웹셸

웹셸(Web Shell)은 웹서버에 명령을 실행하여 관리자 권한을 획득해 행하는 공격 방법을 말한다. 웹쉘이라고도 쓴다.

개요

웹셸은 웹 애플리케이션의 첨부파일에 대한 부적절한 신뢰와 불충분한 점검으로 인해 악의적인 원격 공격 코드가 웹 서버로 전송, 실행되는 방법을 말한다.

원리

웹셸은 간단한 서버 스크립트 (jsp, php, asp ..)로 만드는 방법이 널리 사용되며 이 스크립트들은 웹서버의 취약점을 통해 업로드 된 거며 웹셀 설치 시 해커들은 보안 시스템을 피하여 별도의 인증 없이 시스템에 쉽게 접속이 가능하다.

웹 애플리케이션 아키택쳐(소프트웨어)

웹쉘이 실행될 수 있는 웹 애플리케이션(Web Application) 환경을 말하며 웹쉘이 구동하기 위해서는 웹 애플리케이션의 SSS와 CSS(Client Side Script, 이하 CSS)가 필요하다.

• 홈페이지가 구동하기 위해서는 HTTP(HyperText Transfer Protocol) 를 통해 WWW상에서 정보를 주고받게 된다. 서버 측면 프로그램(Server-Side Program)에 해당하는 부분이 바로 PHP, JSP ASP, ASP·NET에 해당하는 SSS를 의미하게 되고, HTML등 Client-Side Program에 해당하는 부분이 CSS를 의미하는 거다.
• SSS는 클라이언트가 파일을 HTTP로 요청하면 웹서버(스크립트 엔진)의 정보를 이용하여 DB 서버에 접속하여 사용자에게 동적 데이터를 전송하는 것을 기본으로 하며, 최근에는 클라이언트에서 전송한 내용의 동적 데이터 생성뿐만 아니라 세션을 통한 사용자 구분 및 사용자별 서비스 제공 등 다양한 기능을 제공하는 거다. (자세한 사항은 각주의 출처 참고)

언어

서버에서 사용되는 서버 측면 프로그램(Server-Side Program)이 PHP, JSP, ASP, ASP.NET과 관련된 확장자를 통해서 서비스를 제공하게 되기 때문에 웹 셸이 구동하기 위해서는 해당 확장자의 파일을 사용해서 동작하므로 스크립트 언어와 파일 확장자 종류는 다음과 같다.

• 보이는 순서는 스크립트 언어 : 파일 확장자 순이다.
• PHP : php, php3, php4, php5, phtml, inc
• JSP : jsp, jsf
• ASP : Asp, asa, cds, cer
• ASP.NET : aspx, asax, ascx, ashx, asmx, axd, config, cs, csproj, licx, rem, resources, resx, soap, vb, vbproj, vsdisco, webinfo
• 위 목록들은 웹셸 공격에 사용되는 확장자 목록이다.

발생원인

파일 업로드 기능의 사용 여부로 분류할 수 있으며, 파일 업로드는 클라이언트에 존재하는 파일을 서버에 업로드 하는 기능을 의미한다. 일반적으로 스마트편집기(SmartEditor), 다음편집기(DaumEditor), 전자정부 프레임워크 등의 오픈소스 게시판을 이용하거나 자체 개발한 파일 업로드 기능을 이용하여 웹쉘파일의 업로드를 시도하게 되며 파일 업로드를 이용하여 웹쉘을 서버에 올리기 위한 방법으로는 SSS나 CSS에 존재하는 파일 확장자 필터링 우회, 이미지 파일 등 정상 확장자 파일 내에 공격 코드를 삽입하는 정상 확장자를 이용한 우회 등으로 분류할 수 있다.

구분

위의 발생원인 중 대표적으로 확장자 우회와 취약점이 있다.

확장자 우회

파일 확장자 우회이기도 하며 예시로는 다음과 같다.

