"3.20 해커, 주한미군 정보 수집 노렸나"

지난달 20일 KBS, MBC, YTN, 농협, 신한은행 등 6개 방송, 금융기관 등 전산망 파괴를 노린 사이버테러 조직이 다른 한편에서는 악성코드를 통해 주한미군 군사정보를 비롯한 국내 기밀 정보 수집까지 시도했다는 분석이 제기됐다.


14일 복수의 악성코드 분석 전문가들에 따르면, 3.20 사이버테러 발생되기 두달 전쯤인 올 1월부터 주한미군을 포함한 국방 관련 정보들을 탐지하는 기능이 숨겨진 악성코드가 국내 유포됐던 정황이 포착됐다.

이 악성코드는 주한미군을 포함한 국방 관련 키워드가 포함된 문서파일(doc, hwp, ppt)이나 압축파일(zip, rar)이 감염 PC내 하드디스크에 있는 지 자동 탐지하도록 설계돼 있다.

이들 키워드는 'Key Resolve'(키 리졸브 훈련)'DoD(미 국방성)', 'DEFCON(전투준비태세)', 'USFK(주한미군), 7AF(미 제7공군), 2ID(미 2보병사단), CNFK(주한해군사령부)', Osan(오산), Kunsan(군산) 등 무려 80여개에 달하고 있다. 특히 '0day(제로데이)', 'exploit(취약점)' 'cyber(사이버)' 등 사이버전 관련 정보까지 수집하려 했던 것으로 밝혀졌다.

만약, 감염된 PC 하드디스크에 이들 키워드가 포함된 파일이 존재할 경우, 곧바로 유출을 시도할 목적이었겠지만, 이 악성코드를 통해 실제 관련 정보들이 유출됐는 지 여부는 확인되지 않고 있다.


이 악성코드는 정부가 3.20 사이버테러 피해기관에서 채증했던 악성코드와 동일한 감염 PC의 식별번호(8자리 숫자)체계와 감염신호 생성코드의 소스 프로그램을 사용한 것으로 분석됐다.

악성코드 제작자가 지난달 20일 KBS, MBC, YTN, 농협, 신한은행 등 6개 방송사 금융기관 전산망을 교란시킨 사이버 테러조직과 동일 조직으로 추정되는 것도 이 때문이다.

이와 관련, 정부는 지난 10일 3.20 사이버테러의 배후로 북한 정찰총국을 지목한 바 있으며, 북한은 이같은 의혹을 전면 부인했다.

악성코드 분석그룹 이슈메이커스랩 리더 샤이먼 최씨는 "해당 악성코드를 분석한 결과, 3.20 사이버테러 피해기관에서 발견됐던 악성코드와 감염PC 식별번호와 소스 프로그램 등이 동일했다"고 진단했다. 다만, 공격 경유지 서버는 3.20 사이버테러 피해기관에서 발견됐던 악성코드와는 서로 달랐던 것으로 조사됐다.

업계 관계자들은 해당 악성코드가 주로 국방 관련 연구소 및 대학 관계자들을 타깃으로 이들이 주로 찾는 웹사이트를 숙주 삼거나 이메일 혹은 다른 프로그램의 취약점을 통해 유포됐을 것으로 추정하고 있다.

한편, 정보 당국도 이같은 정보수집 악성코드 유포 사실을 일부 인지하고 현재 정확한 유포경위 및 피해상황 여부를 파악 중인 것으로 알려졌다.