그들이 당신의 로그인 화면 속에 산다: 10년 은신한 벨벳 앤트의 충격 실체

이스라엘에 본사를 둔 사고 대응 전문 기업 시그니아(Sygnia)가 '오퍼레이션 하이랜드(Operation Highland)'라고 명명된 조사 결과를 발표하며 최근 몇 년간 발견된 사이버 스파이 공작 중 가장 치밀하고 오래 지속된 캠페인의 실체를 낱낱이 공개했다. 이 활동은 시그니아가 ‘벨벳 앤트(Velvet Ant)’로 추적하는 중국 연계 위협 그룹의 소행으로 강력히 추정된다. 이 작전을 정의하는 것은 참신한 제로데이 공격 하나가 아니라, 더욱 근본적이고 무시무시한 아이디어다. 바로 누가 로그인할 수 있는지 결정하는 소프트웨어 자체를 멀웨어의 일부로 만드는 것이다.

거의 10년에 걸친 은밀한 침투의 전말

피해 네트워크는 인터넷에 직접 연결되지 않은 망분리(에어갭) 환경으로, 매우 민감한 시스템을 보유하고 있었다. 시그니아의 포렌식 타임라인 분석에 따르면, 공격자들은 최소한 2016년 혹은 그 이전부터 내부에 침투하여 무려 10년 가까이 네트워크에 상주한 것으로 밝혀졌다 .

최초 진입로. 침투의 시작은 피해 조직이 폐기하지 않고 인터넷에 노출시켜 둔 구형 F5 BIG-IP 어플라이언스의 취약점을 악용하면서 시작됐다. 공격자들은 이 장비의 통제권을 확보한 후, 이를 교두보 삼아 내부로 더 깊숙이 파고들었으며, 결국 물리적으로 공중망과 분리된 내부 구역까지 도달하는 데 성공했다 .

백도어 작동 방식

벨벳 앤트는 파일 스캐너나 엔드포인트 탐지에 걸릴 만한 전형적인 멀웨어를 심는 대신, 운영체제 자체의 신뢰 아키텍처를 전복시켰다. 수십 대의 호스트에 걸쳐 이들은 핵심 리눅스 인증 구성 요소들—구체적으로는 pam_unix.so라는 이름의 PAM(Pluggable Authentication Module, 플러거블 인증 모듈) 과 여러 OpenSSH 바이너리들—의 감염되지 않은 원본 파일들을 악성으로 재컴파일된 변조본들로 조용히 대체했다 .

단 하나의 교체 행위로 이들은 두 가지 치명적인 능력을 손에 넣었다.

1. 마스터 비밀번호 우회. 백도어 모듈에는 하드코딩된 마스터 비밀번호가 들어 있었다. 이 단 하나의 암호만으로 네트워크상의 어떤 사용자 계정으로도 정상 인증을 우회하고 접근할 수 있었다. 관리자가 모든 사용자 비밀번호를 주기적으로 바꿔도, 공격자는 정문을 열고 당당히 걸어 들어올 수 있었던 셈이다 .
2. 무소음 자격증명 수집. 모든 정상적인 로그인 이벤트가 실시간으로 가로채졌다. 인증 시 입력된 평문 비밀번호는 /usr/share/awk/nullfile.awk라는 은닉 파일에 꾸준히 기록됐다. 덕분에 벨벳 앤트는 소음을 일으키는 추가적인 내부 정찰 없이도 네트워크 전체의 유효한 크리덴셜을 지속적으로 수집할 수 있었다 .

왜 기존의 치료법은 전혀 통하지 않았나

전통적인 침해 사고 대응(IR) 플레이북은 적이 운영체제의 로그인 바이너리 자체를 재컴파일할 것이라고 상정하지 않는다. 시그니아 보고서는 왜 초기의 여러 차례 정화 시도가 보기 좋게 실패했는지 다음과 같이 명확히 지적한다.

• 치료법의 맹점. 악성 파일 제거, 악성 프로세스 종료, 모든 비밀번호 초기화라는 표준 워크플로우는 공격자의 핵심 상주 메커니즘에 아무런 영향을 주지 못했다. 변조된 pam_unix.so와 SSH 바이너리들은 컴파일된 로직만 다를 뿐, 시스템 입장에서는 엄연한 '합법 시스템 파일'이었기 때문이다 .
• 메타데이터 위장술. 공격자들은 변조된 파일의 이름, 경로, 타임스탬프 그리고 대략적인 파일 크기까지 원본과 동일하게 유지했다. 많은 엔터프라이즈 환경에서 흔히 사용하는 파일 메타데이터 기반 무결성 검사로는 이 차이를 절대 포착할 수 없다 .
• 의미 없는 비밀번호 변경. 하드코딩된 마스터 비밀번호가 인증 모듈 내부에 박혀 있기 때문에, 모든 사용자의 크리덴셜을 재설정해도 적을 쫓아내는 것과는 전혀 무관한 작업이었다 .
• 자체 복구형 설계. 조사 과정에서 확보한 증거들은 이 백도어가 부분적인 교정 작업에도 살아남도록 설계되었음을 시사한다. 보안팀이 몇몇 호스트를 정화해도 다른 호스트의 인증 스택이 여전히 오염된 상태라면, 공격자는 그 경로를 타고 다시 이동해 복구된 머신을 재감염시킬 수 있었다 .