• 서버(Server Side Script) 우회
• CSS(Client Side Script) 우회

취약점

정상 확장자(JPG, PNG 등)를 이용한 우회, WEB/WAS, 애플리케이션(Application) (OS, DBMS 등), 편집기(Editor)로 나눈다.

정상 확장자(JPG, PNG등) 이용 우회

이미지 파일에 웹쉘 백도어 코드 숨기기(Hiding Webshell Backdoor Code in Image Files)이다.

WEB/WAS

IIS 파일 구문분석 우회로 공격 아파치 스트럿츠2(IIS File Parsing Bypass Attack ​Apache Struts2) 원격 임의코드 실행 취약점(CVE-2013-2251, CVE-2016-3081, CVE-2016-4438 등 다수) 가 대표적이다.

애플리케이션(OS, DBMS 등)

• 자바 0-데이 취약성(Java 0-day Vulnerability)
• 원격 파일 포함 취약성(RFI : Remote File Inclusion Vulnerability)
• SQL 주입 취약성(SQL Injection Vulnerability)

등이 있다.

편집기

• 스마트편집기(SmartEditor) 2.3.3 : 이미지 파일 확장자 미체크
• 스마트편집기(SmartEditor) 2.8.2.1 : 파일업로드 취약점 등이있다.

파일 업로드

• 사용하는 것 : 파일 확장자 우회, 정상 확장자(JPG, PNG 등) 이용 우회, 편집기
• 사용 안 하는 것 : WEB/WAS, 애플리케이션(OS, DBMS 등)

종류

웹셀 종류는 크게 단독파일과 내용추가가 있으며 단독파일은 그 안에서도 텍스트(Text)와 이미지(Image)가 있다. 다음은 텍스트에 있는 종류들이다.

텍스트

텍스트에는 단일, 다중, 기타 등 3가지가 있다.

단일

한줄웹쉘, 단일 줄(Single-line, One-line), 웹셀, 일구화목마(后木)​등이 있으며 예시로는 다음과 같다.

• ASP : <% eval request(“cmd”) %>
• PHP :
• JSP : <% ​Runtime.getRuntime().exec(request.getParameter(“cmd”)%>

다중

1개의 파일에 다중 공격 구문이 존재하는 경우를 말하며 다음 내용은 그 예시이다.

• ASP : ASPyder, Zehir Asp Shell, ASPXSpy, ASPX Shell
• JSP : JspSpy, JspSpyWeb, jFolder, shack2, devilzShell, JSP, File Browser, jshell, JspWebshell

기타

다중분할웹쉘(Multi Division Webshell) : 공격자가 전송하는 다중분할 피라미터를 웹서버에서 재조합하는 방식이다.

이미지

그 외에 포함되며 이미지 웹셸(Image Webshell)이 대표이다.

• 이미지 파일 마지막에 공격 구문을 삽입하는 방법이다.
• 이미지 파일 구조 내에 공격 구문을 삽입하는 방법이다.

내용추가

텍스트와 같이 포함되는 것으로 그 안에 텍스트가 다중으로 되어있어서 기존에 존재하는 소스 코드에 웹셸이 삽입된 형태 를 말하는 거다. (자세한 사항은 링크 참조)

솔루션

웹셸을 방지하기 위해 여러 솔루션이 나왔지만, 기존 방식의 한계가 있었고 새로운 방식들이 나오고 있다. 먼저 기존방식의 한계다.

