카스퍼스키, ‘NIDUPICK (BPFDoor)' 변종 분석 보고서 발표
글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 최근 통신사 공격에 사용된 것으로 알려진 리눅스 기반 스텔스형 백도어 악성코드인 ‘NIDUPICK’ (일명 BPFDoor) 및 그 최신 변종에 대한 추가 추적 분석 결과를 발표했다.
NIDUPICK, 지난 2020년에 이미 탐지 및 분석된 악성코드, 스텔스 백도어로 시스템 내부 정상 프로세스로 위장
카스퍼스키는 이번에 주목받은 BPFDoor 악성코드를 이미 2020년 10월 이전부터 ‘NIDUPICK’이라는 코드명으로 탐지, 분석 및 추적을 해왔다. BPFDoor 악성코드는 BPF (Berkeley Packet Filter)를 악용하여 네트워크 보안 제품을 우회하고, 공격자로부터 임의 명령을 전달받아 악성 행위를 수행한다. 특히 이번 발표는 2020년 카스퍼스키가 최초로 탐지 및 분석한 이후부터 추적해 온 APT 분석작업의 연장선상에서 이뤄졌다. 당시에도 이 백도어는 아시아 지역의 주요 통신사를 겨냥한 공격에 사용되었으며, 이는 타 보안 기업이 공개한 시점보다 훨씬 이전에 탐지 및 분석되었고, Yara 및 Suricata 기반의 악성코드 탐지 룰을 배포하였다.
NIDUPICK은 리눅스 시스템 상에서 작동하는 백도어(Backdoor)로서, 이는 사용자에게는 눈에 띄지 않도록 백그라운드에서 활동하며, 대기 상태를 유지하면서 특정 패턴의 패킷을 수신하면, 공격자의 명령에 따라 원격 쉘을 열 수 있는 백도어다. 이후 공격자로부터 특정 조건을 만족하는 매직 패킷(Magic Packet) 수신 시 명령어 실행을 위한 쉘(shell)을 개방하여 활성화된다.
또한, 해당 백도어는 제어 명령 전송 시 공유된 비밀 키 및 해시 기반 방식을 사용해 제3자의 개입을 차단하며, 악성코드 전용 Controller도 함께 사용된 것이 확인됐다. 이 Controller는 카스퍼스키가 이미 2020년에 확보하여 분석을 마친 상태였다.
■ 악성코드 NIDUPICK (BPFDoor) 분석 개요 (2020년)
카스퍼스키는 2020년 10월 이전부터, BPFDoor 악성코드를 ‘NIDUPICK’이라는 내부 코드명으로 관리해 왔으며, 이 백도어는 주로 아시아권 통신사를 표적으로 하는 공격 캠페인에서 사용되었다.
악성코드 명칭: NIDUPICK (BPFDoor)
운영 체제: Linux
실행 방식: 스텔스 백도어로 시스템 내부에서 정상 프로세스로 위장
통신 방식:
Passive Mode: 공격자 접속 대기 후 명령 실행
Active Mode: 원격 C2 서버에 직접 연결하여 쉘 제공
기능 요약:
모든 수신 패킷을 수동 감시(bpf 기반)
공격자가 의도한 특정 명령을 받기 전까지 별다른 네트워크 트래픽이 발생없이 잠복제어 명령은 공유 비밀키로 암호화되고, 해시로 검증
공격자 컨트롤러: 공격자로부터 입력받은 제어 명령을 암호화하여 백도어로 전송
공격 기술 및 전술 (TTPs) 분석
카스퍼스키는 본 캠페인의 전술·기술·절차(TTPs)를 다음과 같이 정리했다. (MITRE ATT&CK© 프레임워크 기준)
전략 (Tactic)
Technique ID
기법 (Technique)
실행 (Execution)
T1059.004
Unix Shell 이용
방어 회피 (Defense Evasion)
T1070.002, T1070.004, T1564.001
로그 제거, 숨김 실행 등
정찰 (Discovery)
T1033, T1082, T1040, T1087.001
사용자·시스템·네트워크 탐색
명령 및 제어 (Command & Control)
T1573.001, T1132.001, T1095
SSL 암호화, 맞춤형 프로토콜
영향 (Impact)
T1565.002
데이터 조작 가능성
2025년 새롭게 포착된 변종, 통신 시 암호화 강화 및 탐지 회피 기능 정교해져
2025년 5월, 카스퍼스키는 자사 텔레메트리를 통해 탐지된 NIDUPICK의 새로운 변종을 포착하였다. 최신 분석 보고서(Report ID: APT-20250505)에 따르면 기존 NIDUPIC과의 차별점 및 진화 양상을 기술하였다. 해당 악성코드는 대한민국 주요 기관 대상 공격에 사용되었으며, 한국인터넷진흥원(KISA)도 별도 보안 권고문을 통해 이를 경고한 바 있다. 이번 변종은 기존 기능을 대부분 유지하면서도, 다음과 같은 기능적 진화가 관찰되었다.
