지난 20일 방송·금융 기관의 전산망 해킹에 사용된 악성파일이 중국에서 유입된 것으로 확인돼 북한 소행 가능성에 무게가 실리고있다.

민·관·군 사이버위협 합동대응팀은 21일 브리핑에서 "농협시스템을 분석한 결과 중국 IP(101.106.25.105)가 백신 소프트웨어(SW)배포 관리 서버에 접속, 악성파일을 생성했음을 확인했다"고 발표했다.

이번 해킹으로 KBS·MBC·YTN, 신한은행·농협·제주은행 등 방송 및 금융 6개사의 PC와 서버 3만2천여대가 피해를 당한 것으로 나타났다.

다음은 박재문 방통위 네트워크정책국장과의 일문일답.

-- 추가 공격 가능성이 있는가.

▲ 모든 가능성을 열어놓고 있다. 다만 이번 공격이 주로 업데이트 관리서버(PMS)를 해킹해 악성코드를 뿌린 형태의 공격이기 때문에 업데이트 관리서버(PMS)를 인터넷과 분리해 추가 공격 피해를 방지하라고 주요 기관에 통보했다.

-- 악성코드 침입 경로가 피해기관의 PMS인가 보안업체의 서버인가.

▲ 아직 종합적인 조사 결과를 말할 단계가 아니다. 농협의 경우 농협이 관리하는 PMS에 악성코드가 심어졌고, 그것이 PC에 전파된 것으로 분석하고 있다.

-- 북한이 주로 중국발 IP로 해킹 공격을 한다. 북한 공격을 추정할 수 있는가.

▲ 중국 IP가 발견돼 여러 추정이 가능할 것이다. 다만 현 단계에서는 여러 가능성을 다 열어놓고 해커 실체 규명에 최선을 다하고 있다.

-- 안랩은 PMS 관리자의 권한이 탈취당한 것으로 파악했다.

▲ PMS는 통상적으로 전산을 관리하는 주체가 관리한다. 그러나 이번 경우에는 PMS가 어떤 형태로 관리됐는지 아직 충분한 조사 이뤄지지 않았다.

-- 주요 기관의 PC를 부팅할 때 시모스(CMOS) 시간 설정은 어떤 식으로 하나.

▲ PC를 켤 때 특정 키(F2 또는 Delete)를 누르면 어렵지 않게 시간을 조정할 수 있다. 잠재적 위험이 있으나 아직 손상되지 않은 PC의 경우 악성코드가 작동한 시간(20일 오후 2시) 이전으로 돌려서 동작을 멈추도록 한 다음에 백신 치료를 하면된다.

-- 일반 개인도 피해를 당할 가능성이 있나.

▲ 피해 6개사의 시스템에 접속된 내부 PC라면 모를까 일반 국민의 PC까지 감염됐다고 추정하기는 아직 어렵다. 그러나 대응을 위한 백신이 개발된 만큼 전반적으로 대응하자는 것이다.

-- 악성코드가 심어진 시점은 언제인가. 농협이 아닌 기관의 시스템에서도 중국IP가 발견됐는가.

▲ 조사 마무리되면 상세히 설명하겠다.

-- 신한은행은 2시간 만에 복구됐지만 방송국은 아직 복구가 안 됐다. 왜 차이가 생기는가.

▲ 아직 충분한 조사 이뤄지지 않은 상태여서 가정으로 설명하긴 어렵다.

-- 동일조직의 소행으로 보는 근거는.

▲ 악성코드가 하드디스크를 손상시키는 특징이 피해 사이트에서 동일하게 나타나고, 악성코드 고유의 문자열이 보인다.

-- 2011년 3·4 디도스(DDos; 분산서비스거부) 공격 때도 하드디스크가 파괴됐다. 당시와 비교해서 어떤 점이 진화했는가.

▲ 하드디스크의 섹터 앞부분을 손상시켜서 부팅 장애를 유발하는 기법은 유사하다. 현재 악성코드는 윈도 등 운영체제(OS)별로 버전을 파악해서 동작하는 방식을조금씩 바꾼다는 점이 진화했다.

-- LG유플러스(U+)를 통해 망 관리 주소가 유출됐다는 추측이 있는데.

▲ 아직 결과가 나오지 않아 말하기 어렵다. 조사 진행이 용이하지가 않지만 명백히 규명된 이야기는 즉시 설명하겠다.

-- 전용 백신이 배포된 시점은.

▲ 21일 오전 1시부터 배포하고 있다.

연합뉴스