Drive-by Download 공격의 감염 경로와 방어 전략

웹 페이지 방문이 감염으로 이어지는 경로

Drive-by Download는 사용자가 의도하지 않은 상태에서 악성 소프트웨어가 자동으로 다운로드되고 설치되는 공격 기법이다. 악성 웹사이트를 열거나 감염된 광고를 클릭하는 것만으로도 시작될 수 있다. 공격은 웹 브라우저, 플러그인, 운영체제의 보안 취약점을 이용해 사용자 동의나 인지 없이 시스템을 감염시킨다.

공격 흐름은 대체로 초기 접근, 취약점 스캔, 익스플로잇 실행, 페이로드 전달 순서로 진행된다. 사용자가 악성 웹사이트에 접속하거나 합법적인 웹사이트에 삽입된 악성 광고를 클릭하면, 악성 스크립트가 브라우저와 플러그인의 취약점을 확인한다. 취약점이 발견되면 이를 통해 악성코드를 내려받고 실행한 뒤 실제 악성 프로그램을 설치한다.

⤢✕

브라우저부터 외부 콘텐츠까지 이어지는 침투면

웹 브라우저 취약점

패치되지 않은 구버전 브라우저의 보안 결함은 주요 표적이 된다. Chrome, Firefox, Safari, Edge 등 모든 주요 브라우저가 대상이 될 수 있다.

2019년에는 Google Chrome의 제로데이 취약점(CVE-2019-5786)을 이용한 Drive-by Download 공격이 발생했으며, 이를 통해 원격 코드 실행이 가능했다.

플러그인 취약점

Adobe Flash, Java, PDF 리더 같은 브라우저 플러그인도 자주 악용된다. 특히 Flash는 과거 많은 Drive-by Download 공격의 주요 경로였다.

Angler 익스플로잇 킷은 Adobe Flash의 여러 취약점을 이용해 2015년 대규모 Drive-by Download 캠페인을 전개했다.

악성 광고와 웹 위젯

Malvertising은 합법적인 웹사이트에 게시된 광고에 악성코드를 심는 방식이다. 사용자가 광고를 클릭하거나 페이지를 단순히 로드하는 것만으로 공격이 시작될 수 있다. 2016년에는 The New York Times, BBC, MSN 등 주요 웹사이트에서 악성 광고를 통한 Drive-by Download 공격이 발생했다.

웹사이트에 포함된 위젯, 소셜 미디어 버튼, 댓글 시스템처럼 외부에서 제공되는 콘텐츠도 전파 경로가 된다. 2018년 Magecart 그룹은 서드파티 결제 위젯을 감염시켜 수백 개 웹사이트의 사용자 정보를 탈취했다.

탐지 회피를 위한 전달 방식

HTML과 JavaScript 난독화

공격자는 악성 코드의 탐지를 어렵게 하기 위해 다양한 난독화 기법을 사용한다.

// 난독화된 JavaScript 예시
eval(
  (function (p, a, c, k, e, d) {
    e = function (c) {
      return c;
    };
    if (!"".replace(/^/, String)) {
      while (c--) {
        d[c] = k[c] || c;
      }
      k = [
        function (e) {
          return d[e];
        },
      ];
      e = function () {
        return "\\w+";
      };
      c = 1;
    }
    while (c--) {
      if (k[c]) {
        p = p.replace(new RegExp("\\b" + e(c) + "\\b", "g"), k[c]);
      }
    }
    return p;
  })(
    '8 7={"6":5,"4":"3","2":1,"0":"9"};',
    10,
    10,
    "command|download|action|malware.exe|file|true|execute|config|var|http://malicious-domain.com/".split(
      "|",
    ),
    0,
    {},
  ),
);

익스플로잇 킷의 자동화

익스플로잇 킷은 여러 취약점을 순차적으로 시도하는 자동화된 공격 도구다. 접속한 사용자의 브라우저와 운영체제 환경을 식별하고, 조건에 맞는 취약점을 골라 익스플로잇과 페이로드를 전달한다.

⤢✕

주요 익스플로잇 킷에는 다음이 있다.