SSL 암호화 채널을 통한 명령어 통신: 가장 큰 특징은 명령어 전송 시 SSL 암호화를 적용하여 통신 내용을 숨긴다는 점이다. 이는 기존 탐지 시스템이 공격자와의 트래픽을 식별하기 어렵게 만든다.
신규 매직 패킷 포맷 발견: 이전에 보고되지 않았던 신규 매직 패킷이 확인되었으며, 이는 공격자가 전송하는 의도된 패킷의 변화로 인해 기존 룰로 탐지가 불가할 수 있다는 점을 시사
공격 대상 지역의 다변화: 2022년 NIDUPICK의 소스코드가 오픈소스 저장소에 유출된 시점 이후, NIDUPICK의 변형이 유포되는 사례가 증가하였다. 실제로 아시아와 중동에 이어, 중앙아시아 지역까지 피해 범위가 확산되고 있는 것이 확인됐다.
통신사 대상 지속적 위협: NIDUPICK은 수동 분석이나 기존 백신 솔루션만으로는 탐지가 어려운 수준이며, 특히 계속해서 통신사를 주요 표적으로 삼고 있다는 점에서 더욱 주의가 필요하다.
카스퍼스키, NIDUPICK(BPFDoor) 다단계 탐지 및 대응 전략 제시
한국인터넷진흥원(KISA)이 최근 리눅스 기반 스텔스 백도어인 NIDUPICK(BPFDoor)에 대한 보안 주의보를 발령한 가운데, 카스퍼스키는 해당 위협에 대한 정밀 분석 결과를 바탕으로 다단계 탐지·대응 전략을 제시했다.
우선 카스퍼스키는 이번 변종이 사용하는 신규 매직 패킷(Magic Packet)과 함께 최신 변종에서 사용하는 SSL 인증서을 식별할 수 있도록 탐지 룰을 업데이트했다. 아울러, 텔레메트리 기반으로 수집한 변종 정보와 침해 지표(IOC)를 인텔리전스 형태로 고객사에 제공 중이다.
카스퍼스키는 기업과 기관 보안 담당자에게는 다음과 같은 대응 방안을 권고하고 있다:
방화벽, IDS/IPS, EDR 등 보안 장비에 최신 탐지 룰을 신속히 적용하고,
카스퍼스키 위협 인텔리전스 포털을 통해 IOC를 정기적으로 업데이트하며,
악성 C2(Command & Control) 주소를 차단하고, 네트워크 로그 내 매직 패킷의 이상 패턴을 분석하는 것이 중요하다.
또한, SSL 암호화 트래픽 중 명령어 기반 쉘 통신 형태를 식별할 수 있도록 DPI(Deep Packet Inspection) 기능을 적극 활용할 것을 제안했다.
카스퍼스키 이효은 한국지사장은 "NIDUPICK/BPFDoor는 오랜 기간 탐지를 회피하며 지속적으로 통신사 및 인프라 운영 기관을 위협하고 있다. 특히 소스코드 유출 이후에는 커스터마이징된 변종이 광범위하게 유포될 가능성을 고려할 경우, 기존 룰만으로는 완전한 탐지가 어려운 상황이다. 카스퍼스키는 본 악성코드에 대한 가장 빠른 탐지 이력과 분석 자료를 보유하고 있으며, 기업들은 카스퍼스키 리눅스 서버 제품과 카스퍼스키 Threat Intelligence 솔루션을 통해 이런 위협으로부터 보호받을 수 있다. 아울러, 한국 내 피해 확산 방지를 위해 지속적인 모니터링 및 대응 역량을 강화해 나갈 예정이다”라고 말했다.
