01 검찰 수사결과로 살펴본 농협 전산사태 관리부 2011-05-11 오전 8:58:09 2028 작년 9월부터 사전 준비 北이 저지른 사이버테러 　검찰은 3일 농협 전산망 장애가 북한의 소행이라는 수사결과를 발표했다. 농협의 전산망 장애가 북한에 의해 치밀하게 준비된 새로운 형태의 사이버 테러라는 것이다. 검찰이 발표한 수사결과를 통해 농협의 전산망 장애 전모를 들여다본다. 　◆어떻게 발생됐나=농협 전산망을 유지·보수하는 업체 직원의 노트북이 악성코드에 감염된 것이 발단이 됐다. 범인들은 지난해 9월경 S웹하드 사이트를 통해 사이트 업데이트프로그램으로 위장된 악성코드를 유포했는데, 해당 노트북이 지난해 9월4일경 감염됐다는 게 검찰의 분석이다. 노트북에서 삭제된 프로그램을 복구한 결과, 이번 사건에 사용된 악성코드가 발견된 것만 해도 81개에 달했다. 　범인들은 해당 노트북이 은행시스템 관리자가 사용하는 것으로 판단해 7개월 이상 집중적으로 관리했다. 또 사용자에게 발각되지 않은 채 해당 노트북에 악성코드를 삽입하고 해킹프로그램을 설치해 노트북에 있는 각종 자료를 빼냈다. 심지어 도청프로그램까지 사용해 노트북 사용자의 일거수일투족을 치밀하게 감시함으로써 공격대상 IP와 최고관리자 비밀번호 등을 획득했다. 　공격명령은 인터넷을 통해 원격으로 이뤄졌다. 4월12일 08시20분 공격명령 파일을 노트북에 설치한 후 16시50분 인터넷을 이용한 원격제어로 공격명령을 실행했고, 이후 순차적으로 2차·3차 공격을 이행함으로써 농협의 587대 서버 중 273대 서버에 피해를 입혔다. 공격 성공여부를 원격에서 실시간 지켜보다가 파괴된 서버의 수를 확인하고, 17시20분경 노트북에 있는 공격프로그램 등 각종 증거를 삭제해 추적을 곤란하게 할 정도로 치밀했다. 　◆왜 북한소행으로 보나=북한의 소행이었던 디도스사건과 유사하기 때문이다. 디도스사건은 2009년 7월7~9일과 올 3월3~5일에 발생했던 악성코드로 인한 전산장애 사건으로, 흔히 발생일 지칭해 7·7디도스사건, 3·4디도스사건으로 불린다. 디도스는 여러대의 컴퓨터를 일제히 동작하게 해 특정 사이트를 공격하는 해킹 방식의 하나다. 　농협 전산망 장애 사태에도 7·7디도스, 3·4디도스와 매우 유사한 독특한 프로그래밍 기법이 사용됐다는 것이 검찰의 판단이다. 악성코드들이 발각되지 않도록 암호화한 방식이 3·4디도스와 거의 일치한다. 삭제프로그램에서 호출하도록 돼 있는 30여개 파일의 확장 종류뿐만 아니라 그 순서마저 3·4디도스와 완전히 동일하고, 7·7디도스와도 상당히 유사하다. 　악성코드의 유포경로와 유포방식, 좀비에 설치하는 방식도 디도스때와 동일하다. 디도스공격과 같이 악성코드를 사이트 업데이트프로그램인 것처럼 위장해 배포했고, 일부 악성코드는 이름이 3·4디도스때와 같다. 노트북에서 발견된 공격명령서버 IP 1개도 3·4디도스사건에 이용된 것과 동일한 것이다. 　이에 따라 이번 사건에 이용된 노트북은 지난해 9월부터 북한이 특별관리해 온 좀비PC라는 것이 검찰의 결론이다. 　검찰은 “노트북 복구 분석결과 발견된 자료 및 관계기관과의 합동 조사결과 등에 의하면, 북한은 노트북에 장착된 무선랜카드의 맥어드레스를 좀비 ID로 확보하고 이 사건 노트북을 특별관리해 온 것으로 확인됐다”고 밝혔다. 　남우균 기자 wknam@nongmin.com  ㅡ출처 : 농민신문                          2011/05/09 파일