안철수연구소는 4일 오전 10시와 오후 6시30분에 국내 40개 웹사이트를 대상으로 발생한 디도스 공격과 2009년 7ㆍ7 디도스 대란의 차이점과 유사점을 발표했다. 또한 4일 오후 6시30분에 디도스 공격을 한 악성코드들의 파일 관계도를 공개했다.

이번 공격의 가장 큰 특징은 7ㆍ7 디도스 대란과 유사했지만 더욱 업그레이드된 공격을 했다는 것이다. 우선 7ㆍ7 때는 마지막 디도스 공격 날인 10일 자정에 하드 디스크와 파일이 손상됐다. 당시 백신을 설치하지 않은 PC에서는 날짜를 변경하도록 안내했다. 그런데 이번에는 날짜를 이전으로 바꾸거나, 감염 시점을 기록한 noise03.dat 파일을 삭제할 경우에 하드 디스크와 파일이 손상된다. 그러나 공격자는 명령을 파일을 다운로드시켜서 즉시 손상되는 것으로 변경했다. 또한 손상시키는 운영체제도 7ㆍ7 때는 닷넷 프레임웍 기반인 윈도우 2000, XP, 2003에 국한됐으나, 이번에는 모든 윈도우 운영체제가 해당된다.

7ㆍ7 때는 같은 파일 구성으로 여러 차례 공격했으나, 이번에는 공격 때마다 파일 구성이 달라지고 새로운 파일이 추가 제작돼 분석 및 대응에 시간과 노력이 더 들었다. 대응을 할 때마다 공격자가 실시간으로 작전을 변경한 셈이다. 공격 종료 시점이 명확했던 것과 달리 이번에는 종료 시점이 기록되지 않았다는 것도 차이점이다. 또한 호스트 파일 변조로 백신 업데이트를 방해해 치료하지 못 하게 하는 기능도 새로 추가된 것이다.

안철수연구소가 분석한, 4일 오후 6시30분에 디도스 공격을 유발한 악성코드들의 파일 관계도에 따르면 각기 역할이 다른 10여 개의 파일이 유기적으로 작동한다. SBUpdate.exe이 처음 설치된 후 해외의 특정 C&C 서버에 접속하는 동시에 ntcm63.dll, ntds50.dll 파일을 생성한다. 이 두 파일은 다시 7개의 파일을 생성해 실행한다. 이 7개의 파일은 역할이 각기 다르다.

즉 mopxsvc.dll 파일은 faultrep.dat(C&C서버 주소를 저장함) 파일을 참조해 C&C 서버에 접속해 명령을 받아온다. watcsvc.dll 파일은 tlntwye.dat 파일(디도스 공격 시각 정보를 담음), tljoqgv.dat 파일(공격 대상 웹사이트 40개의 정보를 담음)을 참조해 디도스 공격을 수행한다. 또한 soetsvc.dll 파일은 noise03.dat(최초 감염 시각을 저장함) 파일을 참조해 하드 디스크 및 파일을 손상시킨다. 4일 오전 10시에 발생한 공격 또한 이와 같은 방식으로 이루어진다. 한편, 5일 밤에는 해외의 특정 C&C 서버에서 clijproc.dll 파일이 새로 다운로드됐다. 이 파일이 다운로드되는 즉시 하드 디스크 및 파일이 손상됐다.

7일 오전 10시 현재 하드 디스크 손상 신고 건수는 30여 건이다. 안철수연구소는 현재까지 발견된 악성코드에서는 추가 디도스 공격에 대한 정보는 확인되지 않았으나, 변종 제작 등 유사한 사태가 벌어질 가능성에 대비해야 한다고 강조했다.

<최정호 기자@blankpress> choijh@heraldcorp.com