“디도스 공격 최초 발생지는 국내 파일공유 사이트 2곳”

경찰청은 27일 ‘7·7 사이버테러’의 범인이 국내의 2개 사이트를 통해 악성 코드를 퍼뜨린 것으로 드러났다고 밝혔다. 이 사건에 대한 중간 수사 결과 발표에서다. 경찰 관계자는 “국제 공조를 통해 범인을 역추적하고 있지만 수사할수록 새로운 수법이 드러나 쉽지는 않다”고 말했다. 범인은 잡지 못했지만 경찰은 수사 과정에서 더욱 새롭고 까다로워진 사이버테러 기법을 확인했다고 설명했다.

경찰은 사이버 테러에 이용된 2개 사이트는 일반 네티즌이 파일을 공유할 때 이용하는 사이트였다고 설명했다. 이 사이트를 통해 악성 코드가 퍼졌다. 경찰청 최인석 사이버테러대응센터 수사실장은 “국내 사이트를 통해 유포된 악성 코드는 지난 7~9일 한국과 미국의 35개 주요 사이트에 대해 접속 수를 일시에 증가시켜 사이트를 마비시키는 공격(디도스 공격)을 했다”고 설명했다. 이어 “감염된 일반인들의 PC(좀비 PC)는 세계에 흩어진 서버에 자동적으로 연결되도록 조작돼 있었다”고 덧붙였다. “지금껏 어떤 사이버 테러보다 복잡하고 규모가 큰 국제적 해킹 사건”이라는 것이다.

한 번 감염된 일반인들의 PC는 61개국 432개 서버에 접속됐다. 이 서버들은 다시 감염된 PC에 공격 명령을 내리거나 PC의 정보들을 빼내가는 사령탑 역할을 했다. 이를 위해 범인은 세계에 흩어진 432개 서버도 일일이 해킹해 놓았다고 한다. 이 정도 규모의 해킹에는 막대한 자금과 조직이 필요하다는 게 경찰의 분석이다. 경찰은 432개 서버 중 독일의 것 1개를 현지 경찰의 협조를 얻어 확보했다. 경찰 관계자는 “독일에 있는 서버를 분석한 결과 3차 공격(9일)에 활용된 PC는 5만5000대였다. 나머지 서버를 확보하면 좀비 PC 숫자는 더 늘어날 수 있다”고 설명했다.

◆“좀비 PC 활용한 뒤 자폭 시켜”=감염된 PC는 저장된 정보를 빼앗기도 했다. 432개 서버 대부분이 좀비 PC의 정보를 빼내는 역할을 했다. 경찰 관계자는 “PC의 정보는 이스라엘·캐나다·베네수엘라의 서버로 재유출됐다. 이유는 알 수 없지만 정보를 이중으로 빼돌린 것 같다”고 설명했다. 좀비 PC는 미국 서부의 한 농장에 있는 PC에도 ‘주요 사이트 공격명령 파일’을 숨겨 놓았다고 한다. 이 파일을 전송받은 다른 좀비 PC들은 한국과 미국의 주요 사이트를 일제히 공격했다.

이번 사이버테러의 마지막 단계는 ‘좀비 PC의 자폭’이었다. 감염된 PC들이 공격을 수행한 뒤 해외의 6개 서버로부터 자신의 하드디스크를 파괴하는 파일을 내려받았다. 파일이 실행되는 순간 좀비 PC의 하드 디스크가 파괴됐다. 최인석 실장은 “각국 서버들은 ▶공격을 시행하는 악성 프로그램을 PC에 전달하고 ▶감염된 PC의 파일정보를 수집하고 ▶이를 관리·통제한 뒤 ▶끝으로 PC 하드를 파괴시키는 파일을 전송해 자폭을 유도하는 네 가지 기능을 수행했다”고 말했다.

경찰 관계자는 “지금까지의 디도스 공격은 공격 명령을 내리는 중간 사령탑 서버가 하나인 경우가 많아 추적하기가 까다롭지 않았지만, 이번엔 서로 다른 기능을 가진 서버가 세계 곳곳에 흩어져 있었다”고 말했다. 이어 “국제 공조를 통해 각국 서버들을 확보해 범인을 역추적하고 있다”고 덧붙였다.

강인식 기자