Watering Hole 공격의 표적 침투 방식과 방어 전략

표적이 찾는 웹사이트를 침투 경로로 바꾸는 공격

Watering Hole 공격은 특정 조직이나 그룹을 겨냥하는 APT(Advanced Persistent Threat) 기법이다. 공격자는 표적 구성원이 자주 방문하는 웹사이트를 찾아 감염시킨 뒤, 그 방문자를 통해 궁극적으로 조직 내부에 들어간다. 먹잇감이 모이는 물 웅덩이를 노리는 방식에 빗댄 이름이다.

조직을 직접 겨냥하는 대신 신뢰받는 제3자 웹사이트를 경유하므로, 기존 방어 체계를 우회하기 쉽다. 국가 지원 해커 그룹이나 고도화된 사이버 범죄 조직이 활용하는 이유도 여기에 있다.

웹사이트 감염에서 내부 침투까지

공격은 먼저 특정 조직 또는 산업군을 선정하고, 구성원이 반복해서 방문하는 사이트를 식별하는 데서 시작한다. 이후 해당 사이트의 취약점을 이용해 침투하고 악성코드를 심는다.

표적 사용자가 감염된 사이트에 접속하면 악성코드가 실행될 수 있으며, 공격자는 감염 시스템을 발판으로 내부 네트워크에 침투한다. 최종 목적은 중요 정보 탈취이거나 추가 공격을 위한 거점 확보일 수 있다.

이 방식에서는 표적 지향성이 핵심이다. 금융 기관을 노리는 경우 금융 전문가가 자주 이용하는 뉴스 사이트나 포럼을 감염시키는 식이다. 무차별 배포가 아니라 표적의 이용 행태를 전제로 하므로 공격 성공률이 높아질 수 있다.

탐지를 어렵게 만드는 특성

Watering Hole 공격은 조직이 신뢰하는 외부 웹사이트를 활용한다. 사용자가 의심스러운 링크를 열지 않았더라도, 정상적인 업무·정보 탐색 과정에서 감염 사이트를 방문할 수 있다.

알려지지 않은 제로데이(Zero-day) 취약점이 사용되면 패치와 대응책이 준비되지 않은 상태에서 공격이 이뤄질 수 있다. 사용자의 별도 클릭 없이 사이트 방문만으로 악성코드가 내려받아지는 드라이브 바이 다운로드(Drive-by Download) 기법도 주요 위험 요소다.

공격은 일회성 감염에 그치지 않고 장기적인 정보 수집과 내부 침투를 목표로 한다. 따라서 개별 URL 차단만으로는 대응 범위가 충분하지 않을 수 있다.

알려진 공격 사례가 보여주는 표적 선택

VOHO 캠페인에서는 2012년 모바일 기기 제조업체, 금융 서비스 회사, 정부 기관 등이 표적이 됐고, 관련 산업의 웹사이트가 감염됐다. 이 공격에는 iOS 기기를 겨냥한 제로데이 취약점이 활용됐다.

2013년에는 페이스북, 애플, 마이크로소프트 등 주요 기술 기업 개발자가 자주 방문하던 캠브리지 대학교 iOS 개발자 포럼이 감염됐다. 공격자는 이를 통해 해당 기업의 내부 시스템을 노렸다.

2018년 평창 동계올림픽 관련 조직을 겨냥한 공격에서는 올림픽 관련 웹사이트가 감염돼 방문자 시스템을 공격했다. 2020년 코로나19 팬데믹 기간에는 보건 관련 기관을 겨냥한 공격이 증가했고, WHO 등 보건 기관 웹사이트를 모방한 사이트가 공격에 사용됐다.

예방부터 복구까지 이어지는 방어 체계

웹사이트 운영 측면에서는 정기적인 보안 감사로 취약점을 점검하고 보완해야 한다. 콘텐츠 보안 정책(CSP)은 승인되지 않은 스크립트 실행을 제한하는 데 쓰이며, 서브리소스 무결성(SRI)은 외부 스크립트와 스타일시트의 무결성을 검증한다.

사용자는 의심스러운 웹사이트 방문에 주의하고, 브라우저와 플러그인을 최신 버전으로 유지해야 한다. 웹 브라우징에는 최소 권한 계정을 사용하는 편이 좋다.

운영체제, 브라우저, 플러그인의 보안 업데이트를 신속히 적용하고, 애플리케이션 화이트리스팅으로 승인된 프로그램의 실행만 허용한다. 브라우저를 샌드박스 환경에서 실행하면 시스템에 미치는 영향을 줄일 수 있다.

네트워크 세그먼테이션은 중요 시스템과 데이터를 분리해 측면 이동을 막는 수단이다. DNS 필터링으로 악성 도메인 접근을 차단하고, 웹 프록시로 웹 트래픽을 검사·필터링하는 통제도 함께 고려할 수 있다.

탐지 단계에서는 비정상적인 아웃바운드 연결과 의심스러운 DNS 요청을 모니터링한다. 엔드포인트 보안 솔루션의 이상 행위 탐지, 시스템 변경사항 모니터링, 알려진 Watering Hole 공격 관련 침해지표(IOC) 추적과 위협 인텔리전스 활용도 필요하다.

감염이 의심되면 해당 시스템을 즉시 네트워크에서 격리하고, 악성코드 분석과 영향 범위 평가를 수행한다. 이어 공격 벡터와 침투 경로를 포렌식으로 확인하고 데이터 유출 여부를 조사한다. 복구 또는 재구축 후에는 같은 유형의 공격을 막을 수 있도록 보안 체계를 강화해야 한다.

더 정밀해지는 표적과 복합 경로

초기에는 특정 산업군을 겨냥하던 공격이 조직 내부의 특정 부서나 개인을 정밀하게 노리는 방향으로 바뀌고 있다. 코드 난독화, 암호화, 메모리 상주형 악성코드처럼 탐지를 피하는 기술도 발전하고 있다.

공격 경로 역시 웹사이트에만 머물지 않는다. 서드파티 서비스, CDN, 광고 네트워크를 매개로 한 공급망 공격과 결합할 수 있다. 초기 감염 뒤 추가 페이로드를 단계적으로 내려받는 멀티 스테이징 기법은 각 단계의 관찰을 어렵게 만든다.

구성원이 자주 이용하는 외부 서비스까지 보안 관점에서 살피고, 제로데이 취약점에 대비한 다중 방어 체계를 유지해야 한다. 공격 기법의 변화를 모니터링하면서 위협 인텔리전스와 대응 절차를 계속 갱신하는 일이 필요하다.