{{위키데이터 속성 추적}}
'''레긴'''(Regin, Prax, QWERTY)는 미국의 [[미국 국가안보국|국가안보국]](NSA)과 영국의 [[정부통신본부]](GCHQ)가 사용하는 복잡한 [[악성 소프트웨어]]이자 [[해커|해킹]] 툴킷이다.<ref name="nsa-und-gchq">[http://www.spiegel.de/netzwelt/netzpolitik/trojaner-regin-ist-ein-werkzeug-von-nsa-und-gchq-a-1004950.html Christian Stöcker, Marcel Rosenbach " Spionage-Software: Super-Trojaner Regin ist eine NSA-Geheimwaffe" Der Spiegel, November 25, 2014]</ref><ref>http://www.spiegel.de/international/world/regin-malware-unmasked-as-nsa-tool-after-spiegel-publishes-source-code-a-1015255.html</ref> 2014년 11월 [[카스퍼스키 랩]], [[시만텍]], [[디 인터셉트]]에 의해 최초로 공개되었다.<ref name="news">{{웹 인용|url=http://securelist.com/blog/research/67741/regin-nation-state-ownage-of-gsm-networks|title=Regin Revealed|publisher=Kaspersky Lab|accessdate=24 November 2014}}</ref><ref name="intercept20041124">{{웹 인용|url=https://firstlook.org/theintercept/2014/11/24/secret-regin-malware-belgacom-nsa-gchq/|first=Morgan|last=Marquis-Boire|first2=Claudio|last2=Guarnieri|first3=Ryan|last3=Gallagher|title=Secret Malware in European Union Attack Linked to U.S. and British Intelligence|publisher=The Intercept|date=24 November 2014|확인날짜=2019-02-04|archive-date=2015-07-29|archive-url=https://web.archive.org/web/20150729041344/https://firstlook.org/theintercept/2014/11/24/secret-regin-malware-belgacom-nsa-gchq|url-status=}}</ref> 이 악성 소프트웨어는 [[마이크로소프트 윈도우]] 기반 컴퓨터의 특정 사용자들을 대상으로 동작하며 미국의 [[미국 국가안보국|국가안보국]]과 영국의 [[정부통신본부]]로 연결된다.<ref>[https://arstechnica.com/tech-policy/2015/10/top-german-official-infected-by-highly-advanced-spy-trojan-with-nsa-ties/]</ref><ref name="NYT-20141124-NP">{{뉴스 인용|last=Perlroth |first=Nicole |title=Symantec Discovers ‘Regin’ Spy Code Lurking on Computer Networks |url=http://bits.blogs.nytimes.com/2014/11/24/symantec-discovers-spy-code-lurking-on-computer-networks/ |date=24 November 2014 |work=[[뉴욕 타임스]] |accessdate=25 November 2014 }}</ref><ref>{{웹 인용|url=https://firstlook.org/theintercept/2014/12/13/belgacom-hack-gchq-inside-story/|title=The Inside Story of How British Spies Hacked Belgium’s Largest Telco|publisher=The Intercept|first=Ryan|last=Gallagher|확인날짜=2019-02-04|archive-date=2015-08-17|archive-url=https://web.archive.org/web/20150817152413/https://firstlook.org/theintercept/2014/12/13/belgacom-hack-gchq-inside-story/|url-status=}}</ref> 디 인터셉트는 벨기에 통신 제공업체 [[Belgacom]]에서 발견된 악성 소프트웨어를 포함하여 다운로드를 위한 레긴의 샘플들을 제공하였다.