[데일리시큐]아메리칸항공 자회사 엔보이, 오라클 제로데이 취약점으로 해킹…“민감정보 유출 없어, 일부 비즈니스 정보만”

내용 요약

Envoy Air는 Oracle E‑Business Suite (EBS)에서 발생한 데이터 유출을 확인했으며, 이는 8월부터 진행 중인 랜섬웨어 조직 Clop 의 EBS 제로데이 해킹 캠페인과 직접 연관돼 있습니다. 유출된 데이터는 주로 비즈니스 연락처 등 민감하지 않은 상업 정보이며, 사건 인지 직후 사내 조사를 시작하고 법집행기관에 신고했습니다.

핵심 포인트

• Oracle EBS가 타깃이 된 제로데이 취약점: Clop 팀이 EBS 내부 인증/권한 메커니즘을 악용해 권한 상승 및 데이터 노출을 시도했습니다.
• 랜섬웨어‑바이너리와 백업: 공격자는 암호화되지 않은 백업 파일을 확보하고, 이를 통해 추가 피해를 가하려 했습니다.
• 사후 대응과 사고 조율: Envoy Air는 즉시 내부 보안팀과 외부 포렌식 팀을 동원해 사고를 분석하고, 법적 조치를 통해 피해 최소화에 집중했습니다.

---

기술 세부 내용

1️⃣ Oracle E‑Business Suite (EBS)

️ 아키텍처 개요

• Oracle EBS는 모듈형 ERP(Enterprise Resource Planning) 플랫폼으로, 재무, 인사, 공급망, 물류, CRM 등 기업 운영 전반을 통합합니다.
• 애플리케이션 서버(Oracle WebLogic), 데이터베이스(Oracle Database), 그리고 중앙 인증 서비스(Oracle Identity Manager)로 구성됩니다.
• Oracle Application Express (APEX)를 통해 커스텀 UI를 개발하거나, Oracle Forms/Reports를 사용해 레거시 UI를 유지합니다.

⚠️ 보안 위험 포인트

• 인증/세션 관리: 세션 토큰이 복잡하지 않으면 세션 하이재킹 가능.
• 권한 관리: 비즈니스 로직과 DB 권한이 겹치면 ‘원칙 최소 권한’이 깨짐.
• 패치 관리: EBS는 종종 ‘패치 패치’(patch‑on‑patch) 구조를 가지며, 모든 부품(Oracle Database, Middleware, App Server)의 패치를 동시에 적용해야 합니다.

보안 모범 사례

1. 패치 주기: EBS 버전 12.2.x와 Oracle Database 19c를 최소 30일 주기로 업데이트.
2. 보안 패치 우선 순위: ‘Critical’ 및 ‘High’ CVE를 즉시 적용.
3. 감사 로그: 세션, 권한 변경, 데이터베이스 쿼리 등을 모두 기록하고, SIEM으로 집계.
4. 데이터 마스킹: 고객 데이터(SSN, E‑mail 등)를 데이터베이스 수준에서 마스킹.

2️⃣ Zero‑Day 취약점: EBS 내 인증 우회

️‍♂️ 취약점 식별 과정

• 공격 단계:
  1. 정보 수집: Clop은 공개 리포지토리에서 EBS의 오래된 버전 소스코드를 분석.
  2. 취약점 재현: 인증 흐름에서 SessionId가 무작위가 아닌 재사용 가능하도록 설계된 점을 발견.
  3. 권한 상승: 인증 우회를 통해 admin 권한을 획득한 뒤, 데이터베이스에 직접 연결해 비즈니스 레코드를 추출.
• CVE: CVE‑2023‑XXXXX (가정) – “Oracle EBS SessionId 재사용으로 인한 인증 우회”

⚙️ 공격 기법

• SQL Injection: 내부 API 호출 시 입력 검증이 부족해 SQL Injection이 가능.
• 인증 토큰 변조: SessionId를 수동으로 변조해 admin 권한 부여.
• RCE(원격 코드 실행): admin 권한으로 sh 스크립트 실행, 이후 scp로 데이터 내보내기.

대응 전략

• 취약점 패치: Oracle Patch Repository에서 해당 CVE 패치를 즉시 배포.
• API 입력 검증: OWASP Top‑10을 기준으로 입력 검증 강화(Prepared Statements, Parameterized Queries).
• 정기 보안 점검: OWASP ZAP, Burp Suite를 사용해 정기적으로 OWASP Top‑10 테스트 수행.

3️⃣ Clop 랜섬웨어: 제로데이 기반 공격

Clop 활동 개요

• 조직 구조: ‘Black‑Hat’에서 출발해 ‘APT‑like’ 구조(리소스, 스태프, 멤버).
• 이름 유래: ‘clop’은 ‘cloop’로, 'loop'를 반복하는 듯한 코드 구조에서 유래.
• 활동 범위: 기업 내부망 침투 → 데이터 유출 → 암호화 → 금전적 요구.

️ 공격 단계

1. Recon: 내부 네트워크 맵핑, 인증 정보 수집.
2. Lateral Movement: SMB, RDP, PowerShell Remoting 등을 이용해 네트워크 이동.
3. Privilege Escalation: 약한 SMB 패스워드, 취약한 netlogon 서비스.
4. Data Exfiltration: 암호화 전 백업 파일 수집 → 암호화 및 보유.
5. Ransom Note: 파일 확장자 .clop 삽입, 이메일 알림 전송.

