북한의 사이버테러 가능성...실제 피해규모는 아직 확인 안돼/
소니픽처스 해킹사태에 관심 돌리기 위한 목적 아닌지 의심
[보안뉴스 권 준] 최근 원자력발전소 등 제어·발전시설의 안전담당자를 타깃으로 한글 취약점을 악용한 표적 공격 사례가 발견돼 대규모 사이버테러 위험성이 고조되고 있다.
▲ MBR 파괴된 PC에서 재부팅 후 나타나는 ‘Who Am I?’ 과연 그들의 정체는?
[출처: 안랩 ASEC 블로그]
하우리, 이스트소프트 등 보안전문업체에 따르면 최근 원자력 발전 및 국방 분야 전문가들을 대상으로 보안취약점이 있는 한글문서를 첨부한 이메일이 다수 전송된 것으로 밝혀졌다.
더욱이 해당 한글문서를 통해 감염될 수 있는 악성코드에 하드파괴 기능이 내장된 것으로 알려져 충격을 주고 있다.
하우리 측에 따르면 ‘증기발생기 자동 감압 내용 참조하세요’라는 내용으로 원자력발전소 안전담당자들에게 발송된 이메일에 첨부된 한글파일 ‘제어program(최신-W2).hwp’을 다운로드 할 경우 하드파괴 기능이 있는 악성코드에 감염될 수 있다고 경고했다.
안랩과 이스트소프트에서도 이번 공격을 포착해 긴급대응태세에 들어간 것으로 알려졌다. 안랩 측은 시큐리티 대응센터인 ASEC 블로그를 통해 “최근 접수된 취약점 한글 문서파일에서 기존에 존재했던 백도어 기능 외에 주요 확장자 파일들에 대한 파괴 및 MBR 파괴기능을 갖는 파일이 접수되어 주의가 필요하다”고 밝혔다.
특히, MBR 파괴 동작 여부를 결정하는 number 항목의 값은 사용자 시스템의 시간정보를 통해 2014년 12월 10일 오전 11시 이후가 되면, ‘0’이 아닌 값으로 설정되며, MBR 파괴기능이 동작하도록 되어 있는 것으로 드러났다. 이미 설정시간이 지난 상태라 악성코드에 감염된 일부 PC들은 피해를 입었을 것으로 추정된다. 무엇보다 특이한 점은 MBR 감염 후, 재부팅 시 사용자에게 보여지는 화면이 검은 화면에 “Who Am I?”가 표시되는 것으로 알려졌다.
안랩 ASEC 블로그 측은 “이번 악성코드 감염을 막기 위해서는 한글 프로그램 및 백신 프로그램을 항상 최신 업데이트 상태로 유지하는 것이 필요하다”며, “취약점 한글문서 파일은 모두 특정인에게 이메일의 첨부파일 형태로 유포된 것으로 알려져 불명확한 발신인 혹은 확인되지 않은 첨부파일의 경우, 실행 전에 보안에 문제가 없는 지 확인하는 과정이 필요하다”고 강조했다.
그럼 이렇듯 특정대상을 타깃으로 사이버테러를 감행하고 “Who Am I?”라는 문구를 남긴 이들의 정체는 누구일까?
MBR 파괴된 PC에서 재부팅 후 나타나는 ‘Who Am I?’ 그들의 정체는?
이번 사이버공격과 관련해 일부 보안전문가들은 소니픽처스 해킹 주범으로 추정되는 북한 해커조직의 소행일 가능성이 높다는 의견을 제기하고 있다.
하드파괴 기능을 갖춘 악성코드의 경우 지난해 3.20 및 6.25 사이버테러와 최근 소니픽처스 해킹 때 등장했던 악성코드이기 때문이다. 이로 인해 북한으로 추정되는 대형 해커조직이 한국의 발전시설 등을 대상으로 대규모 사이버테러를 계획하고 있는 것 아니냐는 우려가 커지고 있다.
더욱이 북한으로서는 영화 ‘더 인터뷰’ 개봉을 막기 위해 소니픽처스 공격에 사력을 다하고 있는 상황에서 우리나라에서의 소니픽처스 해킹사태에 대한 관심을 돌리고자 하는 의도가 있다는 의견도 있다. 이를테면 ‘소니픽처스에 신경 쓰지 말고 너희나 걱정하라’는 일종의 경고일 수 있다는 얘기다.
현재 발전소 등 관련기관에 안전권고가 내려진 것으로 알려진 가운데 이번 공격의 파장이 어디까지 이어질지, 그리고 발전소를 비롯한 관련기관 내부 PC의 하드파괴 등 실제 사이버테러 피해정도는 어느 정도일지 주목되고 있다. 본지는 상세한 분석내용과 피해규모에 대한 후속보도를 진행할 예정이다.
[권 준 기자(editor@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
권준기자 기사보기
[2025-04-07] 
