보안업체 `6.25 사이버테러` 분석… 기존 좀비PC에 악성스크립트 더해져
지난 25일 발생한 `6.25 사이버테러'에는 한층 진화된 지능형 분산서비스거부(DDoS) 공격이 사용된 것으로 보인다.
26일 안랩, 잉카인터넷 등의 보안업체들에 따르면 6.25 사이버테러는 기존 DDoS 방식과 3.4 DDoS나 7.7 DDoS에는 사용되지 않았던 다른 DDoS 방식이 혼재된 한 차원 진화된 공격 방식이 이용된 것으로 알려졌다.
이번 공격에 사용된 두가지 기법은 기존 DDoS 방식으로 좀비 PC를 이용해 정부통합전산센터를 공격한 것과 사용자가 특정 웹사이트에 접속하면 다른 사이트에 대한 공격을 유발하는 악성스크립트 방식이다.
기존 좀비 PC를 이용한 공격의 경우는 공격자가 25일 자정부터 특정 웹하드의 설치 파일과 업데이트 파일을 통해 개인사용자 PC를 악성코드로 감염시켰다. 감염으로 좀비PC가 된 PC들이 25일 오전 10시 전후에 정부통합전산센터를 공격하도록 명령제어(C&C)서버로 명령을 내린 것으로 보인다.
보안업계 관계자는 "오전에 해킹을 당한 청와대는 사이트 위ㆍ변조로 후에 DDoS 공격이 일어났고 국가정보원 등의 사이트는 오전에는 정부통합전산센터가 공격을 당해 마비가 일어났었지만 오후에는 일간베스트 등의 사이트를 통해 직접 악성스크립트 방식의 공격을 당했다"고 설명했다.
악성스크립트 방식은 악성 스크립트를 설치해놓은 웹사이트를 사용자들이 방문하기만 하면 미리 설정해둔 웹사이트로 공격 트래픽(전송량)을 발생시켜 사이트를 공격하는 방식이다. 현재 이 통로로 쓰인 것으로 확인된 사이트는 국내의 커뮤니티 사이트인 일간베스트다. 일간베스트에 접속을 하게 되면 청와대, 국정원, 새누리당 사이트를 공격하게 되는 것이다. PC를 감염시키지 않고 적을 이용해 적을 공격하는 한층 진화된 수법이라는 것이다.
문종현 잉카인터넷 대응팀장은 "악성스크립트 방식은 어나니머스도 북한의 웹사이트를 공격할 때 쓴 기법"이라며 "쉽게 풀이하면 적군의 홈페이지를 이용해 적군을 공격하는 지능적인 DDoS 방식으로 3.4나 7.7 DDoS 공격 당시에는 사용되지 않았던 기법"이라고 설명했다.
한편, 일반 PC를 좀비 PC로 만드는 악성코드는 심디스크와 송사리 등을 통해서 유포된 것으로 확인됐다. 이 악성코드는 6월24일 만들어진 것도 있지만 6월 중순부터 만들어 준비한 것이 대부분이다.
한 보안 관계자는 "청와대 사이트를 위ㆍ변조한 디페이스 공격 당시의 그림이나 문구도 이미 만들어놨다고 보는 것이 맞다"며 "북한이라고 공격 주체를 확신할 수는 없지만 공격 수법이 비슷한 점이 많아 만약 이번 공격도 북한의 소행이라고 하면 오랜 기간 준비하고 선수를 친 공격이기 때문에 향후 대책 마련이 시급하다"고 말했다.
유정현기자 juneyoo@
26일 안랩, 잉카인터넷 등의 보안업체들에 따르면 6.25 사이버테러는 기존 DDoS 방식과 3.4 DDoS나 7.7 DDoS에는 사용되지 않았던 다른 DDoS 방식이 혼재된 한 차원 진화된 공격 방식이 이용된 것으로 알려졌다.
이번 공격에 사용된 두가지 기법은 기존 DDoS 방식으로 좀비 PC를 이용해 정부통합전산센터를 공격한 것과 사용자가 특정 웹사이트에 접속하면 다른 사이트에 대한 공격을 유발하는 악성스크립트 방식이다.
기존 좀비 PC를 이용한 공격의 경우는 공격자가 25일 자정부터 특정 웹하드의 설치 파일과 업데이트 파일을 통해 개인사용자 PC를 악성코드로 감염시켰다. 감염으로 좀비PC가 된 PC들이 25일 오전 10시 전후에 정부통합전산센터를 공격하도록 명령제어(C&C)서버로 명령을 내린 것으로 보인다.
보안업계 관계자는 "오전에 해킹을 당한 청와대는 사이트 위ㆍ변조로 후에 DDoS 공격이 일어났고 국가정보원 등의 사이트는 오전에는 정부통합전산센터가 공격을 당해 마비가 일어났었지만 오후에는 일간베스트 등의 사이트를 통해 직접 악성스크립트 방식의 공격을 당했다"고 설명했다.
악성스크립트 방식은 악성 스크립트를 설치해놓은 웹사이트를 사용자들이 방문하기만 하면 미리 설정해둔 웹사이트로 공격 트래픽(전송량)을 발생시켜 사이트를 공격하는 방식이다. 현재 이 통로로 쓰인 것으로 확인된 사이트는 국내의 커뮤니티 사이트인 일간베스트다. 일간베스트에 접속을 하게 되면 청와대, 국정원, 새누리당 사이트를 공격하게 되는 것이다. PC를 감염시키지 않고 적을 이용해 적을 공격하는 한층 진화된 수법이라는 것이다.
문종현 잉카인터넷 대응팀장은 "악성스크립트 방식은 어나니머스도 북한의 웹사이트를 공격할 때 쓴 기법"이라며 "쉽게 풀이하면 적군의 홈페이지를 이용해 적군을 공격하는 지능적인 DDoS 방식으로 3.4나 7.7 DDoS 공격 당시에는 사용되지 않았던 기법"이라고 설명했다.
한편, 일반 PC를 좀비 PC로 만드는 악성코드는 심디스크와 송사리 등을 통해서 유포된 것으로 확인됐다. 이 악성코드는 6월24일 만들어진 것도 있지만 6월 중순부터 만들어 준비한 것이 대부분이다.
한 보안 관계자는 "청와대 사이트를 위ㆍ변조한 디페이스 공격 당시의 그림이나 문구도 이미 만들어놨다고 보는 것이 맞다"며 "북한이라고 공격 주체를 확신할 수는 없지만 공격 수법이 비슷한 점이 많아 만약 이번 공격도 북한의 소행이라고 하면 오랜 기간 준비하고 선수를 친 공격이기 때문에 향후 대책 마련이 시급하다"고 말했다.
유정현기자 juneyoo@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
