[7·7대란]일단 소강?…공격자는 미궁 속으로

국내 주요사이트들을 대상으로 시작된 분산서비스거부(DDoS) 공격에 사용된 악성코드를 유포한 숙주사이트가 10일 공식 확인됨에 따라 이번 DDoS 사이버테러를 주도한 공격세력을 찾는 일이 미궁에 빠질 가능성이 더욱 높아졌다.

방송통신위원회는 이날 DDoS 관련 악성코드를 유포하는 것으로 의심되는 5개 사이트를 차단했다고 공식 발표했다. 문제는 이 5개 숙주사이트(악성코드를 유포하는 사이트)가 한국뿐 아니라 독일, 오스트리아, 미국, 그루지아 등 세계 각지로 흩어져있다는 점이다.

악성코드에 감염된 '좀비PC'를 중간에서 제어하는 중간 제어서버가 없는 이번 공격 특성을 볼 때 악성코드 유포지가 여러 곳에 위치해 있다는 것은 곧 DDoS 공격자를 찾는 작업이 그만큼 수렁에 빠질 수 있음을 시사하는 것이라고 전문가들은 지적하고 있다. 특히 악성코드 유포 서버가 외국에 존재함으로써 국내 경찰의 수사가 한계에 직면할 수도 있다.

국내의 한 보안전문가는 "아마 악성코드 유포 서버도 해킹을 당했을 것"이라고 추정하면서 "공격 서버를 찾기가 쉽지 않을 것으로 전망된다"고 밝혔다.

방통위 발표 전에도 국내외 보안업체들은 이미 9일 악성코드 유포서버가 해외IP라는 사실을 찾아내 이같은 사실을 알리면서 대처방안을 모색해왔다.

국내 보안업체인 쉬프트웍스는 1, 2차 공격에 사용된 악성코드의 소스를 분석하고 14시간 동안 추적해 이 악성코드의 근원지가 미국 인터넷주소(IP)라는 것을 규명해냈다. 쉬프트웍스에 따르면 이들이 분석한 악성코드에는 '독립기념일 기억(Memory Of Independence Day)'이라는 문구가 담겨 있었으며 이 때문에 일각에서는 7월4일 미국 독립기념일을 전후해 미국에서 시작된 공격이 아니냐는 분석이 유력하게 제기됐다. 9일 오전부터 악성코드에 감염된 '좀비PC'가 대량 발송한 것으로 추정되는 스팸메일에도 'Memory Of Independence Day'라는 내용이 포함돼 있어 이같은 분석이 힘을 얻기도 했다.

이후 9일 저녁에는 이번 공격에 사용된 또 다른 악성코드의 근원지가 유럽이라는 주장도 제기됐다. 보안업체인 시만텍이 악성코드의 흐름을 분석, 추적한 결과 악성코드가 유럽의 오스트리아와 덴마크의 IP라는 점을 찾아낸 것이다.

이처럼 악성코드 근원지가 해외 여러 사이트로 나타나면서 DDoS 공격 초반에 국정원이 제기했던 북한 혹은 종북세력 개입설도 국정원의 주장 외 현재 더 이상 진척이 없는 상황이다.

또한 해외 보안전문가들이 이번 공격이 초보적 수준의 공격인데다 국가적 차원의 공격으로 볼 수 있는 징후가 없다는 주장을 제기하면서 배후세력이 북한이라는 주장에 대한 설득력이 떨어지고 있다는 것이다.

하지만 한편에서는 악성코드 유포 IP가 북한이외의 나라에서 발견된다 해도 이것이 북한이 개입하지 않았다는 증거는 아니라는 주장도 제기되고 있다. 방통위 황철증 네트워크정책국 국장은 10일 오전 MBC 라디오를 통해 "북한은 인터넷 주소(IP)가 할당되지 않는다"며 "미국IP 등이 발견됐다고 해도 북한의 소행이다, 아니다라고 말할 수 없다"고 밝혔다.

한편 지난 10일 새벽 0시부터 이들 숙주사이트를 통해 유포된 악성코드가 PC의 하드디스크를 포맷시키는 등 피해를 입히며 4차 공격 양상을 띠고 있어 주말 DDoS 공격이 새로운 국면에 접어들 것이라는 전망도 나오고 있다. 이미 10일 오전 방통위 집계 결과 33건의 PC 하드디스크 손상 사례가 접수됐으며 이 숫자는 오후 12시 약 100건으로 늘어났다.

방통위는 10일 오후 2시 브리핑을 통해 DDoS 공격이 소강국면에 접어들었다고 밝혔으나 DDoS 공격이 끝났다는 확신을 할 수 없다는 입장을 밝혔다.

이에 따라 상대적으로 보안이 취약한 가정의 PC가 활발하게 활동할 것으로 예상되는 주말이 DDoS 공격의 고비가 될 수 있다는 분석도 제기되고 있다. 또한 기업들이 주중에 비해 상대적으로 DDoS 공격에 대한 대응이 느릴 수 있어 주말에 더욱 철저한 대비가 필요하다는 것이 전문가들의 공통된 지적이다.

함정선 기자 mint@asiae.co.kr