“유일 적대국에 수법도 국가 단위”
프로그램 변형ㆍ피싱ㆍLAN 감염 등
‘특정 국가 표적 공격’ 성격 강해
5월 랜섬웨어 ‘워너크라이’에 이어 27일 전세계를 강타한 이른바 ‘페티야’ 랜섬웨어가 최대 피해국 우크라이나를 집중 표적으로 노리고 배포된 것으로 드러났다. 우크라이나에서는 내전에 개입하고 있는 러시아 정부가 국가 지원 해커를 동원해 공격에 나선 것이라는 주장이 제기됐다.
28일(현지시간) 영국 일간지 파이낸셜타임스(FT)에 따르면 이번 랜섬웨어 대량 확산 사태 피해 사례의 4분의3 이상이 우크라이나에 집중됐다. 우크라이나 기업 다수와 거래하고 있는 백신기업 비트디펜더의 보그단 보테자투 수석보안전문가는 우크라이나에서 널리 쓰이는 회계 프로그램 ‘메독(MeDoc)’의 자동 업데이트 프로그램 취약점을 이용해 해당 랜섬웨어가 널리 배포됐고 자연스레 피해가 컸다고 설명했다. 우크라이나 지방정부 웹사이트를 흉내 낸 가짜 웹사이트를 통해 이용자가 직접 프로그램을 내려 받도록 하는 ‘피싱’ 사례도 보고됐다.
이는 돈을 노린 범죄 해커 집단이 아닌 국가 단위 사이버전을 실행하는 해커 집단의 수법이기 때문에 자연스레 러시아가 가장 유력한 배후로 떠오르고 있다. 올렉산드르 투르치노프 우크라이나 국가안보국방위원회(RNBO) 위원장은 27일 “러시아의 발자국이 남아있다”고 주장했고 드미트로 심키프 대통령비서국 부국장은 FT와의 인터뷰에서 “이번 범죄는 우크라이나에 적대적인 국가가 저지른 것이 분명한데 지금 그런 나라는 러시아 하나뿐”이라고 말했다. 다만 러시아가 배후라는 확정 증거는 없는 상태고 석유기업 로스네프트와 철강기업 에브라즈 등 러시아 피해도 적지 않다. 드미트리 페스코프 크렘린 대변인은 “공격 배후에 대해 아는 것이 없다”고 주장했다.
한편 ‘페티야’를 배포한 해커 집단은 비트코인을 통해 지금까지 피해자 45명으로부터 1만282달러(약 1,170만원)를 벌어 들였다고 미국 CNBC가 보도했다. 그나마 이들이 공개한 비트코인 지갑 주소가 하나뿐이기 때문에 사법당국은 해당 주소에서 비트코인 환전이 일어날 경우 즉시 출처 추적에 나설 것으로 보인다.
‘페티야’는 2016년 4월에 처음 발견된 랜섬웨어로 하드디스크 파일을 암호화하는 ‘워너크라이’와 달리 시스템 구동 자체를 막는 특징이 있었다. 이번에 퍼진 ‘낫페티야’ 혹은 ‘골든아이’라 불리는 변종 랜섬웨어는 비록 랜섬웨어처럼 비용을 요구하긴 하지만 공개된 비트코인 지갑 주소나 이메일 주소가 하나뿐이라 전문가들은 애초에 변종 페티야 제작자가 돈을 벌어들이거나 받더라도 암호화를 풀어줄 의도가 없을 것이라고 분석했다.
‘페티야’의 주된 전파 방식도 ‘워너크라이’와는 달랐다. 물론 변종 페티야에도 5월 대량 유포된 워너크라이처럼 미국 국가안보국(NSA)에서 유출된 해킹툴 ‘이터널블루’를 이용하는 기능이 추가돼 있다. 그러나 이 취약점은 대부분 알려져 있었기 때문에 비교적 피해가 적었다. 오히려 주된 감염 경로는 메독 등을 통한 멀웨어 다운로드와 기업이나 관공서 내부망으로 흔히 쓰이는 로컬 영역 연결(LAN)망을 통한 확산이었다. 이 또한 우크라이나 정부를 표적으로 배포된 랜섬웨어라는 가설에 힘을 싣는 증거다.
인현우 기자 inhyw@hankookilbo.com
기사 URL이 복사되었습니다.
댓글0