Human: 오로라 작전은 중국 베이징에 기반을 두고 인민해방군과 연계된 엘더우드 그룹과 같은 지능형 지속 위협 조직이 수행한 일련의 사이버 공격입니다.[2] 2010년 1월 12일 구글이 블로그 게시물을 통해 처음 공개한[1] 이 공격은 2009년 중반에 시작되어 2009년 12월까지 계속되었습니다[3].

이 공격은 수십 개의 다른 조직을 겨냥했으며, 이 중 어도비 시스템즈,[4] 아카마이 테크놀로지스,[5] 주니퍼 네트웍스,[6] 랙스페이스[7]가 공격 대상이 되었다고 공개적으로 확인했습니다. 언론 보도에 따르면 야후, 시만텍, 노스롭 그루먼, 모건 스탠리[8], 다우케미컬[9]도 공격 대상에 포함되었습니다.

공격 이후 구글은 블로그를 통해 "법이 허용하는 범위 내에서" 중국에서 완전히 검열되지 않은 버전의 검색 엔진을 운영할 계획이라고 밝혔으며, 이것이 불가능할 경우 중국을 떠나 중국 사무소를 폐쇄할 수도 있다고 인정했습니다.[1] 중국의 공식 소식통은 이것이 미국 정부가 개발한 전략의 일부라고 주장했습니다.[10]

사이버 보안 기업 맥아피의 위협 연구 담당 부사장인 드미트리 알페로비치는 이 공격을 "오로라 작전"이라고 명명했습니다. 맥아피 연구소의 조사 결과, 맥아피가 공격과 관련이 있다고 밝힌 두 개의 멀웨어 바이너리에 포함된 공격자 컴퓨터의 파일 경로에 "오로라"라는 이름이 포함되어 있는 것을 발견했습니다. "우리는 이 이름이 공격자가 이 작전에 부여한 내부 이름이라고 생각합니다."라고 맥아피 최고 기술 책임자 조지 커츠는 블로그 게시물에서 말했습니다.[11]

맥아피에 따르면 공격의 주요 목표는 이러한 하이테크, 보안 및 방위 계약업체의 소스 코드 저장소에 액세스하여 잠재적으로 수정하는 것이었습니다. 알페로비치는 "[SCM은] 활짝 열려 있었습니다."라고 말합니다. "아무도 보안에 대해 생각해 본 적이 없었지만, 이 자료는 여러 가지 면에서 대부분의 회사에서 가장 중요한 자료로, 회사가 보유하고 있고 보호하는 데 많은 시간과 노력을 들이는 그 어떤 금융 데이터나 개인 식별 데이터보다 훨씬 더 가치가 있습니다."[12]

역사

중국 철수 발표 후 구글 차이나 본사 밖에 남겨진 꽃들
2010년 1월 12일, 구글은 블로그를 통해 사이버 공격의 피해자가 되었다고 밝혔습니다. 구글은 공격이 12월 중순에 발생했으며 중국에서 시작되었다고 밝혔습니다. 구글은 20개 이상의 다른 기업이 공격을 받았다고 밝혔지만, 이후 다른 소식통에 따르면 34개 이상의 조직이 표적이 되었다고 합니다.[9] 공격의 결과로 구글은 중국에서의 사업을 검토하고 있다고 밝혔습니다.[1] 같은 날 힐러리 클린턴 미국 국무장관은 공격을 비난하고 중국에 대응을 요청하는 짧은 성명을 발표했습니다[13].

2010년 1월 13일, 통신사 올헤드라인뉴스는 미국 의회가 중국 정부가 인권 운동가들을 감시하기 위해 구글의 서비스를 사용했다는 구글의 주장을 조사할 계획이라고 보도했습니다.[14]

베이징에서는 방문객들이 구글 사무실 밖에 꽃을 놓아두었습니다. 그러나 중국 보안 요원이 "불법적인 꽃 헌화"라고 말하면서 나중에 제거되었습니다.[15] 익명의 관계자는 중국이 구글의 의도에 대해 더 많은 정보를 찾고 있다고 말했지만[16] 중국 정부는 아직 공식적인 답변을 내놓지 않았습니다.

