특집

“DDoS 공격, 7.7 대란 때보다 지능화”

디지털데일리 발행일 2011-03-07 15:31:28
  • 가
  • 가
이유지 기자
- 안철수연구소 분석…악성코드 범위 확대되고 역할 세분화, 실시간 공격방식 전환해 지능화

[디지털데일리 이유지기자] 지난 4일 발생한 분산서비스거부(DDoS, 디도스) 공격은 지난 2009년 7.7 DDoS 대란과 비교해볼 때 더욱 지능화됐다는 분석이 나왔다.

안철수연구소(대표 김홍선)은 이번 DDoS 공격이 7.7 DDoS 공격 때와 유사했지만 업그레이드됐다고 7일 밝혔다.

◆공격자, 실시간 작전 변경=안철수연구소에 따르면, 우선 7.7 때는 마지막 DDoS 공격 날인 10일 자정에 하드디스크와 파일이 손상됐다.

당시 백신을 설치하지 않은 PC에서는 날짜를 변경하도록 안내했다. 그런데 이번에는 날짜를 이전으로 바꾸거나, 감염 시점을 기록한 noise03.dat 파일을 삭제할 경우에 하드디스크와 파일이 손상된다. 그러나 공격자는 명령을 파일을 다운로드시켜 즉시 손상되는 것으로 변경했다.

또한 손상시키는 운영체제도 7.7 때는 닷넷 프레임워크 기반인 윈도 2000/XP/2003에 국한됐으나 이번에는 모든 윈도 운영체제가 해당된다.

아울러 당시에는 같은 파일 구성으로 여러 차례 공격했지만 이번에는 공격 때마다 파일 구성이 달라지고 새로운 파일이 추가 제작돼 분석과 대응에 시간과 노력이 더 들었다는 평가다. 대응할 때마다 공격자가 실시간으로 작전을 변경한 셈이다.

공격 종료 시점도 명확했던 것과 달리 이번에는 종료 시점이 기록되지 않았다는 것도 차이점이다.

또 호스트 파일 변조로 백신 업데이트를 방해해 치료하지 못 하게 하는 기능도 새로 추가됐다.

◆10여개 악성코드 역할 나눠 유기적 작동=이번 공격과 7.7 때의 유사점은 개인사용자 PC가 DDoS 공격자이고 배포지로 P2P 사이트가 활용됐으며, 외부 서버로부터 명령을 받아 사전 계획대로 공격이 이루어졌다는 점이다.

공격 형태와 대상도 유사하고, 공격 목적이 불명확하다는 점, 좀비PC의 하드디스크와 파일이 손상되는 것으로 악성코드의 수명이 끝난다는 점이다.

안철수연구소가 분석한 4일 오후 6시 30분에 DDoS 공격을 유발한 악성코드들의 파일 관계도에 따르면 각기 역할이 다른 10여 개의 파일이 유기적으로 작동한다.

SBUpdate.exe이 처음 설치된 후 해외의 특정 C&C 서버에 접속하는 동시에 ntcm63.dll, ntds50.dll 파일을 생성한다. 이 두 파일은 다시 7개의 파일을 생성해 실행한다. 이 7개의 파일은 역할이 각기 다르다.

즉, mopxsvc.dll 파일은 faultrep.dat(C&C서버 주소를 저장함) 파일을 참조해 C&C 서버에 접속해 명령을 받아온다. watcsvc.dll 파일은 DDoS 공격 시각 정보를 담은 tlntwye.dat 파일, 공격 대상 웹사이트 40개의 정보를 담은 tljoqgv.dat 파일을 참조해 공격을 수행한다.

soetsvc.dll 파일은 최초 감염 시각이 저장돼 있는 noise03.dat 파일을 참조해 하드디스크와 파일을 손상시킨다.

4일 오전 10시에 발생한 공격 또한 이와 같은 방식으로 이루어진다. 한편, 5일 밤에는 해외의 특정 C&C 서버에서 clijproc.dll 파일이 새롭게 다운로드됐다. 이 파일이 다운로드되는 즉시 하드디스크 및 파일이 손상됐다.

3월 7일 오전 10시 현재 안철수연구소에 들어온 하드디스크 손상 신고 건수는 30여 건이다. 월요일 기업·기관의 업무 시작을 맞아 안철수연구소 웹사이트 접속이 폭주하고 있는데, 모든 V3 사용자는 실시간 사용 중이면 안심해도 된다고 안철수연구소는 설명했다. 이를 이용하지 않는 사용자만 전용백신을 내려받아 검사하면 된다.

◆유사사태 대비해 악성코드 치료해야=안철수연구소는 현재까지 발견된 악성코드에서는 추가 DDoS 공격 정보는 확인되지 않았으나 변종 제작 등 유사한 사태가 벌어질 가능성에 대비해야 한다고 강조했다.

즉, DDoS 공격의 발원지인 PC에서 악성코드를 깨끗이 치료하는 것이 근원적인 해법이다.

인터넷 서비스 제공자는 웹사이트가 DDoS 공격을 받더라도 서비스 장애가 발생하지 않도록 전문 장비를 구축하고 네트워크 트래픽을 상시 모니터링하는 보안관제 서비스를 이용하는 등 전방위 보안 대책이 필요하다.

◆악성코드 분석·전용백신 신속 개발체계 구축 효과=안철수연구소는 이번 DDoS 공격이 7.7 때보다 교묘해졌음에도 피해가 적었던 것은 자사가 지난 2009년부터 2년여에 걸쳐 투자 및 연구한 클라우드 컴퓨팅 개념 보안 전략인 액세스(ACCESS)와 ‘스마트 디펜스’ 기술이 제대로 효과를 발휘했기 때문이라고 평가했다.

그동안의 적용 결과를 기반으로 한 자동화 시스템을 통해 악성코드 유포지를 조기에 발견했으며, 악성코드의 행위와 파일 DNA, 파일 관계 등을 신속히 분석했다. 이에 따라 전용백신 및 V3 엔진 업데이트를 신속히 할 수 있었다.

ASEC(시큐리티대응센터)의 악성코드 수집 및 분석 능력과 CERT(침해사고대응팀)의 위협 모니터링 및 대응 서비스가 유기적으로 작동한 것도 큰 역할을 했다.

아울러 정부 기관인 방통위, 한국인터넷진흥원(KISA), 국정원과 공조 등이 신속히 이루어진 것도 주효했다.

안철수연구소 김홍선 대표는 “보안을 단순히 제품으로 볼 것이 아니라 프로세스로 접근해야 한다. 이번 일을 계기로 각 기업과 기관은 날로 지능화하는 보안 위협에 대응할 수 있도록 글로벌 기준에 맞는 대응 프로세스를 구축해야 한다”고 강조했다.

<이유지 기자>yjlee@ddaily.co.kr

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지
이유지 기자
webmaster@ddaily.co.kr
기자의 전체기사 보기 기자의 전체기사 보기

이 기사와 관련된 기사

디지털데일리가 직접 편집한 뉴스 채널

당신이 좋아할 만한 뉴스

많이 본 기사

연재기사

실시간 추천 뉴스