해외 ‘숙주사이트’ 4곳 발견…접속 차단

오후 3시 세종로 정부중앙청사에서 정부 긴급 사이버테러 대응 관계부처 차관회의. 권태신 총리실장 주재로 외교통상부.행정안전부.법무부.국방부 차관과 방송통신위원회, 금융위원회, 국정원 관계자 등 참석. 이종찬 선임기자 [e-mail]

디도스 공격 언제까지
정부 “사이트 4곳, 악성코드 전파경로 역할” 확인
‘재활성화 업데이트’ 해외 사이트 2곳도 차단
어제도 3차 피해…국가사이버센터 사이트 불통

국내외 주요기관 누리집(인터넷 홈페이지)을 마비시킨 ‘디도스’(DDoS·분산 서비스 거부) 공격이 24시간 단위로 사흘째 계속되는 가운데 정부가 이번 공격에 사용된 악성코드의 전파 경로가 된 국외 ‘숙주사이트’ 차단에 나섰다.

■ 공격 부른 6개 숙주사이트 차단 정부는 9일 오후 이번 공격에 사용된 악성코드의 전파 경로 역할을 했던 4개 숙주사이트를 확인하고 국내 접속을 전격 차단했다. 보안업체로부터 넘겨받은 82개 사이트와 정부가 자체적으로 의심을 둔 사이트들을 조사한 결과 이들 사이트에서 악성코드가 유포된 것을 발견한 것이다.

정부는 또 활동이 멈춘 악성코드를 다시 활성화시키는 국외 업데이트 사이트 2개를 추가로 발견해 차단 조처를 취했다. 이들 업데이트 사이트는 1차 공격시 사용됐다가 24시간 만에 활동을 멈춘 악성코드가 잠시 휴면기를 거친 뒤 2차 공격을 할 수 있는 악성코드로 변환시키는 역할을 담당한 것으로 드러났다. 이로써 새로운 악성코드가 발견되지 않는다면 이 경로를 통한 좀비피시가 발생할 가능성은 줄어들고 기존 감염 피시만 치료하면 사태가 진정될 것으로 보인다.

■ 재개된 3차 공격은 미미 7일 25곳 1차 공격, 8일 16곳 2차 공격에 이어 9일에는 7개 사이트에 대한 3차 공격이 재개됐다. 24시간으로 설정된 ‘공격시간’이 지나면서 1, 2차 공격 대상은 정상을 되찾았지만, 사이버 테러 대응 사령탑이라고 할 수 있는 국가정보원 국가사이버안전센터 사이트는 9일 오후까지도 접속이 되지 않았다.

안철수연구소가 9일 오후 6시부터 10일 오후 6시까지 네이버·다음 메일 등 7개 사이트에 대한 3차 공격 스케줄이 예정돼 있다고 발표한 것도 피해를 줄이는 데 도움이 됐다. 네이버는 이 예고에 따라 서버를 늘리고 네트워크 회선을 증설하는 대응책을 세워 접속 차질을 피할 수 있었다.

지금까지 디도스 공격은 악성코드의 정체를 밝히면 추가 공격을 막을 수 있었다. 악성코드에 감염된 ‘좀비 피시’에 명령을 내리는 지휘 서버를 찾아내 인터넷사업자를 통해서 해당 서버의 아이피를 차단하면 됐기 때문이다. 하지만 이번 악성코드는 지휘 서버 없이 좀비 피시 자체에 심긴 스케줄러에 따라 활동하기 때문에 일일이 감염된 피시를 치료하지 않으면 공격을 막기 힘들다. 그만큼 이번 공격을 감행한 쪽이 치밀함을 알 수 있다.

다국적 보안업체인 시만텍은 다른 분석 결과를 내놓았다. 시만텍 코리아 윤광택 수석컨설턴트는 “이번 악성코드를 입수해 분석한 결과 주로 이메일 첨부파일을 통해 확산되는 ‘마이둠’ 웜의 변종으로, 명령 서버가 없는 게 아니라 오스트리아·덴마크 등에 위치한 아이피 주소에 접속해 업데이트를 시도하는 게 관찰됐다”고 밝혔다.

현재 수만대로 추정되는 국내 감염 피시 가운데 백신치료를 받지 않은 경우도 많다. 인터넷 서비스회사들은 ‘좀비 피시’가 접속할 경우 팝업창이나 안내전화를 통해 백신 치료를 권하고 있는데, 이를 무시하지 말아야 한다.

구본권 기자 [e-mail]