한계

• 시큐어 코딩(Secure Coding) : 웹 애플리케이션 보안 취약점을 제거할 수 있으나, 비용이 많이 들고, 개발/구축/유지보수 전 과정에 대한 인력 리소스 부족으로 많은 기업이 어려움을 주고 있다.
• 신ㆍ변종 웹쉘의 탐지 : 현재의 시그니처 기반의 솔루션(방화벽(Firewall), IPS, WAF)으로는 신종 웹쉘, 보안장비 우회 기법 등 신규 해킹의 방어가 현실적으로 어려움이 있으며, 다양한 우회 기법은 나날이 발전하고 있다.
• 웹 방화벽(WAF) 솔루션 : 웹 서버로 송, 수신되는 모든 패킷(Packet)의 내용을 검사하고 차단하는 웹 방화벽(WAF)은 OWASP , 국정원 취약점 등의 다양한 웹 공격을 시그니처 기반으로 탐지, 차단하기 때문에 신변종 웹쉘에 대한 완벽한 대응이 불가능하다.
• 실시간 모니터링의 필요성 : 웹쉘로 인한 해킹 피해를 최소화하기 위해서는 24시간 실시간 모니터링이 필요하고 정확하고 빠른 탐지와 신변종 웹쉘에 대한 명확한 분석이 필요하다.

위와 같은 문제를 해결하기 위해 나온 방식이 바로 실시간 웹쉘 탐지 솔루션(MetiEye)이다.

실시간 웹쉘 탐지 솔루션

보안장비에서 탐지하지 못하는 신변종 웹쉘을 정규식과 휴리스틱 탐지 기술을 사용하여, 실시간으로 탐지 웹쉘에 대한 차단, 격리 조치 등 선제 대응이 가능한 보안 솔루션이다.

구성도

네트워크 구성 환경을 분석하여 솔루션의 안정적인 성능과 보안성, 에이전트(Agent)가 설치되는 감시대상 서버의 영향력 등을 고려하여 최적화된 시스템을 구성한다.

장점

다른 장점도 있지만, 그중에서 웹쉘 탐지 기법에 대해 설명하자면

• 이미 알려진 웹쉘은 해시값을 DB화하고 정형화된 정규식 패턴 외 웹쉘 특성을 파악하는 휴리스틱(Heuristic)

탐지 기법으로 다양한 유형의 웹쉘 탐지가 가능하다.

사건

웹셀에 의한 피해는 다음과 같다.

