민·관·군 분야별 사이버위협 현황과 대비태세 점검
정부사칭 메일, 해킹, 통신망 마비 없는 안전한 사이버공간 위한 협력
백승주 의원 사칭 공격 악성코드와 2016년 北 추정 공격코드와 유사
[보안뉴스 김경애 기자] 청와대 사칭부터 백승주 의원 사칭 공격 등 북한 추정 사이버공격이 지속적으로 포착되고 있는 가운데 정부가 19일 오후 정의용 국가안보실장(의장) 주관으로 ‘국가사이버안보정책조정회의’를 개최해 그 배경에 관심이 모아지고 있다. 일각에서는 회의 시점이 잇따른 사이버공격 발생 이후라는 점에서 주목하고 있다.
국가사이버안보정책조정회의는 국가 사이버안보 관련 주요 정책방향 등 사이버안보 정책 전반에 관한 사항을 심의·조정하는 회의로, 기획재정부·교육부·국정원 등 13개 기관 차관(급)들이 참가했다.
이날 회의에서는 역대 정부 최초로 수립한 ‘국가사이버안보전략’과 이에 따른 정부의 구체적인 사이버정책 추진방안이 논의됐으며, 민·관·군 분야별 사이버위협 현황과 대비태세를 점검한 것으로 알려졌다.
특히, 정부 사칭 악성메일, 해킹, 통신망 마비 등의 사고가 잇달아 발생하는 가운데 국민들이 불안해하지 않고 안전하게 사이버공간을 영위할 수 있도록 관계기관이 수시로 정보를 공유하고 협력해 나가기로 했다.
이는 최근 청와대 사칭 악성메일을 비롯해서 외교통일위원회 및 국정감사 자료 사칭 메일, 그리고 국방위원회 간사인 자유한국당 백승주 의원을 사칭하는 악성메일까지 유포되는 등 정부 및 기관을 노린 연이은 사이버공격 시도에 따른 범정부 차원의 대응의 일환으로도 분석된다.
더군다나 같은 날 오후 비슷한 시점에 자유한국당 백승주 의원실에서는 백승주 의원실 공용 상용메일 해킹 사건과 관련해 필요한 조치를 취했다고 밝힌 국회사무처에 대해 비판의 목소리를 높아기도 했다.
백승주 의원실에서 해킹 사실을 인지한 시점은 11월 8일이다. 백승주 의원실은 사건 발생 인지 이후 당시 관계기관들의 보고를 받은 결과, 의원실 공용 상용메일 해킹은 9월말 감행된 것으로 밝혀졌다. 그 이후, 로그인 상태로 잠복해 있다가 10월 8일 국방위원회 행정실에서 의원실 상용메일로 국회 국방위원장실, 합동참모본부, 한미연합사, 한국국방연구원, 국방컨벤션, 자유한국당 관계자들에게 발송됐다. 메일은 박한기 합참의장 후보자 인사청문경과보고서 초안을 전달(Forward) 형식으로 발송됐으며, 해당 메일에는 4가지 종류의 악성코드가 포함된 것으로 드러났다. 해킹에 사용된 IP 주소의 국가는 러시아이며, 국내 VPN(가상사설망)을 경유했다고 밝혔다.
특히, 백승주 의원실은 PC 조사 등 이번 사건을 처리하는 과정에서 국회사무처의 대응이 미흡했다고 지적했다. 이에 국회사무처 정보화담당관실 관계자는 본지에 14일 공식 표명한 입장과 동일하다는 답변을 전했다.
한편, 이번 사건과 관련해 본지가 입수한 정보에 따르면 백승주 의원을 사칭한 사이버공격에 사용된 악성코드와 2016년 탈북자 및 탈북단체 등을 노린 북한 추정 사이버공격에 사용된 악성코드가 거의 일치하는 것으로 분석됐다. 본지가 입수한 2016년 공격 코드를 살펴보면 아래 오른쪽 이미지 속 네모 박스 안의 약어와 왼쪽 사진의 백승주 의원 사칭 메일 속에 있었던 악성코드를 분석해보면 단어가 대부분 동일하다.
