HackingTeam 해킹 분석¶
2015년, 정부 기관에 감시·침투 도구를 팔던 이탈리아 회사 HackingTeam이 해커 Phineas Fisher에게 뚫려 내부 문서가 WikiLeaks에 공개된 사건. 실제 공격자의 공작 기법을 들여다볼 수 있는 교과서적 사례로, 레드팀 작전과 거의 같은 흐름을 보인다.
공격 흐름¶
- 대상 분석 — 스피어피싱 포기 결정: "피싱이 밥줄인 회사를 피싱하지 않는다". 외부 공격 표면은 작고 단단함 (Joomla, 메일 서버, 라우터, VPN, 스팸 필터)
- 최초 침입 — 수주간 직접 개발한 임베디드 장비용 제로데이로 최고 권한(root) 획득
- 내부 조사 — 인증 없는 MongoDB 발견 (도청 앱의 녹음 파일)
- 목표물 탐색 — 인증 없는 iSCSI 서버에서 VMware 가상 디스크(.vmdk) 백업 발견
- 권한 상승 — 백업에서 관리자 비밀번호 해시 추출·해독 → 메일 서버 등 다른 시스템으로 확장
- 목표 달성 — PowerShell로 이메일 100만+ 통 내려받아 WikiLeaks에 공개
규모: 약 6주, 100시간, 단독 수행. 동기는 정치적(해커 활동가).
위협 프로파일로 분해¶
| 항목 | 내용 |
|---|---|
| 특성 | 제로데이를 직접 만들 수 있는 정치적 해커 활동가 |
| 목표와 의도 | HackingTeam의 내부 정보를 훔쳐 폭로·망신·피해 |
| 주요 흔적 | 메모리에만 상주하는 DNS 통신 도구 |
| C2 개요 | DNS C2 + 거친 활동용 소모성 통신 채널 분리 운용 |
| TTP | 공개 정보 수집, 맞춤 공격으로 침투, 대상별 측면 이동(PsExec, WMI, PSRemoting, 예약 작업, 그룹 정책), 침투 후 상황 보고 권한 상승 |
| 공격 방식 | 자체 제작 공격 코드 |
| 지속성 | 재부팅이 드문 서버의 메모리(RAM)에만 상주 |
배우는 교훈¶
- 대상을 알아라 — 피싱 전문 회사에는 피싱하지 않는다
- 흔적 관리(OPSEC) — 대상에 직접 연결하지 않고 경유지·중계 서버 사용
- 한 번 뚫고 이동 — 같은 공격을 반복하지 않고 다른 뒷문으로 갈아타 노출 최소화
- 미리 준비 — 침투 후 쓸 도구·스크립트를 사전에 준비
- 계속 보고 듣기 — 내부 조사를 멈추지 않는다
- 넓은 기술 범위 — Windows 도메인, NoSQL, iSCSI 등 다양한 환경을 다룸
- 시간과 인내 — 6주간 천천히, 들키지 않게 운영
작전 범위 산정에 주는 시사점¶
- 우리 팀이 이 수준의 행동을 할 수 있는가? — 못 한다면 훈련·개발로 보강하거나 화이트카드(성공 가정) 사용
- 제로데이가 없다면? — 화이트카드로 해당 단계를 건너뛰고 모방
- 6주·100시간·1인이라는 지표 → 작전 기간을 잡는 기준점
- 단, 실제 작전은 최소 2인 체제 — 혼자 운영하지 않는다