• 해킹사고를 당한 국내 최대 규모 암호화폐 거래소빗썸의 내부 서버 등에서 웹셸이 여러 개 발견된 것으로 알려졌다. 특히, 일부 웹쉘은 2018년 6월 이전에 심어진 것으로 드러나 실제 해킹 공격은 빗썸이 공지한 2018년 6월 20일보다 이전에 발생했을 가능성이 제기된다. 또한, 최근에는 빗썸을 사칭한 스미싱 공격도 발견되고 있다. 웹셸은 서버를 해킹하는 도구 중 하나로 공격자가 원격에서 공격대상 웹 서버에 명령을 수행할 수 있도록 작성한 웹 스크립트 파일이다. 웹셸 공격은 우선 공격자가 취약점을 이용해 웹 서버에 웹셸을 심어놓은 후, 한참 뒤에 이를 작동 시켜 스팸메일 발송, 개인정보 유출 등의 명령을 실행시킬 수 있다. 확인 결과로, 2018년 6월 20일 발견된 웹셸 가운데 1개는 DRM 서버에 심겨 있었는데, 웹셸이 심어진 시기는 정황으로 볼 때 사건 발생 이전인 2018년 6월 전으로 추정되고 있고 더욱이 추가 발견되는 웹셸에 따라 6월보다 이전에 심어졌을 가능성도 있다고 한다. 이와 관련해서 한 보안전문가 : 웹 셸이 심어진 시간 간격은 사건 추적에 있어 매우 중요하다며, 한국을 타깃으로 공격했던 웹 셸이 발견된 건지, 웹셸 종류는 무엇인지 등이 사건을 풀어가는 중요한 실마리가 될 수 있고 일반적으로 공격자 입장에서는 위장 전술로 공개된 웹셸을 가져다 사용하는 경우가 많기 때문이라고 설명했다. 하지만 웹셸을 심은 서버나 시스템을 특정하기는 쉽지 않은 상황이다. 누구의 IP에서 어느 경로를 통해 심어졌는지 확인이 중요한데, 이를 위한 연결고리를 찾기가 쉽지 않기 때문이라는 것. 해킹사건을 조사하는 관계자들도 이 부분에 주목하는 것으로 알려졌다. 조사 당국 관계자 : DRM 서버에 접속한 IP를 분석하고 있지만, 방화벽 로그만으로는 시스템 특정하기가 쉽지 않다며 망분리를 하다 보면 IP가 바뀌기도 하므로 시스템을 특정하기가 어려운 게 현실이다. 컴퓨터가 확인돼야 스피어피싱 공격 여부도 확인될 수 있다고 했고, DRM 서버에 접속한 특정 컴퓨터가 발견되면 거기에서 발견된 웹셸을 바탕으로 어떻게 감염됐는지 알 수 있지만, 현재까지 웹셸을 심은 컴퓨터는 찾지 못했다며 컴퓨터를 찾아도 해커가 흔적을 다 지우고 나갔으면 추적하기가 쉽지 않다고 했다. 2018년 6월에는 빗썸을 사칭한 결제승인 문자가 나돌고 있어 이용자들의 특히 주의해야 하다. 2018년 7월 3일 빗썸 측 : 최근 빗썸을 사칭한 SMS 사례가 발생하고 있다며 빗썸을 사칭한 SMS는 빗썸페이 결제 내역을 보낸 후 해당 번호로 전화 연결을 유도해 보안 비밀번호, OTP 등과 같은 개인정보를 요구하고 있다며 공지했고, 2018년 7월 14일부터 암호화폐 전문 트레이딩 플랫폼 빗썸PRO 베타 서비스도 종료한다고 밝혔으며 이에 빗썸 관리자 : 향후 정식 서비스 오픈 계획 때문에 종료한다며 정식 서비스 일정은 추후 별도로 공지할 예정이라고 말하기도 했다. 이어서 거래종료 전까지 미체결 주문을 비롯한 모든 기존 주문은 취소할 것을 권장하며, 보유하고 있는 자산은 빗썸으로 이동 시켜 줄 것을 당부했고 자산이동 종료 이후, 남아 있는 자산은 시스템에서 순차적으로 빗썸으로 이동시킬 예정이라며, 베타 서비스 이용내역은 5년간 보관되며, 빗썸에서 조회할 수 있다고 했다.2018년 7월 3일까지 빗썸이 밝힌 암호화폐 피해 현황은 약 190억 원으로 당초 피해 규모인 350억에서 많이 감소했다. 이에 대해 빗썸 측 : 암호화폐 재단 및 전 세계 암호화폐 거래소와의 협업, 모든 암호화폐의 콜드월렛 보관(이동) 조치 등으로 탈취될 것으로 예상했던 금액 중 일부를 보존할 수 있었다며, 이번 사태가 종료될 때까지 추가 피해 방지와 피해 금액 회수 작업은 계속 진행할 예정이라고 했다. 또한, 추가 피해 방지를 위해 암호화폐의 입금 중단을 안내했지만, 이후에도 암호화폐 입금이 발생하고 있다며 암호화폐 입금 서비스는 시스템 전면 교체 등을 통해 충분한 안정성이 확보될 때까지 당분간 중단할 예정이라고 밝힌 기사 내용의 피해사례다.
