침투용 악성코드만 67종…PC파괴용 코드 한번에 배포
팀 단위로 조직적 활동 최적화된 맞춤형 악성코드 사용
국내 보안서비 숙주로 악용 재발 가능성 철저 대비를
■ 3ㆍ20해킹 북 정찰총국 소행
지난달 20일 금융권과 방송사를 공격한 3.20 사이버 테러가 북한소행인 것으로 밝혀져 충격을 주고 있다. 특히 이번 공격이 8개월에 걸친 사전 준비와 최소 5명 가량의 전문가가 투입된 치밀한 공격이었다는 점에서 주목된다. 이같은 공격은 언제든지 재발할 수 있어 기술적, 인적 대책이 시급하다.
◇ 공격 위한 악성코드만 70여종..팀 단위 치밀한 공격=10일 민·관·군 `3.20 사이버테러` 합동대응팀은 중간 조사결과를 발표하고 방송사, 금융사 등에 전산마비를 가한 공격자가 최소 8개월 전부터 내부 PC 또는 서버를 장악하는 방식으로 사이버테러를 감행했다고 밝혔다.
이에 따르면, 공격자는 지난해 6월부터 공격 대상자를 정하고 사전 준비 작업에 돌입했다. 우선 목표 기관의 전산망 취약점을 파악하고 이를 위한 내부 자료를 절취하기 위해 사전 침투·감시용 악성코드만 67종을 투입했다.
이들 악성코드를 동원해 내부 정보를 파악한 후, 백신 등 프로그램 중앙배포 서버를 장악해 PC파괴용 악성코드를 한번에 배포했고, 특정 시점(3월20일)에 작동하도록 조치했다. 특히 다양한 보안 제품(방화벽, 백신 등)을 우회하고 6개월 이상 악성코드를 수시로 투입, 상황을 관찰했다는 점은 이번 공격자의 능력이 수준급임을 보여준다.
전문가들은 이번 공격에 사용된 악성코드가 76종에 달한다는 점을 미뤄봤을 때 중급 이상 전문가들이 팀 단위로 활동했을 것으로 보고 있다. 실제 이번 공격에 사용된 악성코드를 분석한 한 보안 전문가는 "실제로 사용된 악성코드는 100여종에 달하는 것으로 보이고, 단순한 악성코드가 아니라 피해업체의 보안장비를 뚫을 수 있는 최적화된 맞춤형 악성코드였다는 점에 놀랐다"며 "악성코드에 각종 암호 기술을 적용한 부분도 암호분야에 일가견이 있는 전문가가 투입됐다는 걸 보여준다"고 말했다.
또 다른 보안 전문가도 "악성코드에 팀 단위로 활동했다는 흔적을 나타내는 프로젝트명과 폴더명이 존재했다"며 최소 5명 이상의 전문가들이 이번 공격에 가담했을 것으로 추정했다.
◇국내 보안서비스 숙주로 악용...대책마련 시급=특히 이번 악성코드 유포 과정에서 국내 기업들이 보안을 목적으로 운용해 온 서비스들이 악용된 점이 충격을 주고 있다.
공격자는 이번 악성코드 배포에 백신 등 프로그램의 중앙배포용 서버를 이용했다. 이 서버는 중앙집중식으로 한 번에 백신 등 프로그램을 설치하거나 제품을 업데이트 하는데 사용된다.
그러나 이번 공격에서 배포용 서버는 악성코드가 퍼지는 `숙주' 노릇을 했다. 이 때문에 공격이 업데이트 서버를 사용한 고객사와 업체간 책임공방까지 벌여졌다. 국내 1위 보안업체인 안랩과 3.20 해킹 피해 기업 중 하나인 농협이 대표적인 예다.
안랩은 농협에 납품한 APC서버에 파일을 업로드할 때 아이디와 패스워드를 입력하는 인증 절차가 없음에도 인증실패 처리가 되지 않는 취약점이 뒤늦게 발견됐다며 사과문을 냈지만 농협은 안랩의 잘못을 거론하며 책임 소지에 대해 공방을 벌이고 있다.
이번 공격의 직접적인 원인으로 서버 취약점만을 지목하기 어려운 상황이다. 하지만 국내 1위 보안 업체와 대형 금융사인 농협이 해커의 공격에서 자유로울 수 없었다는 점만은 사실이다.
◇2009년부터 이어진 동일범 소행...끝나지 않은 공격=이번 공격자의 수법이 7·7 분산서비스거부(DDoS, 2009년) 공격, 3·4 DDoS(2011년), 농협(2011년), 중앙일보(2012년) 등 2009년부터 수차례 국내 해킹을 시도한 북한 해킹 수법과 일치한다.
북한 내부 PC(최소 6대)가 직접 국내로 접속해 금융사에 악성코드를 유포했으며, 지금까지 파악된 공격경유지 49개 중 절반이상(22개)이 2009년 이후 북한이 국내 사이트 해킹 때 사용한 인터넷 주소와 동일하다는 게 근거다.
업계는 정부의 주장처럼 이번 공격자가 2009년부터 이어진 공격자와 동일범이라면 더욱 향후 대비에 만전을 기해야하다고 지적했다. 합동 대응팀은 이번 공격에서 발견된 악성코드 76종 중 30종 이상을 북한이 다시 사용했다고 발표했다. 이는 2009년 사용됐던 악성코드에 여전히 국내 시스템이 취약하다는 걸 방증하는 것이다.
때문에 전문가들은 추가 공격 등에 대비하기 위해 정부와 민간 기업, 일반인들의 노력이 중요하다고 조언하고 있다. 특히 이번 공격에서 보안 제품들이 악성코드 유포 경로로 악용됐다는 점은 완벽한 보안이란 없다는 점을 보여주는 사례로, 기술, 인력 등 전 방위적인 보안이 시급하다고 강조하고 있다.
？문종현 잉카인터넷 팀장은 "사이버테러는 금전적 목적을 가진 사이버 범죄와 달리 남의 눈에 띄지 않게 은밀하게 침투하고 장기간 타깃을 관찰하는 특징이 있다"며 "최근 공격들이 진행됐다고 해서 모든 공격이 다 끝났다고 생각해선 안 된다"고 말했다.
이경호 고려대 교수(사이버국방학)는 "이번 공격은 현재 보안 시스템으로 감지되지 않는 공격 통로를 찾아냈다는 점이 (업계가) 특히 주목할만한 부분"이라며 "특정 보안 제품에 의지하는데 그치지 말고, 테러정보를 공유하는 체계 강화와 이에 대비할 수 있는 보안 인력 강화가 시급하다"고 말했다.
김지선ㆍ유정현기자 dubs45@ |