관련 공격자
추가 정보: 중국의 사이버 전쟁
IP 주소, 도메인 이름, 멀웨어 서명 및 기타 요인을 포함한 기술적 증거는 오로라 작전 공격의 배후에 엘더우드가 있음을 보여줍니다. '엘더우드' 그룹은 공격자들이 사용한 소스 코드 변수의 이름을 따서 시만텍에서 명명했으며, Dell Secureworks에서는 '베이징 그룹'으로 불립니다. 이 그룹은 구글의 소스 코드 일부를 확보하고 중국 활동가들에 대한 정보에 접근할 수 있었습니다.[17] 엘더우드는 또한 해운, 항공, 무기, 에너지, 제조, 엔지니어링, 전자, 금융, 소프트웨어 분야의 수많은 다른 기업들도 표적으로 삼았습니다.[2][18]

Google을 공격한 중국 위협 행위자에 대한 "APT" 명칭은 APT17입니다.[19]

엘더우드는 주요 방위 기업을 위해 전자 또는 기계 부품을 제조하는 2차 방위 산업 공급업체를 공격하고 침투하는 데 특화되어 있습니다. 그런 다음 이러한 업체는 상위권 방위 계약업체에 접근하기 위한 사이버 "디딤돌"이 됩니다. 엘더우드가 사용하는 공격 절차 중 하나는 표적 기업의 직원들이 자주 방문하는 합법적인 웹사이트를 감염시키는 것인데, 이는 사자가 먹이를 찾기 위해 물웅덩이를 파는 것처럼 소위 '워터홀' 공격이라고도 불립니다. 엘더우드는 보안이 취약한 이러한 사이트를 멀웨어로 감염시켜 해당 사이트를 클릭하는 컴퓨터로 다운로드합니다. 그런 다음 감염된 컴퓨터가 연결된 네트워크 내부를 검색하여 경영진의 이메일과 회사 계획, 의사 결정, 인수, 제품 설계에 관한 중요 문서를 찾아 다운로드합니다.[2][3]

공격 분석
구글은 블로그 게시글에서 자사의 지적 재산 중 일부가 도난당했다고 밝혔습니다. 공격자들은 중국 반체제 인사들의 Gmail 계정에 액세스하는 데 관심이 있었다고 합니다. 파이낸셜 타임즈에 따르면 아이웨이웨이가 사용하는 계정 두 개가 공격을 받아 그 내용을 읽고 복사했으며, 그의 은행 계좌는 "불특정 범죄 혐의"로 조사를 받고 있다고 주장하는 국가 보안 요원들에 의해 조사되었습니다.[20] 그러나 공격자들은 두 계정의 세부 정보만 볼 수 있었으며, 그 세부 정보는 제목과 계정 생성 날짜 등으로 제한되었습니다.[1]

보안 전문가들은 공격의 정교함에 즉시 주목했습니다.[11] 공격이 공개되고 이틀 후, 맥아피는 공격자들이 인터넷 익스플로러의 제로데이 취약점(수정되지 않았으며 대상 시스템 개발자에게 알려지지 않은 취약점)을 악용했다고 보고하고 이 공격을 "오로라 작전"이라고 불렀습니다. 맥아피가 보고한 지 일주일 후, 마이크로소프트는 이 문제에 대한 수정 사항을 발표했고[21] 9월부터 사용된 보안 취약점에 대해 알고 있었다고 인정했습니다.[22] 구글이 소스 코드를 관리하는 데 사용하는 소스 코드 수정 소프트웨어인 퍼포스에서 추가 취약점이 발견되었습니다[23][24].