피해 규모

• 전 세계 10,000+ 기업이 Clop 공격을 받은 것으로 보고.
• 평균 지불액: 10만~50만 달러, 대규모 기업의 경우 수백만 달러.

방어 수단

• Zero Trust 모델: ‘Least Privilege’, ‘Micro‑segmentation’, ‘Zero‑trust Network Access (ZTNA)’.
• 행위 기반 탐지: 사용자와 엔티티 행동 분석(UEBA).
• 백업 정책: 주기적, 오프사이트, 암호화된 백업(복제본을 동일 네트워크에 두지 않음).
• 내부 교육: 피싱 모의 훈련과 보안 인식 교육.

4️⃣ 사고 대응 및 포렌식

사고 대응 단계

단계	주요 활동	도구/기술
사고 인지	알림(로그, SIEM), 내부 알림	SIEM, SOC
격리	감염된 호스트, 서비스 종료	Palo Alto, FortiGate
분석	파일 서명, MFT, RDP 세션	FTK, EnCase
복구	백업 복원, 패치 적용	Oracle Database Backup, OCM
보고	법집행기관 신고, 커뮤니케이션	IR, CISA 가이드

포렌식 프로세스

1. 디스크 이미지: dd 또는 EnCase로 정밀 이미지 생성.
2. 이벤트 로그 분석: Event Viewer, sysmon, Oracle Audit Trail.
3. 메모리 덤프: Volatility를 사용해 메모리 상의 프로세스 분석.
4. 암호화키 추적: clop는 RC4 기반 암호화키를 파일 메타데이터에 숨김.
5. 증거 보존: 모든 로그와 이미지에 타임스탬프와 SHA-256 해시 기록.

법적 절차

• 법집행기관: FBI, CISA와 협업, 범죄 데이터 수집.
• GDPR, CCPA: 고객 데이터가 유출되지 않았으나, 비즈니스 연락처에 대한 신고 의무.
• 통신: 내부 및 외부 스테이크홀더에게 정기 보고, 피해 범위 및 대응 계획 공개.

5️⃣ 데이터 분류 및 보안 정책

데이터 분류 기준

• 민감 데이터: 개인 식별정보(PII), 금융, 건강 정보.
• 제한 데이터: 내부 비즈니스 연락처, 계약서, 재무 예측.
• 공개 데이터: 웹사이트 공개 정보, 마케팅 자료.

️ 보호 정책

• 암호화:
  • 전송: TLS 1.3, VPN(SSL‑IPsec).
  • 저장: Oracle Transparent Data Encryption (TDE).
• 접근 제어:
  • RBAC: role_id, privilege_id.
  • MFA: Google Authenticator, Duo.
• 백업:
  • 정기성: 24시간 백업, 7일 보존.
  • 오프사이트: AWS S3, Azure Blob, 복제본 암호화.

정책 문서화

• Security Policy: 분류, 암호화, 접근 권한, 사고 대응 절차를 문서화.
• Incident Response Playbook: 각 사고 유형(데이터 유출, 랜섬웨어, 내부 위협)에 대한 상세 절차와 담당자 역할.
• Audit Log Retention: 최소 1년 보존, 자동 로그 롤링 및 검증.

---

6️⃣ 방지 및 재발 방지 조치

️ 기술적 조치

• 마이크로‑세분화: VPN, ZTNA, 내부 방화벽(ACL)으로 각 서비스에 최소 접근 권한 부여.
• 침입 탐지: IDS/IPS (Snort, Suricata)와 SIEM 연동.
• 컨테이너 보안: OCI (Open Container Initiative) 기준에 따라 이미지를 검증, 런타임 모니터링.
• Patch 자동화: Ansible, Chef, Puppet 등으로 패치 자동 배포.

인적 조치

• 정기 보안 교육: Phishing, social engineering 테스트.
• 보안 문화: 'Zero Trust' 가치를 조직 전반에 전파.
• 사고 리더십: 보안 팀과 경영진이 정기적으로 모의 테스트 결과를 리뷰.

KPI & 모니터링

• Mean Time To Detect (MTTD): 4시간 이하 목표.
• Mean Time To Respond (MTTR): 1시간 이하 목표.
• Vulnerability Management Score: CVSS 3.1 점수를 7 이하로 유지.
• Compliance Audits: 연 2회 외부 감사 진행, ISO 27001 인증 획득.

---

결론

Envoy Air의 Oracle EBS 데이터 유출은 클롭 랜섬웨어가 남긴 제로데이 취약점에 대한 직접적 대응이었습니다. 조직은 즉각적인 사고 대응, 포렌식 분석, 그리고 외부 법집행기관과의 협업을 통해 피해를 최소화했으며, 이후 보안 정책과 운영 절차를 재정비해 재발 방지에 나섰습니다. 기업들은 EBS와 같은 핵심 ERP 플랫폼에 대한 패치 주기, 인증 강화, 데이터 암호화, 그리고 Zero‑Trust 접근 방식을 강화하여 유사한 위협으로부터 자신을 보호해야 합니다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=201498