시그니아가 내린 최종적인 정화 방법은 단호했다. 감염된 모든 호스트의 네트워크는 검증된 읽기 전용 미디어로부터 운영체제를 완전히 재구축해야 했다. 파일 일부만 교체하거나 부분적으로 이미징하는 방식은 전혀 불충분했다 .

벨벳 앤트의 공격술 패턴

벨벳 앤트의 성공은 이국적인 공격 체인에 의존하지 않는다. 대신 인내, 그리고 인증 계층에 대한 집착이 만든 성숙한 작전 플레이북을 보여준다.

작전 패턴	관측된 행위
네트워크 경계 초기 침투	인터넷에 노출된 구형 엔터프라이즈 장비—대표적으로 F5 BIG-IP와 시스코 넥서스(Cisco Nexus) 스위치—를 공격해 내부 네트워크로 향하는 교두보로 활용
인증 전복을 통한 상주	엔드포인트에 통상적인 원격 접속 트로이목마(RAT) 배포를 피하고, 리눅스 전역에 걸쳐 사용자 로그인을 검증하는 구성 요소 자체를 교체
다층적 이중망	다양한 네트워크 구역에 다중 거점을 유지해, 하나의 접근 지점이나 어플라이언스 하나가 방어팀에게 발각되더라도 작전 전체가 종료되지 않도록 설계
정상 도구 악용	탈취된 자격 증명과 SSH 같은 표준 관리 도구만 사용해 내부 수평 이동을 수행하여, 탐지 도구가 발견할 수 있는 커스텀 멀웨어 시그니처를 극소화
산업적 규모의 크리덴셜 수집	네트워크 전체의 로그인 인증 성공 시마다 평문 비밀번호를 가로채어, 추가적인 네트워크 활동 소음 없이 유효한 신원 정보를 꾸준히 축적
극단적 은신 기간	수일 혹은 수주가 아니라 수년 단위로 작전을 수행. 이러한 느린 템포 덕분에 짧은 로그 보관 기간과 일상적인 시스템 유지보수 속에서 포렌식 증거가 사라질 수 있었음

어트리뷰션과 연관 활동

시그니아는 높은 신뢰도로 오퍼레이션 하이랜드를 벨벳 앤트의 소행으로 단정하며, 이 그룹을 중국 정부의 후원을 받는 스파이 활동 조직으로 연결 짓고 있다 . 이들은 주로 동아시아의 대규모 조직, 특히 통신사와 핵심 인프라를 표적으로 삼는다 .

이번 사건 이전과 병행된 캠페인들은 더 넓은 맥락을 제공한다. 별개의 사례에서 벨벳 앤트는 시그니아에 발각되기 전까지 적어도 3년 동안 구형 F5 BIG-IP 어플라이언스를 커맨드 앤 컨트롤(C2) 프록시로 악용한 것으로 밝혀졌다 . 또한 초기 침투 과정에서 PlugX나 ShadowPad 같은 멀웨어를 사용한 정황도 포착되어, 이들이 커스텀 공격 도구와 공개된 멀웨어를 가리지 않는 광범위한 툴킷을 운용함을 암시한다 .

지금 방어자가 해야 할 일

오퍼레이션 하이랜드로부터 배울 수 있는 가장 중요한 방어 교훈은 인증 스택 자체를 신뢰할 수 없게 된 상태에서는 전통적인 엔드포인트 보호와 비밀번호 주기적 변경만으로는 턱없이 부족하다는 사실이다.

방어자들은 이제 단순 파일 메타데이터가 아닌 /lib/security/pam_unix.so나 SSH 데몬 바이너리 같은 핵심 시스템 바이너리들의 암호학적 해시(Cryptographic Hash) 를 신뢰된 베이스라인과 대조하는 파일 무결성 모니터링을 우선시해야 한다. 또한 모든 인증 이벤트를 외부의 불변 중앙 로그 시스템으로 남김없이 전송하는 것도 필수다. 충분한 접근 권한을 얻은 공격자는 호스트 내부의 로그를 마음대로 변조할 수 있기 때문이다. 다중 인증(MFA)은 여전히 강력한 장벽이지만, 인증 자체를 전면 우회해버리는 PAM 백도어 공격 자체에 대한 직접적인 해결책은 되지 못한다.

오퍼레이션 하이랜드는 가장 위험한 지속성 공격이 멀웨어처럼 보이지 않을 수 있으며, 오히려 우리가 매일같이 신뢰하는 바로 그 로그인 프롬프트처럼 보일 수 있음을 여실히 보여준다.