워터링 홀 공격

**워터링 홀**(watering hole)은 공격자가 조직의 사용자들이 자주 방문하는 웹사이트를 추측하거나 관찰한 다음, 해당 웹사이트 중 하나 이상을 사용하여 악성코드를 배포하는 컴퓨터 공격 전략이다. 결국 대상 사용자 중 일부가 감염될 것이다. 특정 정보를 찾는 공격자는 특정 IP 주소에서 오는 사용자만 대상으로 할 수 있다. 이로 인해 공격을 감지하고 조사하기가 더 어려워진다. 이 이름은 자연계 포식자들이 물웅덩이 근처에서 먹이를 공격할 기회를 기다리는 전략에서 유래했다. 이 공격 전략은 2012년 RSA 블로그에서 명명되었다.

워터링 홀 공격의 가장 심각한 위험 중 하나는 쉽게 블랙리스트에 올릴 수 없는 합법적인 웹사이트를 통해 실행된다는 점이다. 또한 이러한 공격에 사용되는 스크립트와 악성코드는 종종 세심하게 제작되어 바이러스 검사 소프트웨어가 이를 위협으로 식별하기 어렵게 만든다.

## 예시
### 2011 토페도 작전
2011년 토페도 작전에서 미국 정부는 3개의 토르 웹사이트에 대한 공격을 감행했다. FBI는 웹사이트 접속을 차단하고 19일 동안 계속 운영했다. 이 기간 동안 웹사이트는 방문자의 IP 주소, 운영 체제 및 웹 브라우저를 공개하여 신원을 밝히려는 NIT를 제공하도록 수정되었다. NIT 코드는 USA 대 Cottom 사건의 일부로 공개되었다. 네브래스카 대학교 커니와 다코타 주립 대학교의 연구원들은 NIT 코드를 검토한 결과, 토르 네트워크를 통해 트래픽을 라우팅하고 신원을 보호하는 대신 사용자의 실제 IP 주소를 FBI 통제 서버로 다시 전송하는 어도비 플래시 애플리케이션임을 발견했다. 이 애플리케이션은 메타스플로이트의 디클로킹 엔진 기술을 사용했으며, 토르 웹 브라우저를 업데이트하지 않은 사용자에게만 영향을 미쳤다.

### 2012 미국 외교협회
2012년 12월, 외교협회 웹사이트가 마이크로소프트의 인터넷 익스플로러의 제로데이 취약점을 노리는 악성코드를 호스팅하고 있는 것으로 밝혀졌다. 이 공격에서는 악성코드가 영어, 중국어, 일본어, 한국어, 러시아어로 설정된 인터넷 익스플로러를 사용하는 사용자에게만 배포되었다.

### 2013 Havex ICS 소프트웨어 공급망 공격

Havex는 2013년에 발견되었으며, 지난 10년간 개발된 5가지 알려진 산업 제어 시스템 (ICS) 맞춤형 악성코드 중 하나이다. Energetic Bear는 에너지, 항공, 제약, 방위 및 석유화학 부문을 대상으로 광범위한 스파이 활동에 Havex를 사용하기 시작했다. 이 캠페인은 주로 미국과 유럽의 피해자들을 대상으로 했다. Havex는 스피어 피싱 캠페인 외에도 ICS 공급업체 소프트웨어에 대한 공급망 및 워터링 홀 공격을 악용하여 피해자 시스템에 접근했다.

### 2013 미국 노동부
2013년 초중반, 공격자들은 미국 노동부 웹사이트를 이용하여 웹사이트 방문자의 정보를 수집하는 익스플로잇을 유포했다. 이 공격은 특히 핵 관련 콘텐츠가 있는 페이지를 방문하는 사용자를 대상으로 했다.

### 2015년 패시파이어 작전
패시파이어 작전에서 미국 정부는 토르 (네트워크) 웹사이트를 압수하고 악성코드 기반의 "네트워크 조사 기술"(NIT)을 설치하여 해당 사이트에 접속하는 사용자들의 웹 브라우저를 해킹하여 그들의 신원을 드러냈다. 이 작전은 956명의 사이트 사용자를 체포하고 5명에게 징역형을 선고하는 결과를 낳았다.

