추적 어려운 `지하 네트워크` 악성코드 유포지 악용
청와대 해킹ㆍ오피스 악성코드 연관 강력한 보안기능이 오히려 `부메랑`
파일, 백신검사 후 열기 등 주의를
청와대 해킹ㆍ오피스 악성코드 연관 강력한 보안기능이 오히려 `부메랑`
파일, 백신검사 후 열기 등 주의를
악성코드가 활개를 치면서 사용자의 PC나 모바일 기기에 침투해 중요 자료 혹은 돈을 빼 가는 사이버 범죄가 크게 늘고 있습니다. 특히 스미싱과 같은 소액결제 유도 사기를 일으키는 악성코드의 경우 지난 1분기에만 2062개가 발견됐다는 보고도 나왔습니다. 이는 작년 같은 기간과 비교해 5배, 2012년 1분기와 비교해 400배 이상 증가한 수치입니다.
아무리 보안을 강화한다 해도 끊임없이 새로운 모습과 수법으로 만들어지고 있는 악성코드를 완벽히 막는 것은 점점 어려워지고 있습니다. 특히 누가 악성코드를 유포하는지, 어디서 유포하는지 조차 알 수 없는 익명의 네트워크 공간 `토르(Tor) 네트워크'에서는 더욱 힘들어 집니다.
토르는 `디 어니언 라우팅(The Oinion Routing)'의 약자로, 온라인에서 트래픽 분석이나 IP 주소추적을 불가능하게 해 익명성을 보장하는 네트워크를 뜻합니다. 초창기에는 내전 중이거나 인터넷에 대한 규제가 엄격한 국가의 사용자들이 제약이나 감시 없이 네트워크를 사용하기 위해 활용됐습니다.
토르 네트워크는 수천 개의 어니언 라우터(중계서버)로 구성돼 있으며, P2P(Peer-to Peer) 프로그램처럼 사용자가 많아질수록 속도가 빨라집니다. 트래픽은 목적지까지 바로 전달되지 않고 매번 토르 내 임의의 중계 서버를 통해 전송됩니다. 각 중계 서버는 패킷이 어디서 출발했는지, 최종 목적지는 어디인지 알 수 없으며 다만 다음 중계 서버의 주소를 알뿐입니다. 패킷은 여러 겹으로 암호화 돼 전송되는데 중계 서버를 통과할 때마다 한 꺼풀씩 복호화 돼 그 다음 중계 서버로 이동하게 되고, 패킷의 이동 경로에 관한 정보는 주기적으로 삭제됩니다. 이와 같은 방식이 그 어느 노드를 통해서도 쉽게 전체 통신을 추적하거나 분석할 수 없도록 하는 것입니다.
한마디로 내가 누구인지, 어디서 온 것인지도 알 수 없는 네트워크 환경은 악성코드를 유포하기에는 최적의 채널이 될 수 있습니다. 토르 네트워크를 사용하는 시스템들은 16자리 영 숫자를 이용한 독특한 도메인 주소 체계를 사용하는데, 이 도메인 정보로 추적할 수 있는 마지노선은 공격자 서버에 한참 못 미치는 중계서버 중 하나입니다. 이런 이유로 악성코드가 토르 네트워크를 이용하게 되면 추적이 불가능하거나 접속이 차단되는 것입니다.
여기에 자체적으로 제공하는 암ㆍ복호화 기능은 악성코드 유포자에게 보안성도 보장합니다. 감염된 시스템과 원격지의 공격자 서버 사이에서 암ㆍ복호화 기능이 자연스럽게 보안 장치 역할을 하게 되기 때문입니다. 토르 네트워크를 선택하는 것만으로도 이러한 장점을 얻을 수 있으니 악성코드 제작자 입장에서 구미가 당기지 않을 수 없을 것입니다.
일각에서는 토르 네트워크도 제한적으로나마 추적이 가능하고 속도가 느려 대량의 정보를 탈취하기 어렵다는 점을 들어 악성코드의 공생관계가 오래 가지 않을 것이라고 주장하기도 합니다. 실제로 미국 국가안보국(NSA)가 토르 네트워크를 추적해 사람들의 인터넷 사용을 감시해왔다는 사실이 지난해 영국의 가디언을 통해 보도된 바 있습니다. 그러나 NSA의 토르 네트워크 추적과 감시는 수작업을 통해 극소수의 사람에게만 가능했으며, 익명성을 근본적으로 무력화하는 데는 실패한 것으로 확인됐습니다.
토르 네트워크의 속도 문제 또한 악성코드가 이 네트워크를 사용하는데 큰 영향을 끼치지 않는다고 업계는 분석합니다. 보안업체 ESET에서는 토르 네트워크를 악의적인 목적으로 사용하는 가장 유용한 방법으로 명령제어 서버와 통신을 하면서 설정 정보를 업데이트 하거나 추가로 악성코드 모듈을 내려 받아 공격자의 익명성을 유지하는 것을 꼽기도 했습니다.
