2009년 사용 인터넷주소 22개와 일치…작년 6월부터 치밀하게 준비
합동대응팀 중간조사 발표… 농협 또 뱅킹 차질
■ 3ㆍ20해킹 북 정찰총국 소행
지난 3월20일 발생한 KBS, MBC, YTN 등 방송사와 신한, 농협은행 등 금융기관에 대한 사이버테러는 북한소행인 것으로 밝혀졌다.
10일 민ㆍ관ㆍ군 합동대응팀은 미래창조과학부 브리핑실에서 3.20 사이버테러 중간 조사 결과를 통해 3.20 사이버테러는 북한 정찰총국의 소행이라는 추정 결론을 내놨다.
합동대응팀은 국내 피해 업체의 감염 장비와 국내 공격 경유지 등에서 수집한 악성코드 76종과 그동안 축적한 북한의 대남해킹 조사결과를 종합 분석한 결과라고 설명했다. 북한은 최소 8개월 이전부터 목표 기관 내부의 PC나 서버를 장악해 자료를 절취하고 전산망의 취약점을 파악했다고 분석했다.
전길수 한국인터넷진흥원 침해사고대응단 단장은 "이번 공격은 사회 혼란을 유발하는 목적의 성격으로 다양한 기관을 공격했기 때문에 준비기간이 길었을 것"이라며 "공격거점을 먼저 확보해야 하기 때문에 1차적으로 어떤 망 구성도를 갖고 있는지를 알아보고 추후 ID와 패스워드를 포함해 내부적인 취약점을 파악한 것 같다"고 설명했다.
대응팀은 4가지 근거를 제시하며 이번 공격이 북한 정찰총국의 주도로 이뤄졌다고 주장했다. 우선 대응팀은 북한이 △북한 내부 PC를 동원해 지난해 6월부터 국내 금융사에 악성코드를 유포했으며 △3.20 사이버테러 다음날인 21일 해당 공격 경유지를 파괴하고 흔적 제거를 시도했다고 분석했다.
아울러 지난 2월22일 북한 내부 인터넷주소(175.45.178.xx)에서 감염PC 원격조작 등 명령 하달을 위한 국내 경유지에 시험 목적으로 처음 접속했던 것으로 파악했다. 지금까지 파악된 국내ㆍ외 공격경유지 49개(국내 25, 해외 24) 중 22개(국내 18, 해외 4)가 2009년 이후 북한이 해킹에 사용한 것으로 확인된 인터넷주소와 일치했다.
이밖에 북한 해커만 고유하게 사용중인 감염PC의 식별 번호(8자리 숫자)와 감염신호 생성코드의 소스프로그램 중 과거와 동일하게 사용한 악성코드가 18종에 달한다고 말했다.
또 대응팀은 일련의 사이버테러 4건이 동일조직 소행이라고 발표했다. 3월20일 방송금융사 공격의 경우 대부분 파괴가 같은 시간대에 PC 하드디스크를 `HASTATI` 또는 `PRINCPES' 등 특정 문자열로 덮어쓰기 방식으로 수행됐다. 3월 25일과 26일 발생한 3건도 방송, 금융사 공격용과 완전히 일치했다는 것이다.
전 단장은 "해커가 외국 경유지 통해서 접속했을 때 통신망 관련 기술적 문제 때문에 수 초, 수분간 북한 IP가 노출됐다"며 "북한 IP가 나왔고, 과거 북한 소행의 해킹과 동일하다는 논리가 성립돼 북한 정찰총국 소행으로 판단된다"고 덧붙였다.
한편, 정부는 11일 국가정보원장 주재로 미래부, 금융위원회, 청와대 국가안보실 등 15개 정부기관 관계자가 참석하는 `국가사이버안전전략회의'를 열어 재발 방지 대책을 논의키로 했다.
유정현기자 juneyoo@ |
