-안티바이러스 프로그램 탐지 불가 악성코드 제작 가능

-대규모 트래픽 발생 없어 관리자 감시 피해

-정부ㆍ공공기관 하루 평균 20회 이상 공격받는데 대응책 미비 지적

-추가 공격 가능성 속 네탓 공방 조짐

［헤럴드경제=류정일 기자］ 정부와 합동대응팀은 3ㆍ20 사이버 테러를 일으킨 악성코드를 채증해 정밀 분석중이지만 사고 원인과 공격 주체 파악에는 시일이 걸릴 전망이다. 해커가 통신망을 타고 미리 악성코드를 설치하고 정해진 시간에 맞춰 시한폭탄을 터뜨렸다는 정도로 추정될 뿐이다.

APT(Advanced Persistent Threat.지능형 지속공격) 방식이 유력하게 거론되고 있지만 악성코드 전용백신이 배포된 것 이외에는 근본적인 대책이 없는 상태로 추가 공격 가능성까지 제기된 가운데 우려가 커지고 있다.

▶무방비 속 속수무책으로 당했다=피해기관에서 채증한 악성코드를 통해 알아낸 것은 업데이트 관리서버(PMS)를 통해 악성코드가 유포됐다는 정도다. 이 악성코드가 PC의 부팅영역(MBR)을 파괴했다는 것이다.

한국인터넷진흥원(KISA)는 컴퓨터 부팅 불가 및 디스크 파괴를 일으킨 이번 악성코드가 2013년 3월20일 14시에 동작하도록 예약된 내용을 확인했다고 밝혔다. 특정한 시간대에 동시다발적으로 발생한 점으로 미뤄 전형적인 APT 공격으로 짐작되는 대목이다.

APT는 특정 대상을 표적으로 내부 시스템의 취약점을 이용해 침투한 뒤 한동안 이를 숨겨 놓았다가 주요 정보를 유출하거나 시스템을 무력화하는 데 쓰인다. 기존의 안티바이러스 프로그램에 탐지되지 않도록 악성코드를 제작할 수 있고 자체 전파하는 바이러스와 달리 다량의 트래픽을 발생시키는 것도 아니어서 네트워크 관리자의 감시도 쉽게 피할 수 있다.

보안 전문가들은 일단 이번 공격이 시스템 파일을 지우는 ‘자폭성’ 공격이란 점에서 불행 중 다행이라고 여기고 있지만 해킹이 외부에 드러나기 전 주요 정보 등을 이미 빼돌렸을 가능성도 배제할 수 없다.

이번 사태처럼 대규모로 동시에 전산망을 마비시키려면 우선 동시다발적으로 감염을 시킨 뒤 폭탄 스위치를 눌러야 한다는 점에서 ‘트로이 목마’ 형태로 잠입했을 가능성도 제기되고 있다. 방통위 관계자는 21일 “피해기관의 PMS에 트로이목마가 심어져 전산마비 사태를 불러일으킨 것으로 파악됐다”고 밝혔다.

▶APT 경고 불구, 대응책 있었나=지난 2011년 SK커뮤니케이션즈 3500만명과 넥슨 1320만명의 개인정보유출, 농협 전산망 마비 사건의 주범은 APT였다.

이같은 APT 공격의 위험성에 대해 금융보안연구원은 이미 경고한 바 있다. 지난해 발간한 ‘APT 공격의 위험성과 전자금융의 대응과제’ 보고서를 통해 국내 정부와 공공기관은 하루 평균 20.5회의 APT 방식 표적 공격에 대응했다. 이번에 공격을 받은 금융업은 11.8회, 방송사도 4.2회의 공격을 받아 대응했다.

이번 공격이 전문가들의 예상대로 APT 방식으로 이뤄졌다면 추가 공격 가능성도 높다고 보고서는 경고했다. 보고서는 “APT 공격의 지능성과 목표에 대한 지속적인 공격 특성 등에 대비해야 한다”고 강조했다.

실제 이번에 공격을 받은 KBS와 MBC는 악성코드 내에 해커의 추가 공격을 암시하는 듯한 단서를 발견했다고 밝혔다. 방송사들은 MBR에 새겨진 16진수의 숫자를 문자로 바꿔보니 ‘하스타티’(HASTATI)가 됐다고 설명했다. 하스타티는 로마제국 시절 로마군 보병대의 3개 대열 중 제1열에 서는 선봉 부대로 하스타티가 무너지면 제2열의 프린키페스가, 프린키페스가 무너지면 제3열의 트리아리가 싸우게 된다.

▶벌써 네탓 공방 조짐=정부 합동대응팀은 PMS가 탈취됐다고 밝혔지만 민간 보안업계에서는 자산관리서버가 악용된 것으로 보고 있다. 원인 파악 조차 제대로 되지 않고 있다는 의문이 드는 대목이다.

보안전문업체 안랩은 21일 “이번 해킹 사태와 관련한 중간 분석 결과, 공격자가 APT 공격으로 업데이트 서버 관리자의 아이디와 비밀번호를 탈취한 것으로 추정된다”며 “PMS 자체의 취약점 때문에 이번 사태가 벌어진 것은 아니다”라고 밝혔다.

일단 업데이트 서버 관리자의 계정 정보가 유출되면 해커는 이를 이용해 정상적으로 서버에 드나들 수 있어 서버 취약점이 없더라도 이같은 공격을 할 수 있다는 설명이다.

여기에 백신업체 업데이트 서버가 악성코드 유통 경로로 악용된 듯 보인다는 일부의 지적에 해당 업체들이 발끈하며 추가 공격 가능성이 높은 가운데 불안감을 키우고 있다.

류정일 기자/