다양한 의견이 분분한 가운데 분명한 사실은 이미 토르 네트워크가 악성코드의 온상이 됐다는 것입니다.
지난해 6월 발생한 청와대 홈페이지 화면이 변조되는 사건은 악성코드가 웹 하드 업체의 설치 파일인 것처럼 위장돼 유포됐습니다. 이 악성코드는 추가 악성코드를 내려 받고 토르 네트워크를 이용하기 위한 도구를 내려 받는 역할을 했습니다. 또 오피스 프로그램의 매크로 기능에 토르 네트워크 도구를 내려 받고, 이를 이용해 추가 악성코드를 내려 받는 오피스 파일이 발견되기도 했습니다.
뿐만 아니라 최근에는 POS(판매시점관리) 시스템을 노린 해킹이나 악성코드가 빠르게 번지고 있는데, 이 역시 토르 네트워크를 사용한 것으로 밝혀졌습니다.
토르 네트워크를 이용하는 악성코드의 경우 PC나 모바일 모두 이 네트워크를 이용하기 위한 도구나 모듈을 포함하고 있습니다. 이 때문에 단순히 토르 네트워크를 사용하지 않는다고 해서 악성코드에 감염되지 않는 것은 아닙니다. 결국 이 네트워크를 사용하는 악성코드의 경우도 다른 악성코드와 마찬가지로 △사용하는 프로그램이나 운영체제의 최신 보안 패치 유지 △백신 프로그램 사용의 생활화 △아는 사람으로부터 받은 파일이라도 백신 검사 후 열기 등 주의가 필요한 것입니다.
만약 토르 네트워크를 설치하지 않았는데도 `svchost.exe', `spoolsv.exe' 등 정상 프로세스의 이름으로 9050 포트를 열고 `명령 수신 대기 상태(Listening)'에 있다면 자신도 모르는 사이 토르 네트워크를 이용하는 악성코드에 감염되었을 가능성을 의심해 볼 수 있습니다.
토르 네트워크를 이용하는 명령제어 서버나 악성코드 경유지, 유포지에 대한 차단 및 조치의 경우 현재까지는 불가능한 것이 사실입니다. 앞서 언급한 바와 같이 정확한 서버의 위치를 알 수 없기 때문입니다. 이런 이유로 모니터링을 통해 봇넷의 생성 단계에서부터 차단하는 것과 같은 대안이 제시되기도 했습니다. 그러나 봇넷을 생성 단계에서부터 모니터링 하는 것은 상당한 시간과 비용을 필요로 합니다. 결국 최신 보안 패치를 유지해 감염을 예방하고 백신 프로그램으로 관련 악성코드를 모두 삭제 조치하는 것이 가장 현실적인 방안이라고 전문가들은 조언합니다.
정용철기자 jungyc@
도움말=인터넷침해대응센터
아무리 보안을 강화한다 해도 끊임없이 새로운 모습과 수법으로 만들어지고 있는 악성코드를 완벽히 막는 것은 점점 어려워지고 있습니다. 특히 누가 악성코드를 유포하는지, 어디서 유포하는지 조차 알 수 없는 익명의 네트워크 공간 `토르(Tor) 네트워크'에서는 더욱 힘들어 집니다.
토르는 `디 어니언 라우팅(The Oinion Routing)'의 약자로, 온라인에서 트래픽 분석이나 IP 주소추적을 불가능하게 해 익명성을 보장하는 네트워크를 뜻합니다. 초창기에는 내전 중이거나 인터넷에 대한 규제가 엄격한 국가의 사용자들이 제약이나 감시 없이 네트워크를 사용하기 위해 활용됐습니다.
토르 네트워크는 수천 개의 어니언 라우터(중계서버)로 구성돼 있으며, P2P(Peer-to Peer) 프로그램처럼 사용자가 많아질수록 속도가 빨라집니다. 트래픽은 목적지까지 바로 전달되지 않고 매번 토르 내 임의의 중계 서버를 통해 전송됩니다. 각 중계 서버는 패킷이 어디서 출발했는지, 최종 목적지는 어디인지 알 수 없으며 다만 다음 중계 서버의 주소를 알뿐입니다. 패킷은 여러 겹으로 암호화 돼 전송되는데 중계 서버를 통과할 때마다 한 꺼풀씩 복호화 돼 그 다음 중계 서버로 이동하게 되고, 패킷의 이동 경로에 관한 정보는 주기적으로 삭제됩니다. 이와 같은 방식이 그 어느 노드를 통해서도 쉽게 전체 통신을 추적하거나 분석할 수 없도록 하는 것입니다.
