FBI·CISA·NSA·NCSC 등 국제 공동 권고문 발표…취약점 스캐너·스피어피싱 도구 도메인 압수
미국 연방수사국(FBI)이 중국 보안기업 인티그리티 테크놀로지 그룹(Integrity Technology Group·이하 인티그리티테크)의 해킹 도구 관련 도메인 7개를 압수하고, 미 사이버보안·인프라보안국(CISA)·국가안보국(NSA)과 함께 국제 공동 권고문을 8일(현지시간) 발표했다.
CISA·FBI·NSA와 영국 국가사이버보안센터(NCSC) 등 국제 파트너 기관들은 공동 사이버보안 권고문을 통해, 중국 정부와 연계된 베이징 소재 보안기업 인티그리티테크가 전 세계 핵심 인프라 조직을 대상으로 한 해킹 활동을 지원해 왔다고 밝혔다.
인티그리티테크는 중국 정부와 연계된 영리 기업으로, 사이버 도구를 개발·조달하고 인프라를 운용하며 전 세계 네트워크를 침해해 왔다. 피해 대상에는 미국 정부 시설, 핵심 제조업, 의료·공중보건, 정보기술 등 주요 인프라 분야가 포함된다.
권고문은 공격자들이 미국 정부 기관, 핵심 제조업, 의료, 정보기술, 법 집행 기관, 교육 기관, 종교 단체뿐 아니라 동남아시아·아프리카·북미 소재 조직까지 표적으로 삼았다고 밝혔다.
인티그리티테크가 개발한 취약점 스캐닝 플랫폼 '마이크로스캔(MicroScan)'은 표적 네트워크의 보안 취약점을 식별하는 데 쓰였다. FBI 압수 영장 진술서에 따르면 이 플랫폼은 미라이(Mirai) 악성코드에 감염된 사물인터넷 기기로 구성된 봇넷과 함께 잠재적 표적 스캔에 활용됐다.
두 번째 도구인 '피시허브(FishHub)'는 이미 침해된 네트워크에 스피어피싱 공격을 가하고 추가 악성코드를 배포하는 데 사용됐다. 이 악성코드는 공격자에게 피해 네트워크에 대한 원격 접근 권한을 부여하고, 특정 파일을 검색해 인티그리티테크가 통제하는 서버로 데이터를 유출했다.
FBI 압수 영장 진술서에 따르면 수사관들은 피시허브 데이터 탈취 도구와 연결된 서버에서 20개 이상 기관의 데이터와 파일을 발견했으며, 여기에는 대만 소재 대학교 6곳의 자료도 포함돼 있었다.
권고문은 이번 활동이 보안 업계에서 '플랙스 타이푼(Flax Typhoon)', '에테리얼 판다(Ethereal Panda)', '레드 줄리엣(Red Juliett)'으로 각각 추적돼 온 해킹 그룹의 전술·기법과 일치한다고 밝혔다.
FBI 사이버 부서 브렛 레더먼 부국장은 "인티그리티테크는 중국 연계 위협 행위자들에게 미국과 외국 핵심 인프라를 표적으로 한 광범위한 취약점 스캐닝과 일부 침해에 사용된 역량을 제공했다"고 밝혔다. 레더먼 부국장은 또 "중국은 악의적인 사이버 활동의 범위와 규모를 확대하기 위해 계약업체와 지원 기업에 의존한다"며 "이들 지원 세력을 노출하고 차단함으로써 중국이 미국 네트워크와 인프라를 표적으로 삼기 어렵게 만들고 있다"고 말했다.
이번 권고문에는 영국 NCSC를 비롯해 호주·캐나다·뉴질랜드·미국의 파이브 아이즈(Five Eyes) 파트너 기관과 일본, 스페인의 사이버 기관이 공동으로 참여했다.
인티그리티테크는 미국의 제재 조치에 대해 사실적 근거가 없다고 상하이 증권거래소를 통해 반박한 바 있다. 중국 외교부 대변인도 미국의 제재 조치에 강력히 반대한다는 입장을 표명했다.
CISA는 권고문을 통해 네트워크 방어자들에게 표적 조직이 면밀히 감시하지 않는 엣지 장치를 보호하고, 알려진 취약점(CVE) 목록에 포함된 항목에 대해 즉시 패치를 적용할 것을 권고했다.
