방송ㆍ금융사 전산망 마비 어떤 기술 썼나
정부 대응팀 "해커 전형적 공격수법"
정부 대응팀 "해커 전형적 공격수법"
■ 3ㆍ20 사이버 테러
이번 공격에서 해커들은 업데이트 관리서버에 악성코드를 심어 특정 시간에 일제히 명령을 내리는 전형적인 공격 수법을 사용했다. 상대적으로 보안이 취약해서 뚫린 것으로 기술적으로는 신종 기술은 아니라는 평가다. 20일 오후 2시를 기해 일제히 PC폭파 명령을 내린 수법도 해커들이 자주 사용하는 기법 중 하나다.
21일 정부 사이버위협합동대응팀은 조사에 따르면, 이번 전산마비를 일으킨 악성코드는 `트로이목마' 형태로 보고 있다.
방통위 관계자는 "피해기관의 업데이트관리서버(PMS)에 트로이목마가 심어져 전산마비 사태를 불러일으킨 것으로 파악됐다"면서 "최초 공격지점, 공격자 등 구체적인 공격경로를 추적하고 있다"고 전했다. 특히 문제의 악성코드를 분석한 결과, `2차 공격'을 암시하는 문자열이 발견됐다. 부팅영역(MBR) 손상 부분에 `PRINCPES'와 `HASTATI' 등 문자열이 발견됐는데 이는 두 낱말은 라틴어로 각각 `첫번째'와 `(로마) 군대의 1열' 등의 뜻이다. 이에 따라 이번 공격을 감행한 해커가 2차 공격이나 3차 공격을 예고한 것으로 볼 수 있지 않느냐는 관측이 나온다.
일각에서 안랩, 하우리 등 보안업체가 관리하는 업데이트 서버 관리 소홀로 해킹사고가 생겼다는 주장이 제기됐으나 정부 당국자는 우선 신중한 입장을 취했다.
방통위 관계자는 안랩 PMS(패치매니지먼트시스템) 관리자 권한 탈취 여부에 대해 "PMS는 통상적으로 전산 관리주체(회사측)가 관리하며 아직 충분한 조사가 이뤄지지 않았다"고 답했다. 정부는 전날 제기됐던 LG유플러스 망을 통한 주소 유출 문제에 대해서도 "아직 조사 결과가 나오지 않았다"고 답했다.
북한 소행 여부에 관심이 모아지는 가운데 해킹을 당한 5개사 중 일부(농협)에서 발견된 `중국IP'를 근거로 북한 공격 여부를 특정하는 것은 아직 이르다는 평가가 많았다. 아직까지는 농협 시스템 일부에서만 중국IP 일부가 확인된 상황이기 때문이다.
김승주 고려대 사이버국방학과 교수는 "악성코드가 어디서 건너왔는지 IP 하나로 분석하지 않는다"며 "IP주소와 소프트웨어 유사도(해커의 코딩 기법), 컴퓨터 고유식별값 3가지를 종합적으로 분석해야 공격 근원지를 특정할 수 있다"며 "최종적인 분석까지는 시간이 좀 걸릴 것"이라고 부연했다.
실제 경찰청 사이버테러대응센터는 2011년 4월 농협 전산망 마비 조사 결과, 이 사건의 배후가 북한이라고 주장하는 근거로 북한 해커들이 주로 사용하는 200여개의 주요 IP 중 일부를 사용한 흔적을 제시했다. 또 북한 해커들이 자주 사용하는 코딩 기법(소프트웨어 유사도)도 근거로 제시한 바 있다.
한편 이날 오후 들어 미국, 호주 등 서방세계 IP도 속속 확인되는 것으로 전해지고 있어 추가 확인까지는 다소 시일이 걸릴 것으로 전망되고 있다.
신동규기자 dkshin@
이번 공격에서 해커들은 업데이트 관리서버에 악성코드를 심어 특정 시간에 일제히 명령을 내리는 전형적인 공격 수법을 사용했다. 상대적으로 보안이 취약해서 뚫린 것으로 기술적으로는 신종 기술은 아니라는 평가다. 20일 오후 2시를 기해 일제히 PC폭파 명령을 내린 수법도 해커들이 자주 사용하는 기법 중 하나다.
21일 정부 사이버위협합동대응팀은 조사에 따르면, 이번 전산마비를 일으킨 악성코드는 `트로이목마' 형태로 보고 있다.
방통위 관계자는 "피해기관의 업데이트관리서버(PMS)에 트로이목마가 심어져 전산마비 사태를 불러일으킨 것으로 파악됐다"면서 "최초 공격지점, 공격자 등 구체적인 공격경로를 추적하고 있다"고 전했다. 특히 문제의 악성코드를 분석한 결과, `2차 공격'을 암시하는 문자열이 발견됐다. 부팅영역(MBR) 손상 부분에 `PRINCPES'와 `HASTATI' 등 문자열이 발견됐는데 이는 두 낱말은 라틴어로 각각 `첫번째'와 `(로마) 군대의 1열' 등의 뜻이다. 이에 따라 이번 공격을 감행한 해커가 2차 공격이나 3차 공격을 예고한 것으로 볼 수 있지 않느냐는 관측이 나온다.
일각에서 안랩, 하우리 등 보안업체가 관리하는 업데이트 서버 관리 소홀로 해킹사고가 생겼다는 주장이 제기됐으나 정부 당국자는 우선 신중한 입장을 취했다.
방통위 관계자는 안랩 PMS(패치매니지먼트시스템) 관리자 권한 탈취 여부에 대해 "PMS는 통상적으로 전산 관리주체(회사측)가 관리하며 아직 충분한 조사가 이뤄지지 않았다"고 답했다. 정부는 전날 제기됐던 LG유플러스 망을 통한 주소 유출 문제에 대해서도 "아직 조사 결과가 나오지 않았다"고 답했다.
북한 소행 여부에 관심이 모아지는 가운데 해킹을 당한 5개사 중 일부(농협)에서 발견된 `중국IP'를 근거로 북한 공격 여부를 특정하는 것은 아직 이르다는 평가가 많았다. 아직까지는 농협 시스템 일부에서만 중국IP 일부가 확인된 상황이기 때문이다.
김승주 고려대 사이버국방학과 교수는 "악성코드가 어디서 건너왔는지 IP 하나로 분석하지 않는다"며 "IP주소와 소프트웨어 유사도(해커의 코딩 기법), 컴퓨터 고유식별값 3가지를 종합적으로 분석해야 공격 근원지를 특정할 수 있다"며 "최종적인 분석까지는 시간이 좀 걸릴 것"이라고 부연했다.
실제 경찰청 사이버테러대응센터는 2011년 4월 농협 전산망 마비 조사 결과, 이 사건의 배후가 북한이라고 주장하는 근거로 북한 해커들이 주로 사용하는 200여개의 주요 IP 중 일부를 사용한 흔적을 제시했다. 또 북한 해커들이 자주 사용하는 코딩 기법(소프트웨어 유사도)도 근거로 제시한 바 있다.
한편 이날 오후 들어 미국, 호주 등 서방세계 IP도 속속 확인되는 것으로 전해지고 있어 추가 확인까지는 다소 시일이 걸릴 것으로 전망되고 있다.
신동규기자 dkshin@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