베리사인의 아이디펜스 랩은 이 공격이 "중국 국가 또는 그 대리인"에 의해 자행되었다고 주장했습니다.[25][26]

베이징 주재 미국 대사관의 외교 케이블에 따르면 중국 소식통은 중국 정치국이 구글의 컴퓨터 시스템에 대한 침입을 지시했다고 보도했습니다. 이 케이블은 이 공격이 "중국 정부가 고용한 정부 요원, 공안 전문가, 인터넷 무법자"가 조직적으로 실행한 캠페인의 일부라고 제안했습니다."[26] 이 보고서는 공격자들이 "2002년부터 미국 정부 컴퓨터와 서방 동맹국, 달라이 라마, 미국 기업의 컴퓨터에 침입해 온 지속적인 캠페인의 일환"이라고 제안했습니다."[27] 이 유출에 대한 가디언의 보도에 따르면, 이 공격은 "정치국의 한 고위 인사가 글로벌 버전의 검색 엔진에 자신의 이름을 입력한 후 자신을 개인적으로 비판하는 기사를 발견하여 조율한 것"이라고 합니다."[28]

피해자의 시스템이 손상되면 SSL 연결을 가장한 백도어 연결이 일리노이, 텍사스, 대만에서 실행되는 명령 및 제어 서버에 연결되었으며, 여기에는 도난당한 Rackspace 고객 계정으로 실행되는 머신도 포함되었습니다. 그런 다음 피해자의 컴퓨터는 자신이 속한 보호된 기업 인트라넷을 탐색하기 시작하여 다른 취약한 시스템과 지적 재산의 소스, 특히 소스 코드 저장소의 콘텐츠를 검색하기 시작했습니다.

공격자가 의도적으로 명령 및 제어 서버를 종료했는지 여부는 현재로서는 알 수 없지만, 1월 4일에 명령 및 제어 서버가 다운되면서 공격이 확실히 종료된 것으로 생각되었습니다.[29] 그러나 공격은 2010년 2월 현재에도 계속 발생하고 있습니다.

대응 및 여파
독일, 호주, 프랑스 정부는 공격 이후 인터넷 익스플로러 사용자에게 공개적으로 경고를 발령하고 보안 취약점이 수정될 때까지 대체 브라우저를 사용하라고 권고했습니다.[30][31][32] 독일, 호주, 프랑스 정부는 모든 버전의 인터넷 익스플로러가 취약하거나 잠재적으로 취약한 것으로 간주했습니다.[33][34]

2010년 1월 14일, 마이크로소프트는 권고문에서 구글과 다른 미국 기업을 노리는 공격자들이 인터넷 익스플로러의 허점을 악용하는 소프트웨어를 사용했다고 밝혔습니다. 이 취약점은 윈도우 7, 비스타, 윈도우 XP, 서버 2003, 서버 2008 R2의 인터넷 익스플로러 버전 6, 7, 8과 윈도우 2000 서비스 팩 4의 IE 6 서비스 팩 1에 영향을 줍니다[35].

공격에 사용된 인터넷 익스플로러 익스플로잇 코드는 공개 도메인에 공개되었으며, 메타스플로잇 프레임워크 침투 테스트 도구에 통합되었습니다. 익스플로잇의 사본은 산타바바라 캘리포니아 대학의 컴퓨터 보안 그룹에서 운영하는 웹 기반 멀웨어 탐지 및 분석 서비스인 Wepawet에 업로드되었습니다. "익스플로잇 코드가 공개됨에 따라 인터넷 익스플로러 취약점을 이용한 공격이 광범위하게 발생할 가능성이 높아졌습니다."라고 맥아피의 CTO인 조지 커츠는 이 공격에 대해 설명했습니다. "이제 공개 된 컴퓨터 코드는 사이버 범죄자들이 취약점을 사용하여 Windows 시스템을 손상시키는 공격을 만드는 데 도움이 될 수 있습니다."[36].

