러시아는 지난 1월부터 우크라이나의 금융, 군수, 정부 웹 사이트에 대규모 DDoS(디도스) 공격과 더불어 주요 기업에 시설파괴형 악성코드를 배포했다.
6일 정보보안 업체 '소프트웨어를 만드는 사람들'(소만사)의 악성코드 분석센터에 따르면, 러시아가 사용한 악성코드는 '허메틱와이퍼', '위스퍼게이트', '이삭위스퍼' 등이다. 이 중 일부는 1월 중순부터 사용됐다. 물리적인 전쟁을 개시하기 전 사이버 공격부터 시작한 것이다.
특히 허메틱와이퍼는 OS를 붕괴해 주요 컴퓨터 장비를 파괴하는 악성코드다. 이를 심는 과정은 일반 악성코드의 수법과 유사하다. 업무로 위장한 메일에 악성코드를 숨긴 파일을 첨부하고 사용자가 이를 내려받아 파일을 실행하면 컴퓨터에 침투하는 식이다. 이렇게 침투한 허메틱와이퍼는 시스템 백도어 영역에서 작동하면서 OS 파괴에 필요한 권한을 얻는 한편, 파괴를 되돌릴 수 있는 백업 기능도 차단한다. 이 과정을 거치고 나면 시스템의 구조와 파일이 모두 파괴돼 정상 부팅이 되지 않는다. 복구 역시 불가능하다.
이 악성코드는 금전적 대가가 목적인 랜섬웨어와 달리 시스템 파괴에 목적이 있다. 작동 방식 또한 정교하지 않기 때문에, 안티 바이러스(AV) 프로그램이 있으면 어느정도 걸러낼 수 있다. 마이크로소프트(MS), ESET 등 주요 해외 기업은 물론 국내 보안기업들도 분석을 끝내고 보안엔진에 탑재한 상태라는 설명이다. 소만사 악성코드 분석센터 관계자는 "아주 수준높은 악성코드는 아니라서, AV가 있으면 1차적 방어는 가능할 것"이라 면서도 "다만 향후 사이버무기 고도화로 제로데이 취약점(아직 공개되지 않은 취약점), 시스템 파괴코드, 웜의 전파력 등이 결합된다면 큰 피해를 일으킬 수 있다"고 경고했다.
이러한 사이버 공격은 국내에서도 종종 발견된다. 보안기업 이스트시큐리티는 북한과 연계된 해킹 공격이 등장한다고 분석한다. 병·의료원 증명서로 위장해 배포된 악성코드나, 국내 외교·안보 전문가에게 프로필 작성을 요청하며 보낸 파일을 뜯어보면 북한 소행으로 의심되는 특징들이 나온다는 것이다. 이 때문에 한국도 안심할 수는 없으며 사이버 보안에 주목해야 한다는 지적이 제기된다. 문종현 이스트시큐리티 시큐리티대응센터장은 "러시아 소행으로 알려진 데이터 파괴용 악성 파일이 우크라이나에서 다수 보고되는 가운데, 국내도 북한 연계 사이버 위협이 꾸준히 발견되고 있다"며 "각별한 대비가 필요하다"고 말했다. 유선희기자 view@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
