[보안뉴스 김경애] 지난 10월 25일 안랩은 다음, 네이트, 중앙일보, 한게임 등 국내 16개 웹사이트를 대상으로 24일 오후 16시 경부터 디도스 공격이 발생하고 있다며 긴급 발표한 바 있다.
이후 한국인터넷진흥원은 대규모 디도스 공격과 관련해 16개 웹사이트를 모니터링한 결과 디도스 공격 트래픽 및 특이사항이 발견되지 않았다고 밝혔고, 이에 본지에서 해당기업의 상황을 알기 위해 SK컴즈, 다음, 넥슨 등 대형 사이트를 대상으로 확인한 바에 따르면 특이사항이 없었다는 답변을 들은 바 있다.
이에 안랩이 디도스 유발 악성코드 논란과 관련해 한국인터넷진흥원과 입장이 서로 다르지 않다고 본지를 통해 해명하면서 논란이 일단락된 바 있다. 그러나 5일 공공기관(한국인터넷진흥원), 포털(네이버), 보안업체(안랩)가 악성코드 확산 방지를 위한 공동대응에 나선다고 밝혔고, 공동대응 목적이 지난 번 문제가 된 디도스 유발 악성코드인 것이 본지 확인결과 드러났다.
이에 본지는 지난 번 안랩이 발표한 16개 웹사이트 디도스 유발 악성코드와 관련이 있는지 여부와 어떻게 해서 한국인터넷진흥원, 네이버, 안랩이 공동대응하게 됐으며, 공동대응할 만큼 현 상황이 심각한지 등에 대해 각각의 입장을 들어봤다.
Q. 이번 공동대응이 안랩이 지난 번 긴급으로 발표한 16개 웹사이트의 디도스 공격 유발 악성코드와 관련이 있나?
KISA- 지난 번 발표된 내용과 직접적으로 연관돼 있지는 않다. 직접적인 디도스 공격과 연계된 건 아니다. 이를테면 선거철의 경우 선거관련 사이트의 웹사이트 변조 여부를 집중 점검하는 것처럼 전체 국내 230만개 웹사이트중 시기별로 중요 사이트를 선별해 집중 점검 및 모니터링 하는 차원으로 이해하면 된다.
네이버- 관련이 있다. 이번 16개 웹사이트 공격용 URL를 통해 새로운 악성코드를 PC로 내려 받을 수 있는 위험성이 있다. 특히, 안랩이 발표한 16개 웹사이트 안에 한게임과 네이버도 포함되어 있어 집중 모니터링한 결과 초기에는 4만여대의 좀비 PC가 감염된 것으로 확인됐다.
안랩- 지난 번 발표내용과 관련이 있다. 지난 10월 25일 보도된 것처럼 16개 기업중 특정기업이 피해를 입거나 다운된 곳은 없지만 해당 악성코드가 디도스 유발 가능성이 있어 좀비PC 확산을 막고, 기존 좀비PC 치료를 보다 원활히 진행하기 위해서라고 할 수 있다.
Q. 어떤 배경으로 KISA, 네이버, 안랩이 공동대응하게 됐나?
KISA- 안랩의 경우 백신 우회기능이 있어 전용백신을 만든 상황이고, 네이버는 포털사로 파급효과가 커서 좀비PC 위험성에 대해 알리기 위함이다. 안랩에서 발표한 16개 업체를 타깃으로 한 공격은 아니지만 16개 웹사이트에서 발견된 악성코드와 동일한 것으로 확인됐고, 디도스 공격 유발, 계정탈취, C&C서버로의 연결 등의 여러 보안위협 가능성이 있어 사전대응 차원에서 공동대응하게 된 것이다. 꼭 누가 먼저 제안했다기보다는 문제점에 대해 서로 얘기하다보니 공감하게 되어 진행하게 됐다.
네이버- 안랩이 아무래도 악성코드 샘플을 가장 많이 보유하고 있고, 정확하게 파악하고 있기 때문에 안랩 측에서 먼저 제안한 것으로 알고 있다.
안랩- 악성코드에 감염된 좀비 PC가 확산되고 있는 추세이다. 악성코드에 처음 감염되면 악성코드 8개가 연속으로 설치된다. 인터넷 익스플로러 취약점을 악용해 악성코드에 감염되기 때문에 계정정보 유출, 디도스 유발 기능 등이 있다. 이에 대해 포털사인 네이버, KISA 측이 모두 인지하게 됐고, 공동대응 필요성에 대해 서로 공감하게 되어 진행하게 됐다.
Q. 3사가 공동대응할 만큼 현 상황이 심각한 수준인가?
KISA- 10월 중순 이후 발견된 악성코드로 이미 MS사에서 보안패치까지 나온 상태라 심각한 상태는 아니다. 다만 지금도 계속 악성코드가 발견되고 있고, 하루에 악성코드에 감염된 PC가 약 4만여 대로 탐지되고 있다. 특히, 이번에 발견된 악성코드는 백신 우회기능이 있어 대외적으로 많이 알릴 필요가 있고, 치료가 필요한 만큼 현재 전용백신을 무료 배포하고 있다. 16개 웹사이트를 타깃으로 한 것이 아니기 때문에 해당 기업에 특별히 정보를 공유하거나 알리지는 않았지만 가급적 많은 PC의 보안패치가 필요한 상황이다.
네이버- 처음 발견될 당시 4만여 대였지만 지금은 백신 치료 등으로 줄고 있는 추세다. 또한, 16개 웹사이트에서도 새로운 악성코드 발견은 거의 없었다. 이는 악성코드에 감염된 좀비PC가 16개 웹사이트 방문시 JPEG파일을 다운로드 받도록 하는 또 다른 악성코드를 말한다. 현재 좀비PC IP가 발견될 경우 팝업창을 통해 알리고 있으며, 백신 치료를 유도하고 있다.
안랩- 25일 발표한 내용처럼 어떤 특정기업이 피해를 입었거나 다운된 곳은 없다. 그러나 디도스 유발 악성코드는 일반적인 디도스 공격과 다른 특징이 있다. 그림파일이 없는 파일(JPEG)을 무한 반복으로 다운로드하도록 함으로써 트래픽을 발생시킨다. 다량의 PC가 감염돼 트래픽을 유발시키면 피해가 커질 우려가 있어 사전 차단하자는 의미다. 그러나 당시에는 정밀분석이 안 된 상태였지만, 최근 한꺼번에 다양한 악성코드가 지속적으로 발견돼 좀비 PC 감염이 다시 확산될 가능성이 높아짐에 따라 선제대응과 치료를 당부하기 위해 진행된 것이다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김경애기자 기사보기
[2024-09-26] 
.jpg)