• 다음 2번째 기사 내용은 랜섬웨어와 동일한 기능을 가진 신종 웹 악성코드 '웹쉘'이 등장해 보안 시장에 경고등이 켜졌다는 내용이며, 웹 보안 전문업체 유엠브이기술(대표 방윤성)은 2017년 6월 랜섬웨어 기능을 가진 신종 웹쉘을 수집해 분석한 결과로 이미 여러 해외 인터넷 사이트가 감염된 것으로 확인됐다고 밝혔다. 조만간 국내 사이트에도 유입될 것으로 예상돼 일명 '랜섬웨어 웹쉘'에 대비책 마련이 시급하다고 했다. 기존 웹쉘은 웹 서버에 명령을 수행할 수 있도록 작성한 웹 스크립트 파일로 웹 브라우저를 이용해 원격에서 서버 제어가 가능한 악성 파일을 뜻한다. 해커가 웹 서비스 취약점을 통해 웹 서버에 침투한 후 웹쉘을 업로드 해 시스템을 장악하면서 본격적인 공격을 시작한다. 이후 해커는 웹쉘을 이용해 추가로 악성 파일(랜섬웨어)을 업로드하고 시스템 명령어를 통해 실행하는 공격 방식을 사용한다. 이처럼 기존에는 업로드 기능과 시스템 명령으로 랜섬웨어를 추가 업로드 해 실행했지만 이번에 수집된 신종 웹쉘은 파일 자체가 랜섬웨어와 같은 기능을 한다. 신종 웹쉘은 방어가 쉽지 않다. 랜섬웨어는 실행형(exe, scr, vbs 등) 파일로 프로세스가 생성되면서 암호화를 진행하는 반면에 신종 웹쉘은 실행형 파일이 아닌 웹 서버 스크립트 파일로 동작하기 때문에 백신 등으로 탐지하는 데 한계가 있으며 피해자에게 금전을 요구하는 방식도 랜섬웨어와 유사하다. 기존 웹쉘은 웹 서버 시스템 파괴(웹 서비스 불가) 데이터베이스(DB) 접근을 통한 개인정보 탈취 홈페이지 변조 등 금전적 요구 없는 공격이 주를 이루었지만 새로운 유형의 웹쉘은 랜섬웨어와 동일하게 해커가 암호화할 때 사용되는 키(Key)값을 금전과 바꿀 수 있다. 신종 웹쉘이 최근 기승을 부리는 랜섬웨어 추세에 맞춰 진화된 것이고 유엠브이기술이 신종 웹쉘을 분석한 결과, 해커는 웹 브라우저를 통해 업로드 된 웹쉘에 접속하게 된다. 이후 암호화에 사용되는 키값 입력 창에 해커만 알고 있는 키값을 입력한 후 실행 버튼을 누르면 파일들을 암호화하면서 웹 설정 파일과 에러페이지를 자동으로 생성한다. 일반 사용자가 정상 페이지에 접속하면 해당 페이지가 암호화돼 있기 때문에 생성된 에러페이지를 보여주도록 웹 설정 파일까지 생성된다. 에러페이지 내용은 사이트가 록(lock)에 걸렸다는 메시지와 함께 해커 이메일 주소가 나타난다. 랜섬웨어와 같이 금전을 요구할 수 있다. 초기 웹쉘은 난독화 되어있지 않은 기본형부터 해커가 특정 사이트를 해킹 후 업로드 하여 암호설정을 통해 타인에게 계정정보를 파는 단계, 탐지 우회를 위해 코드를 변형(한줄코드)하거나 지속적인 기능을 추가하는 단계, 관리자가 알아볼 수 없도록 난독화하는 단계를 거쳤지만, 신종 웹쉘은 여기에서 그치지 않고 랜섬웨어와 닮은 단계로 진화한 것이다. 특히 인터넷을 통한 랜섬웨어 침해가 증가 추세여서 신종 웹쉘이 빠르게 확산할 우려가 높다는 거다. 방윤성 유엠브이기술 대표 : 최근 국내에서 랜섬웨어에 피해가 속출하는 등 해외 해커들의 표적이 되고 있다면서 신종 랜섬웨어 웹쉘이 확산할 조짐을 보여 국내 웹 보안 담당자들의 각별한 주의가 필요하다고 당부한 기사는 신종 웹셸의 위험성을 보여주는 거다.