<ref name="intercept20041124"/> 카스퍼스키 랩은 2012년 봄 레긴을 처음 인지하게 되었지만 최초 샘플 중 일부는 2003년부터라고 이야기한다.<ref>[http://www.kaspersky.com/about/news/virus/2014/Regin-a-malicious-platform-capable-of-spying-on-GSM-networks Kaspersky:Regin: a malicious platform capable of spying on GSM networks] {{웨이백|url=http://www.kaspersky.com/about/news/virus/2014/Regin-a-malicious-platform-capable-of-spying-on-GSM-networks |date=20150530144153 }}, 24 November 2014</ref> (레긴이라는 이름은 2011년 3월 9일 [[바이러스토탈]] 웹사이트에서 처음 발견되었다.<ref name=intercept20041124/>)
전 세계적으로 레긴에 감염된 컴퓨터들 가운데 28%는 [[러시아]], 24퍼센트는 [[사우디아라비아]], 9퍼센트는 각각 [[멕시코]]와 [[아일랜드섬]], 5퍼센트는 각각 [[인도]], [[아프가니스탄]], [[이란]], [[벨기에]], [[오스트리아]], [[파키스탄]]이었다.<ref name="symantecblog">{{웹 인용|url=http://www.symantec.com/connect/blogs/regin-top-tier-espionage-tool-enables-stealthy-surveillance|title=Regin: Top-tier espionage tool enables stealthy surveillance|publisher=Symantec|accessdate=25 November 2014|date=23 November 2014}}</ref> 카스퍼스키 랩은 최근 다중 공격 벡터 사용을 발견했다. USB 및 BIOS 수정은 다량의 [[악성 소프트웨어]]가 포트 1, 2, 3, 5를 통해 주입될 수 있다. 기타 수많은 서비스와 프로세스들이 희생자에게 나타난다. 개발자의 백 룸(back room)은 SHA2 메시지 다이제스트 충돌들을 발견하고 있으며, CPU 시간을 많이 차지한다고 이야기된다. 바이러스 소프트웨어 업데이트가 업데이트를 다소 변경하면(이를테면 사용자 당 256바이트의 랜덤 데이터) 모든 사용자마다 충돌이 발생하게 된다. [[카스퍼스키 랩|카스퍼스키]]는 이 악성 소프트웨어의 주 희생자는 개인, 중소기업, [[통신 서비스 제공업체|통신 기업]]이라고 언급하였다. 레긴은 [[스턱스넷]]과 비교되며 "자원이 잘 꾸려진 개발자 팀들"에 의해 다목적 데이터 수집 도구로서 개발되었다고 간주되며, [[서양 문화|서양 국가]]의 정부로 추정된다.<ref name="bbc">{{웹 인용|url=https://www.bbc.com/news/technology-30171614|title=BBC News - Regin, new computer spying bug, discovered by Symantec|publisher=bbc.com|accessdate=23 November 2014}}</ref><ref name="whitepapers">{{웹 인용|url=http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/regin-analysis.pdf|title=Regin White Paper|publisher=Symantec|accessdate=23 November 2014|보존url=https://web.archive.org/web/20190907005119/https://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/regin-analysis.pdf|보존날짜=2019-09-07|url-status=dead}}</ref><ref name="whitepaperk">{{웹 인용|url=https://securelist.com/files/2014/11/Kaspersky_Lab_whitepaper_Regin_platform_eng.pdf|title=Regin White Paper|publisher=Kaspersky Lab|accessdate=24 November 2014|보존url=https://web.archive.org/web/20141127064402/https://securelist.com/files/2014/11/Kaspersky_Lab_whitepaper_Regin_platform_eng.pdf|보존날짜=2014-11-27|url-status=dead}}</ref>

