산 서비스 거부 봇은 6월에 Windows에, 8월에 Linux에 처음 등장했습니다. Lucifer의 Linux 구현은 HTTP 기반 DDoS 공격은 물론 TCP, UCP 및 ICMP를 통한 공격도 허용합니다.

펭귄_x64

Turla Penquin 악성코드 제품군의 이 새로운 변종은 5월에 연구원들에 의해 밝혀졌습니다. 공격자가 루트를 획득하지 않고도 네트워크 트래픽을 가로채고 명령을 실행할 수 있도록 하는 백도어입니다.

Kaspersky는 7월에 미국과 유럽의 수십 대의 서버에서 실행되는 익스플로잇을 발견했습니다.

도키

Doki는 주로 암호화 채굴기를 설치하기 위해 제대로 설정되지 않은 Docker 서버를 대상으로 하는 백도어 도구입니다.

맬웨어는 일반적으로 지시를 받기 위해 미리 결정된 IP 주소 또는 URL에 연결하지만 Doki의 제작자는 Dogecoin 암호화 블록체인 API를 사용하는 동적 시스템을 설정했습니다. 이것은 악성코드 운영자가 단 한 번의 Dogecoin 트랜잭션으로 제어 서버를 변경할 수 있기 때문에 명령 인프라를 중단하기 어렵게 만듭니다.

Doki를 방지하려면 Docker 관리 인터페이스가 올바르게 구성되었는지 확인해야 합니다.

트릭봇

TrickBot은 랜섬웨어 공격 및 신원 도용에 사용되는 뱅킹 트로이 목마로 Windows에서 Linux로 이동하기도 했습니다. TrickBot 뒤에 있는 그룹에서 사용하는 도구 중 하나인 Anchor_DNS는 7월에 Linux 변형으로 나타났습니다.

Anchor_Linux는 백도어 역할을 하며 일반적으로 zip 파일을 통해 확산됩니다. 악성코드는 cron 작업을 설정하고 DNS 쿼리를 통해 제어 서버에 접속합니다.

관련: 피싱 이메일을 탐지하는 방법

대군

Tycoon 트로이 목마는 일반적으로 zip 아카이브 내부에 손상된 Java Runtime Environment로 확산됩니다. 연구원들은 6월에 중소 기업 및 교육 기관의 Windows 및 Linux 시스템에서 실행되는 것을 발견했습니다. 파일을 암호화하고 몸값 지불을 요구합니다.

클라우드 스누퍼

이 루트킷은 Netfilter를 하이재킹하여 방화벽을 우회하기 위해 일반 웹 트래픽 사이에서 명령과 데이터 도난을 숨깁니다.

2월에 Amazon Web Services 클라우드에서 처음 확인된 이 시스템은 방화벽 뒤에 있는 모든 서버의 맬웨어를 제어하는 ​​데 사용할 수 있습니다.

파워고스트

또한 2월에 Trend Micro의 연구원은 PowerGhost가 Windows에서 Linux로 도약했음을 발견했습니다. 이것은 마모 증가를 통해 시스템 속도를 늦추고 하드웨어를 저하시킬 수 있는 파일 없는 암호화폐 채굴기입니다.

Linux 버전은 맬웨어 방지 제품을 제거하거나 종료할 수 있으며 cron 작업을 사용하여 활성 상태를 유지합니다. 다른 맬웨어를 설치하고 루트 액세스 권한을 얻고 SSH를 사용하여 네트워크를 통해 확산될 수 있습니다.

프리츠프로그

이 P2P(Peer-to-Peer) 봇넷은 2020년 1월에 처음 확인된 이후 20개 이상의 버전이 발견되었습니다. 피해자는 정부, 대학, 의료 센터 및 은행을 포함합니다.

Fritzfrog는 하드 드라이브가 아닌 RAM에 상주하며 작업을 수행하기 위해 기존 소프트웨어의 취약점을 악용하는 위협 유형인 파일 없는 맬웨어입니다. 서버 대신 P2P를 사용하여 암호화된 SSH 통신을 전송하여 여러 시스템 간의 공격을 조정하고 자체 업데이트하며 작업이 네트워크 전체에 고르게 분산되도록 합니다.

파일이 없지만 Fritzfrog는 공개 SSH 키를 사용하여 백도어를 생성하여 향후 액세스를 허용합니다. 그런 다음 손상된 시스템에 대한 로그인 정보가 네트워크를 통해 저장됩니다.

강력한 암호와 공개 키 인증은 이 공격에 대한 보호를 제공합니다. SSH 포트를 변경하거나 사용하지 않는 경우 SSH 액세스를 끄는 것도 좋은 생각입니다.

핀스파이

FinFisher는 언론인 및 활동가에 대한 감시와 관련된 FinSpy를 정부를 위한 기성품 감시 솔루션으로 판매합니다. 이전에 Windows 및 Android에서 볼 수 있었던 국제앰네스티는 2019년 11월에 Linux 버전의 악성코드를 발견했습니다.

FinSpy는 트래픽 도청, 개인 데이터 액세스, 감염된 장치의 비디오 및 오디오 녹음을 허용합니다.

2011년 시위대가 무바라크 대통령 전복 이후 잔혹한 이집트 보안 기관 사무실에서 FinSpy 구매 계약을 발견하면서 대중에게 알려졌습니다.

Linux 사용자가 보안을 진지하게 시작해야 할 때입니까?

Linux 사용자는 Windows 사용자만큼 많은 보안 위협에 취약하지 않을 수 있지만 Linux 시스템이 보유한 데이터의 가치와 양은 플랫폼을 사이버 범죄자에게 더 매력적으로 만들고 있습니다.

FBI와 NSA가 걱정한다면 Linux를 실행하는 개인 거래자 또는 소규모 기업은 향후 대규모 조직에 대한 공격이 발생할 때 부수적인 피해를 입지 않으려면 지금 보안에 더 많은 관심을 기울여야 합니다.

다음은 증가하는 Linux 맬웨어 목록으로부터 자신을 보호하기 위한 팁 입니다.

• 출처를 알 수 없는 바이너리나 스크립트를 실행하지 마십시오.
• 바이러스 백신 프로그램 및 루트킷 탐지기와 같은 보안 소프트웨어를 설치합니다 .
• curl과 같은 명령을 사용하여 프로그램을 설치할 때 주의하십시오. 수행할 작업을 완전히 이해할 때까지 명령을 실행하지 마십시오 . 여기에서 명령줄 조사를 시작하십시오 .
• 방화벽을 올바르게 설정하는 방법을 배우십시오. 모든 네트워크 활동을 기록하고 사용하지 않는 포트를 차단하며 일반적으로 네트워크에 대한 노출을 필요한 최소 수준으로 유지해야 합니다.
• 시스템을 정기적으로 업데이트하십시오. 보안 업데이트가 자동으로 설치되도록 설정합니다.
• 업데이트가 암호화된 연결을 통해 전송되고 있는지 확인하십시오.
• SSH 및 암호에 대한 키 기반 인증 시스템을 활성화하여 키를 보호합니다.
• 이중 인증 (2FA)을 사용하고 Yubikey와 같은 외부 장치에 키를 보관하십시오.
• 공격의 증거에 대한 로그를 확인하십시오.