이와 관련 익명을 요청한 한 보안전문가는 “이를테면 ‘vbox’ 표기는 VirtualBox를 줄인 것이며, llyd는 OllyDBG 줄인 약어로, 분석 프로그램 언어나 가상환경에서 악성코드가 동작하지 않도록 악성코드 제작자가 만든 것으로 보이는데, 이는 분석환경이나 분석 프로그램 이용시에도 쉽게 노출되지 않도록 하기 위해서다. 주로 탈북단체나 탈북자를 노린 북한 해커그룹이 사용하는 공격 코드 유형으로 이번 해킹 사건에서 발견된 악성코드와 거의 일치한다”고 밝혔다.
그러나 앞서 발생한 청와대 사칭 해커 조직과는 악성코드 계열이 다르다고 해당 전문가는 밝혔다. 그는 “청와대 사칭 공격 조직은 과거 한수원을 해킹한 조직이라면, 이번 백승주 의원을 사칭한 조직은 주로 탈북자나 북한 관련 전문가 및 단체를 타깃으로 하는 조직이라 서로 다른 해커그룹으로 분류된다”며 “주로 탈북자 중심 공격조직이 이번에 왜 갑자기 공격에 뛰어들었는지 주목해야 한다. 북한 사이버공격 조직이 개편된 것인지, 한수원 해커조직과의 연합작전인지 등 이들의 전략적인 움직임을 면밀히 살펴봐야 한다”고 설명했다.
또 다른 보안전문가 역시 탈북자 공격 그룹 소행으로 분석하며 공격시점에 주목했다. 국내에서 활동하는 북한 추정 해커조직 3곳이 모두 9월 중순에서 9월 말경 활발히 활동했다는 것이다. 이어 그는 “3개 조직이 모두 같은 목표로 연합할 수도 있다”며 “백승주 의원실 해킹시점인 9월 말경에는 탈북자 등을 노린 조직과 한수원 해커조직, 가상화폐를 노린 조직이 모두 활동한 정황이 포착됐으며, 각 그룹이 사용한 악성코드 계열 역시 고르게 악용됐다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
정부사칭 메일, 해킹, 통신망 마비 없는 안전한 사이버공간 위한 협력
백승주 의원 사칭 공격 악성코드와 2016년 北 추정 공격코드와 유사
[보안뉴스 김경애 기자] 청와대 사칭부터 백승주 의원 사칭 공격 등 북한 추정 사이버공격이 지속적으로 포착되고 있는 가운데 정부가 19일 오후 정의용 국가안보실장(의장) 주관으로 ‘국가사이버안보정책조정회의’를 개최해 그 배경에 관심이 모아지고 있다. 일각에서는 회의 시점이 잇따른 사이버공격 발생 이후라는 점에서 주목하고 있다.
▲19일 오후 정의용 국가안보실장(의장) 주관으로 개최된 국가사이버안보정책조정회의[사진=청와대 홈페이지]
국가사이버안보정책조정회의는 국가 사이버안보 관련 주요 정책방향 등 사이버안보 정책 전반에 관한 사항을 심의·조정하는 회의로, 기획재정부·교육부·국정원 등 13개 기관 차관(급)들이 참가했다.
이날 회의에서는 역대 정부 최초로 수립한 ‘국가사이버안보전략’과 이에 따른 정부의 구체적인 사이버정책 추진방안이 논의됐으며, 민·관·군 분야별 사이버위협 현황과 대비태세를 점검한 것으로 알려졌다.
특히, 정부 사칭 악성메일, 해킹, 통신망 마비 등의 사고가 잇달아 발생하는 가운데 국민들이 불안해하지 않고 안전하게 사이버공간을 영위할 수 있도록 관계기관이 수시로 정보를 공유하고 협력해 나가기로 했다.
이는 최근 청와대 사칭 악성메일을 비롯해서 외교통일위원회 및 국정감사 자료 사칭 메일, 그리고 국방위원회 간사인 자유한국당 백승주 의원을 사칭하는 악성메일까지 유포되는 등 정부 및 기관을 노린 연이은 사이버공격 시도에 따른 범정부 차원의 대응의 일환으로도 분석된다.
더군다나 같은 날 오후 비슷한 시점에 자유한국당 백승주 의원실에서는 백승주 의원실 공용 상용메일 해킹 사건과 관련해 필요한 조치를 취했다고 밝힌 국회사무처에 대해 비판의 목소리를 높아기도 했다.