대책

위처럼 웹셸 공간이 많아지면서 이에 대한 대응책도 생겨나고 있다. 다음 내용을 보고 참조하자, 2015년 6월 이와 같은 웹셸 공격으로 인해 웹 서버에 저장된 개인정보가 유출되고, 웹사이트 변조·악성코드 유포지로 악용되는 사례가 증가하고 있다. KISA 인터넷침해 대응센터에 따르면, 해킹당한 웹서버 중 웹셸이 발견된 웹서버는 90% 이상이다. 2014년 2월 26일 의사협회 8만 명, 치과의사협회 5만 6천 명, 한의사협회 2만 명 등 총 15만 6천 명의 개인정보가 유출됐다. 이 3개 협회 홈페이지는 공격자가 악성코드를 웹사이트에 심어서 관리자 권한을 획득한 후, 웹셸을 이용해 개인정보를 탈취한 것으로 조사됐으며 2014년 3월 7일 113만 명의 개인정보가 유출된 티켓몬스터의 경우에도 공격자가 홈페이지 게시판 등에 웹셸을 심어 해킹했던 사건도 있다. 이와 같은 웹셸을 탐지하고 방어하기 위해서는 웹셸 전용 보안 솔루션을 사용하는 것이 더 효과적이다. 기존 네트워크와 서버 보안 체계에서 웹셸 탐지가 쉽지 않기 때문이다. 그 이유는 여러 가지이지만 일례로 방화벽의 경우에는 허용된 IP나 포트로부터의 공격은 방어하기 어렵다. 또 네트워크 계층에서의 유해성 검사를 진행하는 IDS/IPS의 경우에는 애플리케이션 취약성 공격에 대해서는 방어가 거의 불가능해서 이에 많은 사람이 이용하는 공공기관의 홈페이지는 웹 보안 강화는 필수적이다. 웹셸에 효과적으로 대응하기 위해서는 웹 애플리케이션 파일의 임의 생성 및 변조를 실시간으로 탐지해야 하고 탐지 즉시 처리할 수 있어야 한다. 특히 ASP, JSP, PHP 등 다양한 웹 스크립트 탐지를 지원하고 지속적인 R&D를 통해 진화하는 웹쉘 탐지 패턴을 보유할 수 있어야 하고 상시 모니터링으로 취약점을 제거하고 웹사이트의 개발·운영 전반에 걸쳐 보안을 강화해야 한다고 했으며 웹셸 솔루션 전문 기업 유엠브이기술 조혁래 이사 : 최근 해킹으로 인한 정보 유출 사건이 대부분이 웹셸 공격으로 이루어졌다. 이에 고객들은 웹셸 전용 솔루션의 필요성은 인식하고는 있으나, 도입예산 문제로 아직 시장이 크게 확대되지는 않고 있다고 말했고 이어서 웹셸 방어 솔루션은 특히 공공이나 금융 분야에서 대부분 도입하고 있다. 많은 사용자가 이용하고 있기 때문에 웹 보안 강화를 위해서는 필수적이지만 기관이나 기업에서의 웹셸 탐지 솔루션 도입이 확대되지 않고 있어 보안 위협에 여전히 노출되어 있다고 말하기도 했다. 이러한 웹셸 탐지 및 방어 솔루션은 국내 약 7개 정도의 솔루션이 시장에 나와 있다고 전해졌으며 유엠브이기술의 통합 웹 보안 솔루션 ‘웹서버세이프가드(WSS)2.5’는 쉘모니터(ShellMonitor)와 포저리모니터로 구성되어 있다. 쉘모니터(ShellMonitor)는 웹서버 악성코드 탐지 방어를 위한 전용 보안 솔루션이고 WSS 포저리모니터는 서비스 중인 홈페이지 위·변조가 발생하면 실시간으로 인지하며, 쉘모니터는 위·변조가 되지 않은 원본 파일로 즉시 복원하고 관리자에게 통보한다. 