보안 회사 웹센스는 악성 웹 사이트로 이동한 사용자에 대한 드라이브 바이 공격에서 패치되지 않은 IE 취약점의 "제한된 공개 사용"을 확인했다고 밝혔다.[37] 웹센스에 따르면 발견한 공격 코드는 지난주에 공개되었던 익스플로잇과 동일합니다.[맥아피의 최고 기술 책임자인 조지 커츠는 블로그 업데이트에서 "취약점이 공개되고 공격 코드가 공개되어 광범위한 공격 가능성이 높아짐에 따라 현재 인터넷 익스플로러 사용자는 실제적이고 현존하는 위험에 직면해 있습니다."라고 말했습니다.[38] 이러한 추측을 확인한 웹센스 보안 연구소는 1월 19일에 익스플로잇을 사용하는 추가 사이트를 확인했습니다.[39] 안랩의 보고서에 따르면 두 번째 URL은 한국에서 인기있는 메신저 클라이언트인 미스리 메신저 네트워크를 통해 퍼졌습니다.

연구원들은 인터넷 익스플로러 7(IE7)과 IE8의 취약점을 악용하는 공격 코드를 만들었는데, 마이크로소프트의 권장 방어 조치(데이터 실행 방지(DEP))가 켜져 있더라도[의심스러운 - 토론] 보안 취약점 연구원 디노 다이 조비는 "최신 IE8이라도 윈도우 XP 서비스 팩 2(SP2) 이하 버전이나 2007년 1월에 마이크로소프트가 출하한 윈도우 비스타 RTM(제조용으로 배포)에서 실행되는 경우 공격으로부터 안전하지 않다."[40] 라고 말했다.

마이크로소프트는 사용된 보안 취약점을 9월부터 알고 있었다고 인정했습니다.[22] 업데이트 작업이 우선 순위로 지정되었고[41] 2010년 1월 21일 목요일, 마이크로소프트는 이 취약점과 이를 기반으로 발표된 익스플로잇 및 기타 개인적으로 보고된 여러 취약점에 대응하기 위한 보안 패치를 발표했습니다.[42] 익스플로잇에 의해 사용되거나 발표된 것이 있는지 또는 오로라 작전과 특별한 관련이 있는지는 밝히지 않았지만, 누적된 전체 업데이트는 윈도우 7을 포함한 대부분의 윈도우 버전에서 중요하다고 언급했습니다.

보안 연구원들은 이 공격에 대한 조사를 계속했습니다. 보안 회사인 HBGary는 코드 개발자를 식별하는 데 도움이 될 수 있는 몇 가지 중요한 마커를 발견했다고 주장한 보고서를 발표했습니다. 이 회사는 또한 코드가 중국어 기반이지만 정부 기관과 구체적으로 연결될 수 없다고 말했습니다.[43]

2010년 2월 19일, 구글에 대한 사이버 공격을 조사한 한 보안 전문가는 이 공격의 배후가 지난 1년 반 동안 포춘 100대 기업에 대한 사이버 공격도 배후에 있다고 주장했습니다. 또한 공격의 발원지를 추적한 결과, 상하이 자오퉁 대학교와 란샹 직업학교라는 두 개의 중국 학교로 밝혀졌습니다.[44] 뉴욕 타임즈에서 강조했듯이 이 두 학교는 구글 차이나의 라이벌인 중국 검색 엔진 바이두와 관련이 있습니다.[45] 란샹 직업학교와 자오퉁 대학교는 모두 혐의를 부인했습니다.[46][47]

2010년 3월, 구글의 공격을 조사하던 시만텍은 샤오싱이 전 세계에서 전송된 악성 이메일의 21.3%(120억 개)를 발신한 것으로 확인했습니다.

구글 회고
2022년 10월 3일, 구글은 유튜브에서 오로라 작전 기간 동안 발생한 사건을 다룬 6부작 시리즈[49] 공격에 대응한 내부자의 논평과 함께 이 시리즈의 주요 초점은 구글을 사용하는 대중에게 해킹 시도에 대응할 수 있는 조치가 마련되어 있음을 안심시키는 것이었지만, 구글은 이 시리즈를 공개했다. 
오로라 작전에 관한 이 기사에서 공격의 배후로 추정되는 국가는 어디인가요? 

Assistant: 이 작전의 배후에는 중국 인민해방군(PLA)이 있는 것으로 추정됩니다.</s>