국제 해킹 수상자 "탐지? 남모르게 하는게 해킹"

↑ 박찬암 라온시큐어 보안팀장

국제 해킹대회에서 수차례 우승한 유명 화이트해커인 박찬암 라온시큐어 보안기술연구팀장은 이번 해킹사태에 대해 "해킹기술 자체는 일반적인 것이지만 치밀한 전략과 전술을 수립해 충격을 극대화한 APT(지능형지속해킹) 공격으로 언제든 후속공격이 이뤄질 수 있다"고 말했다. 다음은 일문일답


- 어떤 방식으로 해킹이 시도됐나.
▶최초 악성코드를 이메일이나 USB를 통해 감염시켜 내부자의 특정 컴퓨터를 장악한 이를 통해 내부망 관리서버 또는 백신 업데이터서버 등을 공략해 내부 사용자 전체의 PC를 감염시킨 것 같다

-누구의 소행인가?
▶현재 샘플을 구하고 있는데 북한이 했다는 정황상 증거는 있지만 논리적 증거는 관계당국에서 찾는 중으로 안다. APT공격의 최초 경로루트를 찾는 게 관건인데 아직 파악하지 못했다. 대신 감염된 이후 확산되는 경로는 업데이트 서버로 파악됐다.

-과거 SK컴즈 해킹 건처럼 업데이트 서버를 탈취한 것인가?
▶개연성이 있다. 안랩에서는 백신업데이트 서버가 아닌 개별기업 PC 관리서버 아이디와 패스를 절취해서 공략한 것이라고 밝혔는데, 백신업데이트서버인지 유무와 서버의 자체의 취약점을 이용한 것인지 관리자 권한을 해킹한 것 인지에 대한 객관적 분석이 필요하다.

- 공격방식이 정교한 것인가?
▶공격기술 자체는 일반적으로 알려진 기법이다. 그러나 칼을 사용하더라도 어떻게 쓰느냐에 따라 피해가 크듯, 일반적인 기법들에 전략과 전술을 잘 접목해 피해를 키운 것 같다. 가령 PC의 하드디스크내에 부팅정보를 담은 MBR(마스터부트레코드)을 파괴하는 악성코드를 특정인에게 이메일로 위장해 퍼뜨리고 특정시간대 다수의 기관들에 작동하도록 한 것은 충격효과를 위해 치밀하게 계획된 것이 분명하다.


-해킹된 PC의 다른 정보를 빼냈을 수도 있나?
▶통상 정보를 절취할 경우 들킬 우려 때문에 파괴시키지는 않는다. 다만 피해기관들의 성격상 정보를 빼냈을 개연성은 있다. 내부자가 해킹됐으니 내부망과 관련된 시스템이나 네트워크가 점령당했다고 볼 수도 있다. 내부 PC외에 사이트와 서버 등도 살펴봐야한다. 그 경로를 통해 추가적으로 공격이 이뤄질 수도 있다. 일단 해킹된 PC는 윈도나 시스템환경에 따라 다른데 부분적으로 복구가 가능하거나 완전 복구 불가능한 경우도 있을 것이다.

-추가피해 가능성은?
▶얼마든지 가능하다. 해커가 악성코드를 통해 MBR에 덮어쓴 'HASTATI'(선봉대를 의미하는 라틴어)라는 문자열을 통해 추가공격을 예상하고 있는데 실제 언제 후속공격이 이뤄질지 모른다. 마치 숨겨진 폭탄과 같다. 현재 다른 기관이나 기업 시스템에 어떠한 악성코드가 숨겨져 있는지 예측불허다. 탐지가 가능하지만 해킹은 원래 남이 모르도록 하는 방식이다. 워낙 악성코드의 종류와 경우의 수가 많아 물리적으로 100% 탐지는 불가능하다. 결국 보안대책을 마련해 피해를 줄여가는 방식으로 가야한다.