웹페이지 위·변조로 인한 기업이나 기관 신뢰도 하락을 막을 수 있다. 웹셸만 탐지하는 제품과 달리 통합적인 웹 보안의 방향을 제시한다. 또한 윈도우서버, 리눅스, 유닉스 등 모든 웹 서버 OS를 지원하며 ASP, JSP, PHP, HTML, JS 등의 웹 서비스 언어를 포함한 이미지 등 모든 소스 파일을 대상으로 웹 서버 악성코드인 웹셸, 악성코드 유포지 URL 및 웹 서버 개인정보를 탐지한다. 이것에 대해서 쉘모니터는 악성코드 탐지 시 이메일, SMS를 통한 알림 기능과 에이전트를 그룹별로 구분해 그룹별 에이전트 상태 정보 파악이 가능하며 관리자별 사용기능 제한, 접근 경로 제한, 웹서버 악성코드(웹셸)와 악성코드 유포지 URL 탐지 내역에 대한 통계 등으로 외부 통합보안 관리시스템(ESM) 연동을 지원한다고 했다. 이지시큐어의 ‘셸캅(ShelCop)’은 해커가 웹서버의 취약점을 이용해 웹서버 관리자 계정을 획득한 후, 저장된 내부자료를 유출하거나 백도어 프로그램을 설치하는 등 악의적인 목적으로 웹서버에 설치한 웹셸 프로그램을 탐지하고 발견 시, 실행을 방지하는 솔루션이다. 또한, 웹서버의 해킹을 사전에 방지하거나 해킹 발생 후, 정보 유출과 해킹의 거점으로 사용되는 2차 피해를 방지하는 거다. 인포섹의 웹 보안 관제 서비스를 위한 웹쉘 탐지 전용 솔루션 ‘더블유 쉴드 안티웹쉘(W-Shield Anti-webshell)’은 다년간 웹쉘과 악성코드로 인한 해킹 사고에 대응하면서 축적한 400여 개의 웹쉘 패턴 노하우와 난독화된 웹쉘을 탐지하기 위한 암호해독(Decoding) 엔진을 통해 다양한 웹쉘 공격에 대한 대응이 가능하며, 논-에이전트(Non-Agent) 방식으로 시스템 부하를 최소화하고 안정성을 확보했다. 특히 드라이브 바이 다운로드 공격 탐지 솔루션인‘더블유쉴드 MDS(Malware Detection System)’와 연동해 사용하면 더욱 효과적이다.하로스‘쉘가드(Shell GUARD)’는 국내에서 처음으로 웹쉘 탐지 솔루션 ‘휘슬(WHISTL)’을 한국인터넷진흥원과 공동 개발했으며 현재 약 4,000여 기업에서 사용 중이다. 셸가드는 하나 이상의 웹서버에 대해 각각 웹셸 프로그램을 탐지하고 관리자는 중앙관리 및 조치가 가능하다. 특히, 업로드 파일에 대한 웹셸 프로그램을 실시간으로 탐지하고 원격관리를 통한 즉각적인 대응이 가능하다. 에이쓰리시큐리티 ‘이지스 셸 모니터(AEGIS Shell Monitor)’는 웹 서버 해킹에 사용되는 악성 프로그램인 웹셸을 실시간 모니터링 하고 탐지하는 신개념 웹 보안 관제 서비스로 웹셸을 방어하는 웹서버 단의 최종 방어수단이며 특히, 여러 웹서버에 침투한 웹셸을 실시간으로 감시하고 수 천대의 웹 서버를 통합 관제하는 웹셸 탐지 솔루션으로, 웹(HTTP)을 통한 데이터베이스 유출방지 서버 조작-시스템 내부 명령 실행 방지 웹셸을 통한 악성코드 설치 방지 우회 공격을 통한 웹셸 삽입 및 수정 방지 등의 기능을 제공한다. 