6.25 사이버 공격 배후는 ‘다크서울’

시만텍 분석 결과 ‘지난 4년간 국내에서 발생한 주요 공격 주도’

[보안뉴스 김태형] 지난 6.25 사이버테러와 관련해 대한민국 정부 웹 사이트를 겨냥한 DDoS(분산서비스거부) 공격 가운데 하나가 ‘다크서울(DarkSeoul)’ 공격집단 및 ‘카스토브 트로이목마(Trojan.Castov)’와 관련이 있다는 분석이 나왔다.

시만텍(www.symantec.co.kr)은 27일 지난 6월 25일 발생한 사이버 공격과 관련해 이와 같은 추가적인 분석 결과를 공개했다.

시만텍에 따르면, 6.25 사이버 공격과 관련해 다수의 공격이 이뤄졌으며, 대한민국 정부 웹사이트를 겨냥한 DDoS(분산서비스거부) 공격 가운데 하나가 ‘다크서울(DarkSeoul)’ 공격집단 및 ‘카스토브 트로이목마(Trojan.Castov)’와 관련이 있다는 것.

특히, 시만텍은 ‘다크서울’이 6.25 사이버 공격을 포함해 지난 4년간 국내에서 발생한 주요 공격을 주도해 왔으며, 지난 3월 국내 주요 은행과 방송사의 컴퓨터 하드 드라이브를 삭제하며 엄청난 피해를 입힌 ‘조크라(Jokra)’ 3.20 공격과 5월에 발생한 국내 금융기관 대상의 사이버 공격도 ‘다크서울’과 관련 있다고 분석했다.

‘다크서울’의 사이버 공격을 살펴보면 역사적으로 중요한 날짜에 DDoS 공격을 감행하고 하드 디스크를 삭제하는 유사한 공격 방식을 취하고 있다. 이전에도 ‘다크서울’은 미국 독립기념일에 DDoS 공격과 데이터 삭제 공격을 감행하기도 했다.

시만텍이 분석한 ‘다크서울’이 주도한 사이버 공격들의 특징은 다음과 같다.

△ 국내 주요 기관 및 시설을 겨냥한 조직적인 다단계 공격

△ 하드 디스크 데이터 삭제, 역사적으로 중요한 날짜에 실행되도록 설정된 DDoS 공격과 같은 파괴적인 페이로드

△ 정치적 성향의 문구로 디스크 섹터 덮어쓰기

△ 조직내 네트워크를 통한 확산을 위해 합법적인 제3자의 소프트웨어 업데이트 매커니즘 이용

△ 특정 암호화 및 난독화 방식 이용

△ 유사한 명령제어(Command & Control) 구조 이용

‘다크서울’이 실행한 공격들은 고도의 인텔리전스와 조직적인 협력을 필요로 하며, 일부 공격들은 기술적 정교함을 보여주고 있다. 현재 ‘다크서울’의 배후 집단을 특정하기는 어렵지만 일부에서는 그 배후에 북한이 있다고 지목하고 있는 상황이다.

시만텍은 ‘다크서울’이 북한을 위해 공격하느냐에 상관없이 정치적 동기에 기인하고 있고 남한 주요 기관들에 대한 사이버사보타주(Cybersabotage) 행위를 지속하기 위해 필요한 금융 지원을 받고 있는 것으로 의심되는 만큼 앞으로도 ‘다크서울’의 공격이 지속될 수 있다고 경고했다.

이와 관련 시만텍코리아 윤광택 이사는 “국가 규모의 사이버사보타주 공격은 매우 드물며, 기존에 알려진 국가 규모의 사이버사보타지 공격으로는 ‘스턱스넷’ 및 ‘샤문(Shamoon)’ 공격을 들 수 있다”며, “하지만 ‘다크서울’은 수년간 주요 기관 및 시설에 피해를 입힐 만큼 독보적인 공격 능력을 갖추고 있다는 점에서 지속적인 주의와 대응태세가 요구된다”고 강조했다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)