MS-SQL 서버 프록시재킹 공격 및 대응 방법

2023년 8월 22일, 부적절하게 관리되는 MS-SQL 서버를 향한 프록시재킹(Proxyjacking) 공격 사례가 발견되었습니다. 이러한 공격은 악성코드를 설치하여 시스템을 감염시키는 것으로, 특히 마이크로소프트 윈도 시스템을 대상으로 하고 있습니다.

MS-SQL 서버 프록시재킹 공격 특징

- 공격자들은 부적절하게 관리되는 MS-SQL 서버를 찾아 무차별 대입 공격이나 사전 공격을 통해 로그인에 성공하면 악성코드를 설치합니다.
- 해당 공격자는 러브마이너(LoveMiner)를 사용하여 프록시재킹 및 크립토재킹(Cryptojacking) 공격을 수행하고 있습니다.
- 최근 공격에서는 다양한 기업의 프록시웨어들을 사용하고, 악성코드는 .NET Native AOT(ahead-of-time) 컴파일 방식으로 제작되었습니다.

프록시재킹(Proxyjacking) 공격은 사용자의 동의 없이 프록시웨어를 설치하여 시스템의 인터넷 대역폭을 외부에 공유하는 방식으로, 공격자들이 수익을 얻는 방법입니다. 프록시웨어는 설치된 시스템의 대역폭을 외부에 공유하며, 이에 따라 일정한 금액을 받게 됩니다. 감염된 시스템은 비자발적으로 네트워크 대역폭을 탈취당하고, 공격자는 수익을 얻습니다.

MS-SQL 서버 프록시재킹 공격 대응 방법

이러한 공격에 대비하기 위해서는 다음과 같은 조치가 필요합니다:

- MS-SQL 서버 관리자들은 강력한 비밀번호 정책을 유지하고 주기적으로 변경함으로써 무차별 대입 공격과 사전 공격으로부터 데이터베이스 서버를 보호해야 합니다.
- 최신 버전의 보안 패치를 적용하여 취약점 공격을 예방합니다.
- 외부에 공개된 데이터베이스 서버에 대해서는 방화벽과 같은 보안 제품을 사용하여 외부 공격의 접근을 통제해야 합니다.
- 백신 소프트웨어를 최신 버전으로 업데이트하여 악성코드의 감염을 사전에 차단할 수 있도록 합니다.

마무리

안랩 ASEC 분석팀은 이와 같은 대응 방법을 권장하며, 보안을 강화하여 공격으로부터 시스템을 보호하는 것이 중요하다고 강조하였습니다.