[[디 벨트]]에 따르면 [[마이크로소프트]]의 보안 전문가들은 2011년에 "레긴"이라는 이름을 부여했으며 이는 노르웨이의 교활한 난쟁이 [[레긴]]의 이름을 딴 것이다.<ref>{{웹 인용|author1=Benedikt Fuest|title=Ein Computervirus, so mächtig wie keines zuvor|url=https://www.welt.de/wirtschaft/webwelt/article134685163/Ein-Computervirus-so-maechtig-wie-keines-zuvor.html|publisher=Die Welt|archiveurl=https://web.archive.org/web/20141128080847/http://www.welt.de/wirtschaft/webwelt/article134685163/Ein-Computervirus-so-maechtig-wie-keines-zuvor.html|archivedate=28 November 2014}}</ref>

== 동작 원리 ==
레긴은 모듈 방식의 접근을 사용하므로 대상에 정확히 맞는 기능들을 불러들이고 맞춤식 첩보 활동을 가능케 한다. 설계상 대상에 대해 영속적이고 장기간의 대량 감시에 매우 최적화되어 있다.<ref>{{웹 인용|url=http://hackingpost.com/regin-malware-state-sponsored-spying-tool-targeted-govts/|title=Regin Malware - 'State-Sponsored' Spying Tool Targeted Govts|work=The Hacking Post - Latest hacking News & Security Updates|확인날짜=2019-02-04|보존url=https://web.archive.org/web/20170218064037/http://hackingpost.com/regin-malware-state-sponsored-spying-tool-targeted-govts/|보존날짜=2017-02-18|url-status=dead}}</ref><ref name="scmagazine">{{웹 인용|url=http://www.scmagazineuk.com/nsa-gchq-or-both-behind-stuxnet-like-regin-malware/article/384888/|title=NSA, GCHQ or both behind Stuxnet-like Regin malware?|publisher=scmagazineuk.com|accessdate=25 November 2014|date=24 November 2014|보존url=https://web.archive.org/web/20160616183435/http://www.scmagazineuk.com/nsa-gchq-or-both-behind-stuxnet-like-regin-malware/article/384888/|보존날짜=2016-06-16|url-status=dead}}</ref>

레긴은 잠입성이 있으며 감염된 시스템에 여러 개의 파일을 저장하지 않는다. 그 대신 자체적으로 암호화된 [[가상 파일 시스템]](EVFS)를 사용하며 이는 호스트에 무해한 이름의 단일 파일처럼 보이는 파일 안에 포함되어 있는데, 이름이 아닌 특정한 코드로만 식별이 가능하다. EVFS는 드물게 사용되는 [[RC5]] 변종 암호화 기법을 사용한다.<ref name="scmagazine" /> 레긴은 [[인터넷 제어 메시지 프로토콜|ICMP]]/[[핑]], [[HTTP]] [[HTTP 쿠키|쿠키]]에 심어둔 명령어, 또 [[봇넷]]을 이용한 맞춤화된 [[전송 제어 프로토콜|TCP]] 및 [[사용자 데이터그램 프로토콜|UDP]] 프로토콜(추가 [[페이로드]]를 업로드하거나 동작 컨트롤 등을 할 수 있음)을 사용하여 인터넷을 경유하며 통신한다.<ref name="symantecblog" /><ref name="whitepapers"/>

=== 식별 및 명명 ===
시만텍은 시만텍과 카스퍼스키 모두 이 악성 소프트웨어를 ''Backdoor. Regin''으로 식별했다고 이야기한다.<ref name="symantecblog" /> 카스퍼스키를 포함한 대부분의 바이러스 검사 프로그램들은 (2015년 10월 기준으로) 디 인터셉트가 공개한 레긴의 샘플을 악성 소프트웨어로 식별하지 "않는다".<ref>[https://www.virustotal.com/en/file/4139149552b0322f2c5c993abccc0f0d1b38db4476189a9f9901ac0d57a656be/analysis/ Virustotal: Detection ratio: 21 / 56 ]</ref> 2011년 3월 9일, 마이크로소프트는 악성 소프트웨어 백과사전(Malware Encyclopedia)에 관련 항목을 추가하였다.<ref>[http://www.microsoft.com/security/portal/mmpc/default.aspx Microsoft Malware Protection Center, click button "Malware Encyclopedia]</ref><ref>[http://www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx?name=Trojan%3AWinNT%2FRegin.A#tab=1 Microsoft Protection Center: Trojan:WinNT/Regin.A]</ref> 이후 2개의 변종인 ''Regin. B'', ''Regin. C''가 추가되었다. 마이크로소프트는 64비트 변종 레긴 ''Prax. A'', ''Prax. B''로 호칭하기 시작핬다. 마이크로소프트의 항목들은 어떠한 기술 정보도 포함하고 있지 않다.<ref name=intercept20041124/> 카스퍼스키와 시만텍 모두 이 악성 소프트웨어에 관해 학습한 정보를 [[백서]]로 출판하였다.<ref name="whitepapers"/><ref name="whitepaperk"/>

== 같이 보기 ==
* [[지능형 지속 공격]]
* [[사이버 전쟁]]
* [[스턱스넷]]

== 각주 ==
{{각주}}

== 외부 링크 ==
* [https://www.wired.com/2014/11/mysteries-of-the-malware-regin Wired article] about Regin
* [https://github.com/Neo23x0/Loki] https://github.com/Neo23x0/Loki free Scanner for Simple Indicators of Compromise, also against Regin

[[분류:악성 소프트웨어]]
[[분류:루트킷]]
[[분류:컴퓨터 보안]]
[[분류:컴퓨터 접근 제어]]
[[분류:암호 공격]]
[[분류:2010년대 해킹]]
[[분류:2014년 컴퓨팅]]