큰사진보기
▲  황철증 방통위 네트워크정책국장이 지난 4일 오후 4시 디도스 공격 상황에 대해 발표하고 있다.
ⓒ 김시연	관련사진보기

청와대 등 국내 40개 사이트를 겨냥한 3.4디도스(DDos; 분산서비스 거부) 공격이 일단 멈춘 가운데 2009년 7.7 대란과 유사성 때문에 동일인 소행 가능성이 제기되고 있다.

'좀비 PC' 7만7천여 대... 하드디스크 손상 신고 119건

사이버위기 '주의' 경보 발령 나흘째인 7일 오전 3차례 디도스 공격은 큰 피해 없이 멈췄지만 '좀비 PC'로 감염된 하드디스크 손상 등 개인 피해는 계속 늘고 있다.

방송통신위원회는 이날 오전 브리핑에서 이번 디도스 공격에 동원된 좀비 PC는 모두 7만7207대로 파악된다고 밝혔다. 3월 4일 오전 10시 29개 사이트를 대상으로 한 1차 공격 때 2만4696대였던 좀비 PC는 오후 6시 30분 40개 사이트 대상 2차 공격 때 5만1434대로 2배 늘었고 5일 오전 3차 공격 때는 다시 1만1310대로 줄었다.

방통위는 "7.7 공격시 11만5044대에 비하면 적지만 당시 2차 공격시 최대 4만7123대였음을 감안하며 2차 공격 숫자는 더 많았다"면서 "악성코드 유포 및 명령 사이트로 추정되는 72개국 738개 IP를 확보해 긴급 차단한 상태"라고 밝혔다.

황철증 방통위 네트워크정책국장은 "남은 감염 PC가 있다고 추정되나 숫자가 적다면 디도스 공격 활용도가 크지 않다"면서 "현재 정부나 민간, 금융기관 장비로 충분히 대응할 수 있을 것"이라고 밝혔다. 

'좀비 PC' 감염 때문으로 추정되는 하드디스크 손상 신고도 7일 오전 10시 현재 119건이 접수되는 등 개인 피해 우려는 계속되고 있다. 7.7 공격 당시 PC 손상은 모두 1466건이 신고됐고 이 가운데 첫날 신고는 396건이었다. 안철수연구소, 한국인터넷진흥원(KISA) 보호나라(www.boho.or.kr) 등을 통한 전용백신 다운로드 건수는 294만7천여 건으로 300만 건에 육박했다. 

안철수연구소 "7.7 대란 때보다 공격 업그레이드돼"

큰사진보기
▲  김홍선 안철수연구소 대표. 사진은 지난 1월 6일 기자간담회
ⓒ 안철수연구소 제공	관련사진보기

안철수연구소는 이번 디도스 공격을 일으킨 악성코드를 분석한 결과 지난 2009년 7.7 디도스 대란 때와 비슷하면서도 공격 때마다 파일 구성과 명령이 달라지고 하드디스크 손상 조건을 바꾸는 등 더 업그레이드된 공격을 했다고 밝혔다.

김홍선 안철수연구소 대표는 이날 오전 자신의 블로그(http://ceo.ahnlab.com/124)에 올린 글에서 "(7.7 때와 달리) 공격 도중에 원격에서 공격 대상과 시간을 수시로 조종했다"면서 "결국 DDoS 공격이 실패로 드러나자 3월 5일 토요일 밤, 원격에서 감염시킨 PC를 바로 완전 삭제하는 '지령'을 내려 보냈다"고 지적했다.

2009년 7.7 때는 마지막 디도스 공격 날인 7월 10일 자정에 하드 디스크와 파일이 손상됐지만 이번에는 공격자가 명령 파일을 다운로드 받게 해 즉시 손상되는 것으로 변경했다는 것이다. 또한 호스트 파일을 변조시켜 백신 업데이트 방해해 치료받지 못하게 하는 기능도 추가됐다. 

김 대표는 "좀비화된 PC는 5만 대 정도로 7.7 디도스 때보다 상대적으로 적다"면서도 "만일 7.7 디도스처럼 배포지를 미리 파악하지 못했다면 충분히 그 당시 수준으로 확산되었을 수 있다"고 경각심을 일깨웠다.

7.7대란과 동일범 소행?... 정부 "공격자 파악 어려워"

안철수연구소는 이번 공격과 7.7 때의 유사점으로 "▲개인 사용자 PC가 디도스 공격자이고, ▲배포지로 P2P사이트가 활용됐으며, ▲외부 서버로부터 명령을 받으며, ▲사전 계획대로 공격이 이루어졌다는 점 ▲공격 형태와 대상이 유사하고 ▲공격 목적이 불명확하다는 점 ▲좀비 PC의 하드 디스크 및 파일이 손상되는 것으로 악성코드의 수명이 끝난다는 점" 등을 꼽았다.   

이런 유사점 때문에 일부 전문가들은 7.7 대란 때와 동일범 소행이나 모방이 아니냐는 의혹을 제기하고 있다. 하지만 방통위에선 "해커들이 프로그램 작성시 자기 기록이나 흔적을 안 남기고 72개국 서버를 이용하기 때문에 (공격 진원지를) 파악하기 어렵다"고 밝혔다.