친미해커, 알자지라 도메인 훔쳤다

지난 27일 알자지라 웹사이트의 아랍어 사이트와 영어 사이트를 방문한 사람들은 해커들이 미국 성조기와 함께 미국을 옹호하는 메시지로 낙서한 현장을 목격했을 것이다.

최근 큰 파란을 일으키고 있는 중동 지역의 뉴스 서비스인 알자지라의 도메인이 해킹당했다. 이같은 낙서 공격은 네트월드 커넥션이 제공하고 있는 무료 웹사이트 서비스에 나타났다. 기술 용어로 ‘리다이렉트’라고 알려진 이 방법은 www.aljazeera.net(영문 사이트도 마찬가지)으로 가려는 웹브라우저를 넷월드 서버에서 호스트하는 컨텐트쪽으로 유인하게 된다.

솔트 레이크 시티에 위치한 넷월드 서비스의 CEO인 켄 보우먼은, 넷월드에서 지난 27일 오전에 트래픽이 갑자기 증가했다는 것을 알아차렸으며, 또 한 보안 전문가가 보낸 이메일을 보고 알자지라를 방문한 사람들이 넷월드의 서비스로 리다이렉트되고 있다는 사실을 알게 됐다고 설명했다.

보우먼은 "우리는 그 컨텐트를 즉시 삭제했다"라고 말했다. 그는 도메인 등록을 관장하고 있는 베리사인에서 그날 오전에 리다이렉트를 제거했다고 덧붙였다. 그는 "그들은 알자지라 사이트에 손도 대지 않았다"라고 말했다.

이같은 문제는 리다이렉트를 제거하고 알자지라의 사이트을 원상복귀시킴으로서 해결됐지만 전 인터넷에 대해 필터링 작업을 해야 하기 때문에 최대 3일까지 시간이 걸리는 작업이다. 게다가 이번의 리다이렉트 문제가 없더라도 크래커들이 알자지라 뉴스 서비스에 데이터 과부하를 유발시키는 등 지속적으로 공격하고 있어서 계속 접속이 불가능한 상태다.

27일 FBI 관계자는 FBI가 알자지라 웹사이트 공격에 대한 수사를 개시했다고 말했다.

베리사인의 한 대표는 이 도메인이 어떻게 해킹을 당했는지에 대한 여러 가지 질문에 즉각적인 답변을 하지 못했다.

베리사인은 .com을 비롯해서 .net, .cc .tv 등의 최고 도메인들이 등록돼 있는 인터넷 등록처이며, 이같은 최상위 도메인에 등록된 모든 도메인 이름이 들어있는 권위있는 데이터베이스를 관리하는 일을 맡고 있다.

27일 새벽에 whois 데이터베이스(각 도메인에 대한 정보를 보관하고 있는 분산 디렉토리)에 들어있는 기록들을 보면 크래커들이 도메인 기록을 위조한 적이 있다는 사실을 알 수 있다. 보통 whois 기록에는 웹이나 메일, 그리고 파일 호스팅과 같이 어떤 특정 도메인에서 제공된 서비스들이 들어간다.

그러나 알자지라에 관련된 베리사인 기록에는 MyDomain.com에서 관리하는 도메인 이름 서버에서 유래한 데이터가 대신 들어가 있다. 그리고 이 도메인 이름 서버들은 웹에서 알자지라를 원하는 요청이 들어오면 그것을 넷월드의 낙서 공격 사이트로 연결시켜준다.

27일 오후 마이도메인닷컴측은 성명을 통해 "우리는 프랑스에 위치한 자사의 데이터센터에서 알자지라닷넷 웹사이트를 호스트하고 있는 내브링크의 연락을 받고 마이도메인닷컴은 넷워크 솔루션즈(베리사인의 자회사)에 등록된 알자지라의 도메인 이름 계정이 해킹당했다는 사실을 알게 됐다. 내브링크측에서 이같은 사실을 확인했으며...이제는 넷워크 솔루션즈 계정에 재접속되었고 문제의 도메인 이름 서버들도 정상적으로 복구됐다"고 말했다.

이메일로 내브링크에 논평을 요구했으나 즉각적인 응답은 없었다. 마이도메인측은 인터넷 전체 모든 부분에 대해 모두 필터 작업을 해야 하기 때문에 이같은 회복 절차가 많으면 72 시간 정도까지도 걸릴 것이라고 말했다.

그동안 중동 지역 뉴스 서비스인 알자지라 방송을 둘러싸고 많은 일이 일어났지만 이 낙서 공격은 가장 최근에 일어난 사건이다.

알자지라는 일주일 내내 기술적인 문제에다가 해커 공격 문제를 해결해야만 했다. 이 아랍계 위성 TV 네트워크는 지난 월요일 영어판 웹사이트를 출범시켰으며 언론의 많은 관심을 모으기도 했다. 이 사이트에서는 미군들이 살해당한 사진들과 포로로 잡혀있는 장면 등 많은 논란을 일으킨 동영상을 내보내고 있다.

이같은 논란과 그에 따른 언론의 관심으로 이 사이트는 해커들의 타깃이 되고 있다.

27일에 발생한 낙서 공격의 내용을 보면, 미국 국기 그림과 함께 "자유가 울려 퍼지게 하라!"라고 쓴 "애국자(patriot)"라는 통신명의 이 해커는 자신이 FCFM(Freedom Cyber Force Militia) 그룹이라고 주장하면서 서명까지 했다. 그리고 "하느님께서 우리의 군대를 축복해주시길!!!"이라고도 썼다.

네트월드의 보우먼은 이 사이트가 네트월드에서 제공하는 무료 호스팅 서비스를 이용한 것이라고 설명했다. 또한 그는 이 서비스가 무료이기 때문에 자사에서는 이 서비스가 어떻게 사용되는지 잘 살피지 않는 편이라고 설명했다.

그는 "여기에서 제공되는 정보들은 대개가 허위 정보들이다."라고 말하면서 경찰 수사에 협조할 가능성은 전혀 없다는 입장을 보였다. 또 "이것은 무료 사이트이며 우리는 어떤 데이터도 추적하지 않는다. 인터넷 주소라든지 어떤 것도 추적하지 않고 있다. 그것들을 추적하려면 약 500명의 직원이 필요할 것이다."라고 말했다.

보우먼은 네트월드에서 어떤 일이 있었는지 현재 분석 중이며 미래에 이같은 일이 일어나지 않도록 이 사이트를 관리하는 방식을 바꾸어야할지도 모르겠다고 말했다.

이 낙서 공격을 잘 알고 있는 한 보안 전문가는 FCFM(Freedom Cyber Force Militia)이라는 그룹에 대해서는 한번도 들어본 적이 없다고 말했다.

유명한 보안과 낙서공격 뉴스 사이트인 Zone-H.org의 관리자는 "우리는 전쟁이 바로 있기 전에 해킹을 한 다른 낙서 공격자들에 대해서도 들어본 적이 없다"라고 한 이메일 인터뷰를 통해 말했다. SyS64738라는 아이디를 쓰는 이 관리자는 "많은 IT 보안 전문가들이 이라크 전쟁을 기회로 자기네 재주를 한껏 발휘하고 있는 것 같다"라고 말했다.


(ZDNet korea 제공)