백승주 의원실에서 해킹 사실을 인지한 시점은 11월 8일이다. 백승주 의원실은 사건 발생 인지 이후 당시 관계기관들의 보고를 받은 결과, 의원실 공용 상용메일 해킹은 9월말 감행된 것으로 밝혀졌다. 그 이후, 로그인 상태로 잠복해 있다가 10월 8일 국방위원회 행정실에서 의원실 상용메일로 국회 국방위원장실, 합동참모본부, 한미연합사, 한국국방연구원, 국방컨벤션, 자유한국당 관계자들에게 발송됐다. 메일은 박한기 합참의장 후보자 인사청문경과보고서 초안을 전달(Forward) 형식으로 발송됐으며, 해당 메일에는 4가지 종류의 악성코드가 포함된 것으로 드러났다. 해킹에 사용된 IP 주소의 국가는 러시아이며, 국내 VPN(가상사설망)을 경유했다고 밝혔다.
▲국회사무처의 14일 공식 입장 표명[이미지=국회사무처 홈페이지]
특히, 백승주 의원실은 PC 조사 등 이번 사건을 처리하는 과정에서 국회사무처의 대응이 미흡했다고 지적했다. 이에 국회사무처 정보화담당관실 관계자는 본지에 14일 공식 표명한 입장과 동일하다는 답변을 전했다.
한편, 이번 사건과 관련해 본지가 입수한 정보에 따르면 백승주 의원을 사칭한 사이버공격에 사용된 악성코드와 2016년 탈북자 및 탈북단체 등을 노린 북한 추정 사이버공격에 사용된 악성코드가 거의 일치하는 것으로 분석됐다. 본지가 입수한 2016년 공격 코드를 살펴보면 아래 오른쪽 이미지 속 네모 박스 안의 약어와 왼쪽 사진의 백승주 의원 사칭 메일 속에 있었던 악성코드를 분석해보면 단어가 대부분 동일하다.
▲백승주 의원 사칭에 사용된 악성코드(왼쪽)와 2016년 탈북자 등을 타깃으로 한 북한 추정 사이버공격에 사용된 악성코드 분석화면(오른쪽)[이미지=보안뉴스]
이와 관련 익명을 요청한 한 보안전문가는 “이를테면 ‘vbox’ 표기는 VirtualBox를 줄인 것이며, llyd는 OllyDBG 줄인 약어로, 분석 프로그램 언어나 가상환경에서 악성코드가 동작하지 않도록 악성코드 제작자가 만든 것으로 보이는데, 이는 분석환경이나 분석 프로그램 이용시에도 쉽게 노출되지 않도록 하기 위해서다. 주로 탈북단체나 탈북자를 노린 북한 해커그룹이 사용하는 공격 코드 유형으로 이번 해킹 사건에서 발견된 악성코드와 거의 일치한다”고 밝혔다.
그러나 앞서 발생한 청와대 사칭 해커 조직과는 악성코드 계열이 다르다고 해당 전문가는 밝혔다. 그는 “청와대 사칭 공격 조직은 과거 한수원을 해킹한 조직이라면, 이번 백승주 의원을 사칭한 조직은 주로 탈북자나 북한 관련 전문가 및 단체를 타깃으로 하는 조직이라 서로 다른 해커그룹으로 분류된다”며 “주로 탈북자 중심 공격조직이 이번에 왜 갑자기 공격에 뛰어들었는지 주목해야 한다. 북한 사이버공격 조직이 개편된 것인지, 한수원 해커조직과의 연합작전인지 등 이들의 전략적인 움직임을 면밀히 살펴봐야 한다”고 설명했다.
또 다른 보안전문가 역시 탈북자 공격 그룹 소행으로 분석하며 공격시점에 주목했다. 국내에서 활동하는 북한 추정 해커조직 3곳이 모두 9월 중순에서 9월 말경 활발히 활동했다는 것이다. 이어 그는 “3개 조직이 모두 같은 목표로 연합할 수도 있다”며 “백승주 의원실 해킹시점인 9월 말경에는 탈북자 등을 노린 조직과 한수원 해커조직, 가상화폐를 노린 조직이 모두 활동한 정황이 포착됐으며, 각 그룹이 사용한 악성코드 계열 역시 고르게 악용됐다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-18] 
.jpg)