Angler
Neutrino
RIG
Magnitude
Fallout

단계적으로 내려오는 페이로드

직접 악성코드를 설치하는 대신 여러 단계의 다운로더를 거치면 탐지를 회피하기 쉬워진다.

1단계: 초기 익스플로잇 →
2단계: 다운로더 설치 →
3단계: 스테이징 페이로드 →
4단계: 실제 악성코드 다운로드 및 실행

개인 환경과 조직 환경의 방어 지점

개인 환경에서는 브라우저와 OS를 최신 상태로 유지하고 모든 소프트웨어의 보안 패치를 즉시 적용해야 한다. Flash, Java 같은 고위험 플러그인은 제거하며, NoScript, uBlock Origin 등의 브라우저 확장 프로그램을 활용해 스크립트를 차단할 수 있다. 브라우저를 샌드박스 환경에서 실행하는 방법도 시스템 감염을 막는 수단이 된다.

조직은 악성 웹사이트 접근을 막는 웹 필터링, 비정상 트래픽을 찾는 네트워크 모니터링, 악성코드 설치 시도를 차단하는 엔드포인트 보호 솔루션을 함께 운영해야 한다. 최신 위협 정보를 수집하고 보안 시스템에 적용하는 보안 인텔리전스도 방어 체계의 일부다.

⤢✕

행위 기반 분석으로 제로데이 공격을 탐지하는 AI 기반 탐지 시스템, 실시간 위협 정보를 보안 시스템에 반영하는 위협 인텔리전스 통합, 원격 브라우징 격리(RBI)를 이용한 브라우저 격리 기술도 대응 수단으로 활용된다. 컨텐트 디스암블러는 문서와 웹 콘텐츠에서 악성 요소를 제거한 뒤 재구성한다.

Waterhone과 SocGholish가 보여준 공격 양상

Waterhone 캠페인 (2020)

Waterhone은 홍콩의 정치 관련 웹사이트를 통해 iOS 장치를 표적으로 삼은 Drive-by Download 공격이다. 웹사이트 방문자의 iOS 버전을 확인한 뒤 취약한 기기에 제로데이 익스플로잇을 실행했다. 감염된 기기에는 스파이웨어가 설치되어 위치 정보, 메시지, 연락처 등이 유출되었다.

SocGholish 캠페인 (2021-2022)

SocGholish는 가짜 브라우저 업데이트 알림으로 사용자를 속이는 Drive-by Download 기법이다. 해킹된 합법적 웹사이트는 방문자에게 "귀하의 브라우저가 오래되었습니다"라는 알림을 표시하고, 업데이트 파일로 위장한 악성코드를 다운로드하도록 유도했다. 이후 원격 접속 트로이 목마(RAT)를 설치해 공격자에게 시스템 제어권을 넘겼다.

모바일·공급망·표적화로 넓어지는 공격 표면

스마트폰과 태블릿을 겨냥한 Drive-by Download 공격이 증가하고 있다. 특히 안드로이드 기기의 브라우저 취약점과 앱 설치 권한을 악용하는 사례가 늘고 있다.

합법적인 웹사이트나 서비스를 침해해 광범위한 사용자를 대상으로 삼는 방식도 증가하고 있다. CDN(Content Delivery Network)이나 광고 네트워크를 통한 대규모 감염 시도가 보고되고 있다.

무차별 공격보다 특정 조직이나 개인을 겨냥한 정교한 공격도 증가하고 있다. 이런 공격은 사용자의 브라우저 환경, 위치, 언어 설정 등을 바탕으로 특정 조건에서만 실행되도록 설계된다.

Drive-by Download는 단순한 웹 서핑만으로도 감염이 시작될 수 있으며, 제로데이 취약점을 이용하는 경우 탐지와 방어가 특히 어렵다. 소프트웨어 업데이트, 다층 보안 솔루션, 사용자 보안 인식을 함께 유지하고, 조직에서는 보안 인텔리전스·네트워크 모니터링·엔드포인트 보호를 통합적으로 구축해야 한다.