‘좀비PC’ 웹하드 통해 감염됐다

경찰청 사이버테러대응센터 관계자가 27일 오전 경찰청 브리핑룸에서 이달 초 이뤄진 ‘디도스(DDoS·분산서비스거부) 공격’의 사건개요를 설명하고 있다. 강재훈 선임기자 [e-mail]

경찰청 “지난번 디도스 공격때 국내 2곳서 악성코드 깔려”

지난 7~9일 ‘디도스(DDoS·분산서비스거부) 공격’에 사용된 좀비피시들이 대부분 국내 ‘웹하드 사이트’를 통해 악성코드에 감염됐던 것으로 드러났다. 또 디도스 공격자가 국내·외 서버(컴퓨터) 432대를 경유해 좀비피시들에게 정보 유출과 특정 사이트 공격 등 4가지 종류의 명령을 순차적으로 내린 게 추가로 확인됐다.

경찰청 사이버테러대응센터는 27일 “ㄷ사와 ㅍ사 등 국내 웹하드 사이트 2곳을 사용할 때 쓰이는 프로그램이 악성 코드로 바꿔치기 돼, 이용자들이 프로그램을 업데이트할 때 피시에 감염된 것으로 나타났다”고 밝혔다. 디도스 공격자가 웹하드 사이트를 해킹해 ‘업데이트용 전용 프로그램’으로 위장된 악성코드를 심었고, 누리꾼들이 이 사실을 모른 채 프로그램을 내려받아 자신의 피시를 좀비피시로 만들었다는 것이다. 각각 서울과 부산에 본사를 둔 두 웹하드 사이트는 모두 개인 사용자가 파일을 저장하거나 사용자끼리 파일을 주고 받는 웹하드형 피투피(P2P) 사이트였다.

경찰은 좀비피시를 원격제어한 명령(시앤시) 서버가 한국을 포함한 61개국에 모두 432대가 있다는 사실도 파악했다. 이들 서버는 목적에 따라 4개군으로 나뉘어 △좀비피시 관리 △파일정보 수집 △악성코드 공급 △좀비피시 파괴 명령을 내렸다. 경찰은 기존 디도스 공격이 스팸·스파이웨어 등 한가지 목적만 수행하는 데 그친 반면, 이번엔 좀비피시 한대가 4종류의 시앤시 서버를 순차적으로 거치면서 전례없이 복합적인 공격을 한 것으로 분석했다.

특히 경찰이 독일경찰을 통해 확보한 자료를 분석한 결과, ‘좀비피시 관리 서버’에 정보를 전송한 피시 5만5596대 가운데 5만4628대(98.2%)가 국내에 있는 것으로 확인됐다. 관리 서버는 독일·미국·중국·태국 등 6개국 9대로, 좀비피시로부터 아이피(IP) 주소, 시스템 이름 등 정보를 받는 구실을 했다.

좀비피시에서 ‘파일 목록’을 빼간 파일정보 수집 서버는 국내 15대를 포함해 59개국 416대가 있었다. 경찰은 “내문서, 즐겨찾기 등에서 파일 목록 일부가 유출된 것은 이미 확인했지만, 내용까지 유출됐는지는 아직 파악하지 못했다”고 밝혔다. 이밖에도 실제 공격을 수행한 ‘악성코드 공급서버’는 미국에 1대, 하드디스크 삭제 명령을 수행한 ‘좀비피시 파괴서버’는 대만·과테말라 등 6개국에 한대씩 있었던 것으로 드러났다.

경찰은 “여지껏 없었던 형태의 복잡하고 진일보한 사이버테러”라며 “해커의 근원지와 최종 목표가 무엇인지를 찾는 데 주력하고 있다”고 밝혔다.

홍석재 기자 [e-mail]