한마디로 내가 누구인지, 어디서 온 것인지도 알 수 없는 네트워크 환경은 악성코드를 유포하기에는 최적의 채널이 될 수 있습니다. 토르 네트워크를 사용하는 시스템들은 16자리 영 숫자를 이용한 독특한 도메인 주소 체계를 사용하는데, 이 도메인 정보로 추적할 수 있는 마지노선은 공격자 서버에 한참 못 미치는 중계서버 중 하나입니다. 이런 이유로 악성코드가 토르 네트워크를 이용하게 되면 추적이 불가능하거나 접속이 차단되는 것입니다.
여기에 자체적으로 제공하는 암ㆍ복호화 기능은 악성코드 유포자에게 보안성도 보장합니다. 감염된 시스템과 원격지의 공격자 서버 사이에서 암ㆍ복호화 기능이 자연스럽게 보안 장치 역할을 하게 되기 때문입니다. 토르 네트워크를 선택하는 것만으로도 이러한 장점을 얻을 수 있으니 악성코드 제작자 입장에서 구미가 당기지 않을 수 없을 것입니다.
일각에서는 토르 네트워크도 제한적으로나마 추적이 가능하고 속도가 느려 대량의 정보를 탈취하기 어렵다는 점을 들어 악성코드의 공생관계가 오래 가지 않을 것이라고 주장하기도 합니다. 실제로 미국 국가안보국(NSA)가 토르 네트워크를 추적해 사람들의 인터넷 사용을 감시해왔다는 사실이 지난해 영국의 가디언을 통해 보도된 바 있습니다. 그러나 NSA의 토르 네트워크 추적과 감시는 수작업을 통해 극소수의 사람에게만 가능했으며, 익명성을 근본적으로 무력화하는 데는 실패한 것으로 확인됐습니다.
토르 네트워크의 속도 문제 또한 악성코드가 이 네트워크를 사용하는데 큰 영향을 끼치지 않는다고 업계는 분석합니다. 보안업체 ESET에서는 토르 네트워크를 악의적인 목적으로 사용하는 가장 유용한 방법으로 명령제어 서버와 통신을 하면서 설정 정보를 업데이트 하거나 추가로 악성코드 모듈을 내려 받아 공격자의 익명성을 유지하는 것을 꼽기도 했습니다.
다양한 의견이 분분한 가운데 분명한 사실은 이미 토르 네트워크가 악성코드의 온상이 됐다는 것입니다.
지난해 6월 발생한 청와대 홈페이지 화면이 변조되는 사건은 악성코드가 웹 하드 업체의 설치 파일인 것처럼 위장돼 유포됐습니다. 이 악성코드는 추가 악성코드를 내려 받고 토르 네트워크를 이용하기 위한 도구를 내려 받는 역할을 했습니다. 또 오피스 프로그램의 매크로 기능에 토르 네트워크 도구를 내려 받고, 이를 이용해 추가 악성코드를 내려 받는 오피스 파일이 발견되기도 했습니다.
뿐만 아니라 최근에는 POS(판매시점관리) 시스템을 노린 해킹이나 악성코드가 빠르게 번지고 있는데, 이 역시 토르 네트워크를 사용한 것으로 밝혀졌습니다.
토르 네트워크를 이용하는 악성코드의 경우 PC나 모바일 모두 이 네트워크를 이용하기 위한 도구나 모듈을 포함하고 있습니다. 이 때문에 단순히 토르 네트워크를 사용하지 않는다고 해서 악성코드에 감염되지 않는 것은 아닙니다. 결국 이 네트워크를 사용하는 악성코드의 경우도 다른 악성코드와 마찬가지로 △사용하는 프로그램이나 운영체제의 최신 보안 패치 유지 △백신 프로그램 사용의 생활화 △아는 사람으로부터 받은 파일이라도 백신 검사 후 열기 등 주의가 필요한 것입니다.
만약 토르 네트워크를 설치하지 않았는데도 `svchost.exe', `spoolsv.exe' 등 정상 프로세스의 이름으로 9050 포트를 열고 `명령 수신 대기 상태(Listening)'에 있다면 자신도 모르는 사이 토르 네트워크를 이용하는 악성코드에 감염되었을 가능성을 의심해 볼 수 있습니다.
토르 네트워크를 이용하는 명령제어 서버나 악성코드 경유지, 유포지에 대한 차단 및 조치의 경우 현재까지는 불가능한 것이 사실입니다. 앞서 언급한 바와 같이 정확한 서버의 위치를 알 수 없기 때문입니다. 이런 이유로 모니터링을 통해 봇넷의 생성 단계에서부터 차단하는 것과 같은 대안이 제시되기도 했습니다. 그러나 봇넷을 생성 단계에서부터 모니터링 하는 것은 상당한 시간과 비용을 필요로 합니다. 결국 최신 보안 패치를 유지해 감염을 예방하고 백신 프로그램으로 관련 악성코드를 모두 삭제 조치하는 것이 가장 현실적인 방안이라고 전문가들은 조언합니다.
정용철기자 jungyc@
도움말=인터넷침해대응센터
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
