"메일첨부된 악성코드는 부비트랩 속 폭탄, 기계어 단위로 해체해 탐지"

임차성 시큐레터 대표이사 / 사진제공=시큐레터

"악성코드는 부비트랩 속 폭탄처럼 숨겨져 있다. 폭탄을 덮고 있는 풀섶과 돌 등을 들어내야 비로소 폭탄이 보이고 대응할 수 있다"

통상 악성코드를 배포하는 방식은 exe나 dll 등 특정 명령을 이행하도록 만들어진 실행파일을 통해 주로 이뤄져 왔다. 하지만 요즘 대부분의 상용메일은 실행파일 첨부가 불가능하다. 실행파일 공격을 차단하는 보안 솔루션도 많기 때문에 공격자들은 이제 비실행파일을 주요 공격 수단으로 삼는다. 비실행파일 전문 보안 회사가 주목받는 이유다.


임차성 시큐레터 대표는 최근 머니투데이와의 인터뷰에서 "시큐레터는 비실행파일을 어셈블리(0,1로 이뤄진 기계어) 수준으로 해체해 이상여부를 탐지·대응, 보안시장의 새 영역을 개척하고 있다"면서 "전자문서와 같은 비실행파일 송수신 전반에 우리 회사의 솔루션이 쓰일 수 있다"고 강조했다.

비실행파일은 더 깊고 복잡하게 숨겨진 부비트랩 속 폭탄과 같다. 비실행파일은 hwp나 doc 또는 pdf 등 문서 파일이나 bmp나 jpg·gif 등 이미지 파일, xls나 cell 등 스프레드시트 파일 등이다. 임 대표는 "실행파일 공격은 기술적으로 쉽게 파악되지만 문서파일과 같은 비실행파일은 악성코드 여부를 탐지하기가 매우 어렵다"며 "비실행파일은 파일을 여는 순간 시시각각 변하기 때문에 대응하기 어렵다. 이용자들도 문서파일에 대해서는 상대적으로 경계심을 낮추기 때문에 그만큼 공격이 성공할 가능성도 높다"고 지적했다.

금융보안원에 따르면 전체 사이버 침해사고의 40% 이상이 '이메일을 통한 악성코드 공격'이었다. 비인가 서비스 공격(27%)이나 비인가 정보접근(12.3%) 등을 더한 것보다 많다. 해킹메일에 악성코드를 심은 문서 파일을 보낼 때 공격 성공률이 그만큼 높다.


2015년 설립된 시큐레터는 비실행파일을 자동으로 어셈블리 단위에서 분석하는 기술을 바탕으로 메일을 통한 파일 송수신뿐 아니라 기업·기관의 내부망·외부망 연계, 웹 서비스, 문서중앙화 구간의 파일 이동 등까지 아우르는 콘텐츠 보안 솔루션을 운용 중이다. 어셈블리 수준에서 악성코드를 찾아내면 악성코드 실행 전 단계에서 탐지·차단뿐만 아니라 문서 내 악성행위를 유발하는 액티브 콘텐츠의 제거가 가능하다. 증상이 나타나지 않는 잠복기 단계에서 질병을 진단·치료하는 것과 같다.

임 대표는 안랩 분석팀에서 악성코드 분석 전문가로 활동하던 중 비실행파일을 역공학(리버스 엔지니어링) 방식으로 분석해 이를 자동화하는 방법을 개발, 시큐레터를 창업했다. 다른 회사 실행파일 보안 솔루션도 비실행파일 악성코드를 잡아내는 경우는 있다. 다만 탐지율에서 차이가 난다. 시큐레터의 MARS(마스, 콘텐츠 보안 위협 진단 플랫폼)는 KISA(한국인터넷진흥원) 성능 테스트에서 업계 최고 수준 정확도를 기록했고 진단속도로 20초 내외로 빠르다는 설명이다. 코스닥 상장 기술성 평가에서는 두 기관에서 모두 A 등급 평가를 받았다.

그는 "우리은행, 한국투자파트너스, KDB산업은행 등의 투자유치에 이어 국내 보안기업 최초로 사우디아라비아의 정부투자기관 RVC의 투자 유치를 이끌어 냈고 누적투자금은 약 200억원"이라며 "정부부처 등이 이용해준 덕분에 기술력을 인정받고 레퍼런스(사업실적)도 쌓을 수 있었다"고 설명했다.

시큐레터는 금융권과 일반기업으로 고객군도 빠르게 확장하고 있다. 산업통상자원부, 문화체육관광부 등 정부부처는 물론이고 △KISA, 국민연금공단, 국민건강보험공단, 한국전력기술, 제주도청 등 공공기관 △부산은행, KB증권, 한국투자증권, 대신증권 등 금융사 △LIG넥스원, 서울반도체 등이 고객이다. 사우디아라비아 등 기존 투자자 소재지 중동을 비롯해 동남아 등 해외시장에서도 그간 확보한 파트너십을 통해 올해 가시화된 성과를 거둔다는 계획이다.