국가기간방송 KBS 등 취약점 찾아 핵심시스템까지 공격
정부 사이버 위협 합동대응팀이 피해 기업에서 채증한 악성코드를 분석한 결과 악성코드는 업데이트 관리서버(PMS)를 통해 유포됐으며 PC 부팅영역(MBR)을 파괴시킨 것으로 드러나고 있다.
악성코드의 유포 경로가 유명 백신업체 두 곳의 업데이트 서버일 가능성이 제기된 가운데 유포 경로로 지목된 한 업체가 이번에 발견된 악성코드가 자사의 백신 프로그램의 구성모듈 파일로 위장한 사실을 인정했다. 보안전문업체 하우리는 “자사의 백신 프로그램 ‘바이로봇’의 구성모듈 파일인 ‘othdown.exe’로 위장한 악성코드가 특정 언론사와 금융기관에 침투했다”며 “악성코드가 침투한 뒤 하위 클라이언트 사용자까지 내려가 실행돼 전산망 마비를 일으켰다”고 설명했다. 하우리는 파괴된 정보를 복구하는 것은 불가능할 것으로 진단했다.
하지만 누가 어떤 이유로 해킹 공격을 감행했는지에 대해서는 밝혀지지 않았다. 이 때문에 ‘북한 해킹설’에서부터 ‘제3국 소행설’까지 다양한 추측이 나오고 있다. 특히 북한에서 지난 13일 원인 모를 행정망 마비 사태가 발생한 것과 무관치 않다는 지적도 있다.
피해 기업들에 통신망을 제공하고 있는 KT, SK브로드밴드, LG유플러스 등 통신사들의 자체 네트워크는 이상 징후가 감지되지 않았다. 과거 북한이 국내 주요 기관에 감행한 디도스 공격은 일부 컴퓨터를 좀비 PC로 확보한 뒤 다른 컴퓨터에 명령을 내려 특정 사이트를 다운시켰다. 그러나 이날 발생한 전산망 마비는 사이트는 운영되면서 은행 거래를 위한 내부 전산망만 다운됐거나 PC 부팅이 안 되는 등 디도스 공격과는 다른 양상을 보이고 있다. 이동통신 관계자는 “네트워크 트래픽에 이상 징후가 없다”며 “일부 홈페이지에 해골 모양이 뜨는 등 해킹이 의심된다”고 말했다.
전문가들은 이번 전산망 마비 사태는 고도의 해킹 기술을 가진 해커의 소행으로 보고 있다. 이상진 고려대 사이버국방학과 교수는 “별개의 조직이 동시에 다운되는 건 사이버 테러가 아니고서는 있을 수 없는 일”이라며 “특정기관의 취약점을 찾아 핵심 시스템을 공격하는 지능형 지속해킹(APT)이라는 최신 해킹수법을 계획적으로 쓴 것으로 보인다”고 말했다.
일부에서는 해킹 공격을 감행한 것이 북한일 가능성도 조심스럽게 제기한다. 북한은 그동안 여러 차례에 걸쳐 ‘특별행동’, ‘조준타격’ 등의 단어를 사용하며 한국 언론의 보도 행태를 비판한 바 있다. 지난해 4월과 6월 두 차례에 걸쳐 동아일보와 KBS, MBC, YTN, 조선일보, 중앙일보 등에 대해 ‘특별행동’을 하겠다고 위협했다.
이정남 동국대 국제정보대학원 겸임교수는 “대한민국 시스템을 마비시키기 위해 은행과 방송국을 공격한 사이버 테러일 가능성이 크다”면서 “북한 소행일 가능성이 크지만 다른 나라에서 우리나라 사이버 상황을 체크하기 위해 시범적으로 해본 것일 수도 있다”고 말했다.
해킹 공격을 자처하는 ‘후이즈’(Whois)라는 단체도 나왔다. 이들은 해킹 화면에서 이마에 총상 흔적이 있는 해골 그림과 함께 “후이즈 팀에 해킹당했다”는 문구를 적시했다.
한편 사이버 위협 합동대응팀은 감염된 PC와 감염되지 않은 PC를 수거해 분석하고 있다. 이승원 방송통신위원회 네트워크정보보호팀장은 “조만간 분석을 마친 뒤 백신을 최우선으로 배포할 것”이라며 “백신은 보통 (악성코드 공격) 다음 날 나온다”고 말했다.
홍혜정 기자 jukebox@seoul.co.kr
배경헌 기자 baenim@seoul.co.kr
[용어 클릭]
■악성코드 악성 프로그램 또는 비바이러스 악성코드. 컴퓨터 바이러스와 달리 다른 파일을 감염시키지는 않지만 악의적인 용도로 사용될 수 있다. 트로이목마, 스파이웨어, 해킹툴, 악성 자바스크립트 등이 있다.
■DDoS(Distributed Denial of Service) 다수의 PC를 이용, 특정 사이트에 대량의 트래픽을 전송함으로써 시스템상에 과부하를 유발시켜 정상적인 서비스를 방해하는 사이버 공격을 말한다.
2013-03-21 2면
