DDoS, '사이버코리아' 융단폭격중

(종합)국정원,다음,파란,안연 등… "진상 파악조차 안돼"

"위에서 내려다 보면서 마음껏 농락하는 것 같다"

보안당국 한 관계자의 말이다.

7일 오후 6시를 전후로 청와대 백악관 등 한미 주요기관 웹사이트를 집중 공략했던 분산서비스거부(DDoS) 공격자들이 정확히 24시간 뒤인 8일 오후 6시를 전후해 또다른 타깃을 대상으로 대대적인 2차 공격을 감행했다.

이번에 바뀐 공격 대상은 국가정보원(사이버안전센터)과 안철수연구소, 이스트소프트(알약) 등 보안업체와 네이버(PC그린) 다음(메일), 파란 등 포털사이트, 여기에 시중은행 4곳이다. 방송통신위원회 홈페이지마저 접속이 원활치 않은 상황이다.

특히 안철수연구소, 이스트소프트, 네이버 PC그린 등 주요 백신업체들이 집중 공격을 받으면서 한때 이용자들의 업데이트 서버마저 불통되는 사태가 빚어져 보안업계가 크게 긴장하기도 했다.

이 경우, 이용자들에게 제공했던 백신 서비스가 전면 중단되기 때문이다. 이들 보안업체가 긴급 복구작업을 벌여 현재는 보안 업데이트 서버는 정상 가동 중인 것으로 알려졌다.

7일 오후를 기점으로 점차 소강상태를 빚던 DDoS 공격이 본격적으로 재개된 것이다.

이같은 공격은 사실상 이미 예고돼 있었던 것이나 마찬가지다. DDoS 공격의 매개체인 악성코드 감염 PC가 전혀 줄지 않았기 때문.


이날 오전부터 정부가 이용자들에게 '최신 백신엔진으로 업데이트를 해줄 것"을 호소하는 동시에 집중적인 모니터링에 착수했지만, 감염 PC수는 오전 1만8000개에서 오후 접어들면서 2만4000개 수준으로 확대됐다.

마치 이날 가동된 정부의 합동 모니터링 체계를 실컷 조롱하듯 교란해버린 것이다.

이들 해커는 악성코드에 미리 입력돼 있던 공격 타깃 사이트 목록을 다른 대상 사이트로 뒤바꾸는 수법을 사용했다.

이를 위해선 감염된 PC가 접속해 다른 타깃 목록이 입력된 악성코드를 새로 내려받을 수 있는 숙주 사이트가 필요하다.

그럼에도 불구하고 보안당국은 아직까지도 숙주사이트는 물론 경로(취약점) 여부조차 확인하지 못하고 있다. 그만큼 철두철미한 공격이 진행되고 있다는 얘기다.

당초 해커가 원격에서 통제할 수 있는 명령제어서버 없이 자체 실행한다는 분석결과도 재점검해봐야한다는 지적이다.

2만4000여개의 좀비 PC가 한순간에 예정됐던 공격을 멈추고 타깃대상을 바꾼 것은 누군가에 의해 원격으로 통제되고 있을 가능성이 높기 때문이다.

여기에 주요 백신엔진 업데이트에도 불구하고 감염 PC수가 늘어난데는 또다른 변종 악성코드들이 뿌려졌을 가능성도 배제할 수 없다.

문제의 심각성은 현재까지도 악성코드 유포지나 공격 취약점, 근원지 등 밝혀진 것이 전혀 없기 때문에 속수무책으로 당할 수 밖에 없다는 것이다.

보안 업계 전문가는 "이번 초유의 사태가 어디까지 지속될 지 두렵다"며 "무엇보다 유포지나 배포에 이용한 취약점 등 근원적인 부분이 밝혀져야 실마리가 풀어질 것"이라고 지적했다.