미국은 DNS 하이재킹으로 비상

고차원의 DNS hijacking

22일 미국 DHS(국토안보부)는 정부 관련 도메인을 관리하는 모든 공무원에게 긴급 지침을 보냈다. DNS 정보가 정확한지 확인하고, 관련 보안을 강화하라는 것이다. 작년 말부터 북미, 유럽, 중동 지역에서 정부와 통신사를 비롯한 인터넷 기반 시설에 대한 DNS 하이재킹이 활발히 행해지고 있는 가운데 나온 조치다.

DNS(Domain Name System)는 실제 IP 주소와 사람이 알아 보기 쉬운 형태의 URL을 연결해 주는 것이다. 이것을 조작하여 가짜 사이트로 연결하는 해킹을 DNS hijacking이라 한다. 결과는 피싱(Phishing)과 같다. 입력하는 중요 정보를 탈취하고, 악성코드를 유포할 수 있다.

DNS hijacking을 하는 악성코드는 많은데, 주로 라우터(공유기)를 감염시키는 방법을 쓴다. 반면에 이번 공격은 훨씬 고차원적이다. DNS를 관리하는 관리자의 계정을 해킹하여, 관리자 권한으로 DNS 설정을 광범위하게 조작한 것이다. 그래서 웹 트래픽 뿐만 아니라 이메일도 가로챘다.

인증서 장착으로 HTTPS 무력화

특히 중요한 것은 SSL 인증서도 확보해서 HTTPS 보호를 무력화한 점이다. DNS 관리자 권한을 가졌기 때문에, 가짜 사이트에 대한 SSL 인증서도 합법적으로 발급받을 수 있다. 따라서 암호화된 트래픽도 엿보거나 변조할 수 있음은 물론, 브라우저 상에 인증서 오류도 나타나지 않는다.

흔히 악성코드에 의한 DNS hijacking은 인증서 오류를 일으켜, 주의 깊게 관찰하면 알아챌 수 있다. 그러나 이번 공격은 인증서 오류를 유발하지 않으므로 알아챌 방법이 없다.

결국 예방만이 가능한 대책이다. DHS는 DNS 관리자 계정의 암호를 바꾸고, 2단계 인증을 적용하라고 명령했다.


관련 자료

1. 공유기 해킹하여 DNS 하이재킹하는 Roaming Mantis 악성코드
2. 라우터 공격하는 GhostDNS 악성코드

참고 자료

1. DHS Orders U.S. Federal Agencies to Audit DNS Security for Their Domains
2. Emergency Directive 19-01