3일 안랩 '국내 방위산업체 공격 동향 보고서'에 따르면 지난 2010년부터 본격화된 해커들의 국내외 방위산업체에 대한 공격은 현재까지 꾸준히 지속되고 있다.
국내 방산업체에 대한 공격은 여러 그룹에 의해 이뤄졌다. 방위산업은 국가 안보와 밀접히 연관돼 경쟁국이나 적대 국가에서 업체의 정보를 노릴 가능성도 있다. 안랩 측은 "최근 국내 방위산업체에 대한 공격도 지속적으로 확인되고 있으며 일부 공격 그룹은 방위산업체뿐 아니라 국내 정치, 외교 분야에 대해서도 공격을 가하고 있다"고 밝혔다. 공격자들이 특정 국가의 지원을 받고 있는지는 확인되지 않았다.
특히 국내 업체 공격의 경우 중앙관리시스템 등의 국내 유명 프로그램의 취약점을 이용해 악성코드를 유포하기도 했다. 2010년 이후 국내에서는 4개 이상의 공격 그룹이 활동한 것으로 확인된다는 것이 안랩의 분석이다.
국내 방위산업체를 공격 대상으로 한 레드닷 그룹, 고스트 라이플 그룹, 어나니머스 팬텀 그룹에서 사용한 코드와 암호화 방식의 유사성으로 미뤄볼 때 이들 그룹이 동일 그룹 혹은 협력 그룹일 가능성이 있다. 국내 공격에 사용된 악성코드를 추적해보면 다른 악성코드도 연관돼 발견되고 있다. 또, 일부 그룹에서 사용된 악성코드와 공격에 사용된 프로그램에서 한글이 사용돼 공격자 중에는 한국어 사용자도 존재할 것으로 추정된다.
공격 사례 분석 결과 공격자는 주로 '스피어피싱(Spear Phishing) 이메일'과 '워터링 홀(Watering-hole)' 방식을 통해 악성코드를 유포했다. 스피어피싱은 공격자가 이메일 수신자의 정보를 파악해 첨부 파일을 열어보거나 본문 내용에 포함된 링크를 클릭하도록 유도해 악성코드로 감염시킨다. 메일의 내용은 주로 업무나 사회적으로 관심을 끄는 내용이다.
워터링 홀은 공격자가 특정 웹사이트를 해킹해 취약점 공격 코드를 숨겨두고 사용자가 취약한 웹 브라우저로 접속할 경우 악성코드를 감염시키는 공격 방식이다.
한편 국내 방위산업체를 공격한 그룹에서 제작한 악성코드 종류별 수는 다음과 같다. 아이스포그-NG(Icefog-NG)는 13개, 이스캐드(Escad) A형 66개, 이스캐드 B형 12개, 이스캐드 C형 17개, 리프도어(Rifdoor) 15개, 팬도어(Phandoor) 37개다. 이스캐드 변형에 대한 상세 구분은 국내 공격 사례 '오퍼레이션 레드닷(Operation Red Dot) 분석'에서 확인할 수 있다.이경탁기자 kt87@dt.co.kr
