BQ개발자입니다.
지난 주 SKT 해킹 사태가 터졌고 뉴스에서는 "유심 정보와 개인정보 220GB 유출"이라는 숫자만 강조하지만, 개발자 관점에서 이 사건은 훨씬 더 충격적이었는데요, 그 파급효과를 많은 사람들이 알아야 더 큰 책임을 물 수 있다 생각해서 좀 알아보았습니다.
🔍 사실 이미 알려졌던 해킹 방법
이번 SKT 공격에 사용된 BPF도어(BPFdoor)는:
• 2021년 PWC 보고서에 이미 공개된 악성코드
• 중국 해킹그룹이 사용했지만 코드는 오픈소스로 공개됨
• 리눅스 커널의 BPF 기술을 악용
리눅스 커널에 내장된 BPF(Berkeley Packet Filter)는 네트워크 패킷을 처리하는 기술이에요. 학생때도 써봤는데..흠
🛠 ️ 일반 보안 솔루션이 놓치는 치명적 공격 방식
BPF도어의 작동 방식은 일반적인 보안 방식으로는 차단이 어렵습니다. 그 이유는 :
(1) 소켓 통신을 전혀 사용하지 않음
- 일반적으로 서버-클라이언트 통신은 "소켓"이라는 통로를 통해 이루어짐
- 모든 네트워크 모니터링 도구는 이 소켓을 감시하는데 최적화되어 있음
- BPF도어는 소켓을 우회하므로 로그에 통신 기록이 남지 않음
- 결과: 해커가 시스템에 침투해도 접속 흔적이 전혀 남지 않음
(2) 포트를 열지 않아 포트 스캔으로 탐지 불가능
- 일반적인 서버는 특정 포트(80, 443 등)를 열고 서비스를 제공함
- 보안 점검의 첫 단계는 항상 "열린 포트 확인"으로 시작됨
- BPF도어는 포트를 열지 않고도 시스템에 접근 가능
- 결과: 모든 포트가 닫혀 있어도 공격자는 자유롭게 드나들 수 있음
(3) 커널 레벨에서 직접 NIC(네트워크 카드)를 제어
- 일반 프로그램은 OS가 제공하는 API를 통해서만 네트워크 접근
- BPF도어는 OS의 핵심인 커널 단에서 직접 네트워크 장치 제어
- 방화벽과 보안 소프트웨어의 감시 레이어보다 더 낮은 수준에서 작동
- 결과: 백신, 방화벽, 침입 탐지 시스템이 모두 무력화됨
이런 특성이 합쳐지면 BPF도어는 마치 건물의 보안 카메라, 출입 센서, 경비원이 전혀 감지할 수 없는 통로를 만들어내는 것과 같습니다. 시스템 관리자가 아무리 로그를 확인해도 침입 흔적이 보이지 않으며, 보안 점검을 해도 문제가 발견되지 않는거죠 ㅠㅠ
🎯 왜 이런 사태가 벌어졌나?
이번 사태를 진단해보면 전형적인 APT(Advanced Persistent Threat) 공격이지만, 몇 가지 특이점이 있습니다:
(1) 장기간에 걸친 공격:
- 일회성 공격이 아닌 수주~수개월에 걸친 침투 작업
- 서버 관리자가 주의를 게을리하는 시점을 노림
- SKT의 경우 초기 침투 후 내부망을 서서히 탐색하며 HSS(가입자 인증 시스템)에 접근
(2) 단계적 침투 전략:
- 처음부터 핵심 시스템을 공격하지 않음
- 먼저 접근이 쉬운 외부 웹서버나 개발 서버부터 장악
- 내부 직원 PC를 경유하여 점차 권한을 확대
- SKT 사례에서는 주변 시스템부터 시작해 최종적으로 고객정보 시스템까지 도달
(3) 고도화된 은닉 기술:
- 디스크에 흔적을 남기지 않는 인메모리 웹쉘 사용
- 서버를 재부팅하면 모든 흔적이 사라짐
- 로그 파일도 자동으로 조작하여 침입 흔적 제거
- SKT의 보안 담당자들이 평상시 점검에서 문제를 발견하기 불가능했을 것
이 사태의 진짜 충격은 신기술이 아닌 "알려진 취약점"으로 뚫렸다는 점입니다. 앞서 말했듯 BPF도어는 2021년에 이미 분석되고 공개된 악성코드입니다. 4년이나 지난 공격 기법이 대한민국 최대 통신사를 무너뜨렸다는 건 진짜 너무 아쉽네요. 반성많이하고 책임 끝까지 지어라 SKT!!
그리고 220GB가 텍스트 정보면 표면적으로 알려진 것보다 훨씬 심각한 '전체 데이터 유출'에 가까운 상황일 것 같아서 너무 무섭네요 ㅠㅠ
---
여러분의 좋아요와 공유는 사랑입니다. 😍