파이오링크는 자사 웹방화벽인 ‘웹프론트-K’에 실시간 웹쉘 탐지 전문 솔루션을 연동해 강화된 보안 기능을 제공한다. 웹프론트-K는 웹서버 앞에 위치, 불법 요청·응답을 차단하기에 기본적으로 웹쉘 공격에 대한 방어기능이 있다. 하지만 웹 방화벽 설치 전, 또는 웹 방화벽을 우회하는 웹쉘 공격 방어를 위해서는 전문 솔루션의 추가 도입이 필요하다. 탐지와 분석을 이원화해 고객의 웹서버 부하를 최소화하고, 다양한 분석 방법, 지속적 패턴 생성 및 분석, 난독화 기술 등을 결합해 탐지 신뢰도를 높인 것이 장점이다. 이처럼 웹셸은 공격자들이 가장 많이 사용하는 기본적인 공격기법이다. 웹셸에 의한 해킹은 홈페이지 변조, 시스템 파괴, 데이터베이스 유출, 디도스 공격, 악성코드 유포 등 다양한 공격이 가능하므로 더욱더 위협적이다. 또한, 이로 인해 개인정보 유출 등 대규모 2차 피해로 이어지는 사례가 많았다. 2015년 6월 들어 웹셸 전용 솔루션을 활용한 보안 강화에 관심이 높아지고 있는 만큼 사용자들은 다양한 웹셸 솔루션들의 기능을 꼼꼼히 따져보고, 회사에 적합한 웹셸 전용 솔루션을 도입해 보안 수준을 한층 강화할 필요가 있으며 SSR의‘메티아이(MetiEye)’는 휴리스틱 엔진을 탑재한 웹셸 탐지 및 방어 솔루션이다. 모의 해킹 컨설팅에서 사용되는 자체 제작된 웹셸의 패턴 테스트 등 30여 명의 전문 보안 컨설턴트가 현장에서 수집하는 패턴으로 수시 업데이트를 진행하고 있는 것이 특징이다. 또한 알려지지 않은 웹셀과 우회 기법을 탐지하는 기능이 강점이다. 특히, 에이전트 기반의 다른 제품들과 달리 서버에 설치되지 않고 스크립트 기반으로 복사해서 붙여넣기로 가능하기 때문에 시스템 운영자들이 가장 우려하는 서비스 가용성이나 안정성에 전혀 부담이 없는 것도 특징이다. SSR의 김병규 솔루션사업본부 부장 : 웹셸 탐지 솔루션의 오탐과 미탐을 보완하기 위해 SSR은 자체 개발한 행위기반의 ‘휴리스틱 엔진’으로 웹셸만의 특징을 탐지하도록 하는 기능을 개발했다. 또, 해시 값을 대조하는 방식의 해시기만 탐지 기능은 알려진 웹셸을 탐지하기 때문에 오탐이 없는 것도 장점이라고 할 수 있다고 강조한 내용은 웹셸 공격에 대한 기업들이 어떤 제품을 내놓았는지 알려주는 내용이다.

참고자료

• 〈웹 셸〉, 《네이버 지식백과》
• 〈웹 셸〉, 《위키백과》
• 서비스사업본부 보안분석팀 김미희, 〈보안정보〉, 《이글루시큐리티》, 2017-02-01
• 〈웹쉘〉, 《에스에스알》
• 〈해킹사고 빗썸, 웹셸 다수 발견...결제승인 사칭 문자도 출현〉, 《보안뉴스》, 2018-07-03
• 서동규기자, 〈랜섬웨어 꼭 닮은 신종 '웹쉘' 등장..인터넷 보안 비상등〉, 《다음뉴스》, 2017-06-26
• 김태형, 〈웹서버 해킹 주범 ‘웹셸’ 제거하기 대작전〉, 《보안뉴스》, 2015-06-08

같이보기

• 휴리스틱
• 차단