[3·20 전산망 사이버테러] “북한의 사이버테러 가능성 높다”

NSHC Red Alert팀, 사고대응 보고서 통해 북한 소행 추정

[보안뉴스 권 준] 3월 20일 오후 2시 국내 금융권 및 방송사를 대상으로 동시다발적으로 발생한 전산장애와 관련해 북한의 사이버테러 가능성이 높다는 3·20 사이버테러 사고대응 보고서가 발표됐다.

이번 사이버테러에 피해를 입은 시스템에 표출된 화면 [자료 : Red Alert팀]

이번 보고서를 발표한 NSHC(대표 허영일)의 Red Alert팀은 최근 금융·공공기관을 대상으로 하는 신규 악성코드를 연구한 결과, 이번 사태의 원인으로 대한민국의 주요기반시설 전산망을 상대로 한 북한의 사이버테러일 가능성이 높다고 언급했다.

현재까지 집계된 피해 시스템은 금융기관의 경우 농협, 신한은행, 제주은행과 농협생명보험 전산망이며, 언론사의 경우 KBS와 MBC, 그리고 YTN 전산망이다.

이번 사이버테러의 공격방식과 관련해 Red Alert팀은 “최근 발생한 신규 취약점을 이용해 다수의 사용자 PC를 대상으로 악성코드를 설치하는 APT 공격기법으로 보인다. APT 공격을 위해 특정시기를 정해놓고 오랜 기간에 걸쳐 공격을 위한 다수의 시스템을 확보했을 것으로 추정된다”며, “해커가 악성코드를 설치한 피해 시스템에 원격 명령 또는 디도스 공격을 통한 2차 피해가 우려된다”고 설명했다.

변조된 MBR 영역의 데이터

MBR 영역에 복제된 스트링 및 Phisical 드라이브 Shutdown

피해 시스템의 경우 마스터 부트 레코드(MBR)의 일부 영역을 오버라이트(Overwrite)해 시스템이 정상적으로 부팅되지 않는 것으로 알려졌다. Red Alert팀이 분석한 악성코드 정보는 다음과 같다.

이번 사태의 대응방안과 관련해 Red Alert팀은 “해당 공격은 윈도우 PC를 대상으로 하는 APT 공격으로 추정되므로 피해가 발생할 수 있는 관련기관은 내부로부터 외부 IP에 대한 접근을 차단해 신규 취약점 공격으로 인해 내부 PC에 추가로 악성코드가 감염되는 것을 차단해야 한다”고 강조했다.

이와 함께 우측 목록에 기재된 파일에 대한 접근제어 시스템 및 IPS 정책을 적용해 추가 피해 발생을 차단해야 한다고 밝혔다.

한편, 이번 분석보고서 전문은 Red Alert팀의 페이스북(http://www.facebook.com/nshc.redalert?ref=hl)을 통해 살펴볼 수 있다.

[권 준 기자(editor@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)