### 2016년 폴란드 은행
2016년 말, 폴란드 은행은 기관 컴퓨터에서 악성코드를 발견했다. 이 악성코드는 폴란드 금융감독원의 웹 서버에서 유래한 것으로 추정된다. 이로 인한 재정적 손실은 보고되지 않았다.

### 2017년 몬트리올 국제민간항공기구 공격
2016년부터 2017년까지 몬트리올에서 미상의 단체에 의한 조직 수준의 워터링 홀 공격이 발생하여 데이터 유출이 일어났다.

### 2017년 CCleaner 공격
2017년 8월부터 9월까지, 공급업체의 다운로드 서버를 통해 배포된 CCleaner 설치 바이너리에 악성코드가 포함되었다. CCleaner는 Windows 컴퓨터에서 잠재적으로 원치 않는 파일을 정리하는 데 사용되는 인기 있는 도구로, 보안에 관심 있는 사용자들에게 널리 사용된다. 배포된 설치 프로그램 바이너리는 개발자의 인증서로 서명되어 공격자가 개발 또는 빌드 환경을 손상시키고 이를 악성코드 삽입에 사용했을 가능성이 높다.

### 2017년 NotPetya 공격
2017년 6월, 우크라이나에서 시작된 것으로 추정되는 NotPetya (ExPetr로도 알려짐) 악성코드가 우크라이나 정부 웹사이트를 손상시켰다. 공격 벡터는 사이트 사용자가 다운로드하는 방식이었다. 이 악성코드는 피해자의 하드 드라이브 내용을 지운다.

### 2018년 중국 국가 수준 공격
2017년 말부터 2018년 3월까지 중국에서 "LuckyMouse"라고도 알려진 "Iron Tiger", "EmissaryPanda", "APT 27" 및 "Threat Group-3390" 그룹에 의해 국가 수준의 워터링 홀 공격이 있었다.

### 2018년 미국 대량 감시/사생활 침해 논란
미국에서는 미국 시민 자유 연맹 (ACLU), 시민 자유 및 투명성 클리닉, 프라이버시 인터내셔널이 미국 정부의 여러 부처를 상대로 제기한 공동 민사 소송에서 미국 정부가 일반 시민의 새로운 대량 사생활 침해에 워터링 홀 공격을 사용하고 있다고 주장했다. 또한, 민사 소송의 성격은 FOIA 요청에 대한 관련 문서를 여러 기관에 제출하지 못한 것이었다.ACLU and Privacy International et al v. United States Agencies 도켓은 Courtlistener.com에서 확인 가능

### 2019년 홀리 워터 캠페인
2019년에 홀리 워터(Holy Water)라고 불리는 워터링 홀 공격이 아시아 종교 및 자선 단체를 목표로 했다. 피해자들은 어도비 플래시 업데이트를 요구받았으며, 이는 공격을 유발했다. 이 공격은 빠른 진화로 인해 독창적이고 특별했다. 동기는 여전히 불분명하다. 전문가들은 캠페인에 관련된 침해 지표(IoC)의 긴 목록과 함께 상세한 기술 분석을 제공했지만, 어떤 것도 고급 지속 위협으로 추적할 수 없었다.

## 방어 기술

표적 사용자는 워터링 홀 공격에서 배포되는 악성코드로부터, 적어도 알려진 취약점의 경우, 최신 소프트웨어 패치를 적용하여 감염을 허용하는 취약점을 제거함으로써 방어할 수 있다. 표적 조직과 웹 서버를 운영하는 조직 모두 웹사이트와 네트워크를 모니터링하고 악성 콘텐츠가 감지되면 트래픽을 차단할 수 있다. 대상 장치에 방화벽 또는 백신 소프트웨어와 같은 방어 도구를 사용하는 것도 공격으로부터 보호할 수 있다.

## 같이 보기
* 멀버타이징

## 각주

분류:악성 소프트웨어