SK컴즈 단독 타킷으로 한 신종 공격 형태
관련 통계자료 다운로드 SK컴즈 회원정보 유출 개요 경찰은 이번 사건을 SK커뮤니케이션즈를 대상으로 한 새로운 형태의 공격이라고 밝혔다.
분산서비스거부(DDoS) 공격이나 스팸메일 발송 등 지금까지 불특정다수를 대상으로 한 공격이 주를 이뤘다면 이번 SK커뮤니케이션즈 개인정보 유출 해킹 사고는 명백히 SK커뮤니케이션즈만을 타깃으로 한 신종 공격이다.
특히 변조된 악성코드가 유포됐음에도 불구하고 국내 어떤 안티바이러스 프로그램에도 검출되지 않았다. 감염 여부를 해킹당하기 전까지 아무도 알 수 없었다는 점에서 충격을 준다.
경찰청 사이버테러대응센터는 SK커뮤니케이션즈, 이스트소프트 등 기타 관련 업체 PC와 서버 40여대를 종합 분석한 결과 이스트소프트의 공개용 알집 업데이트 서버가 해킹돼 정상 업데이트 파일을 악성파일로 바꿔치기한 수법이 사용됐다는 결론을 내렸다.
해커는 변조한 업데이트 파일을 물류유통업체인 F사 서버를 이용해 SK컴즈 이용자에게 배포, 좀비PC로 감염시켰다. 해커는 지난 18·19일 양일간 변조한 악성코드를 유포하고 26일 SK커뮤니케이션즈 내부망을 감염시켰다. 해커는 감염된 PC를 좀비화해 약 일주일간 사내망 접속자의 행태를 감시한 후 DB관리자 권한을 획득했다. 이후 28일 DB서버에서 네이트, 싸이월드 회원정보 3500만건을 탈취했다.
정석화 경찰청 사이버수사대 실장은 “이스트소프트 서버가 해킹돼 공개용 알집 SW 자동 업데이트 서버가 변조, 악성코드를 유포시켰다”며 “만약 해커가 마음만 먹었다면 온 국민의 PC를 감염시켜 제3의 DDoS 공격 대란을 불러일으켰을 수도 있다”고 말했다.
이번 사건에서 해커는 특정사용자 즉, SK커뮤니케이션즈 사용자만을 대상으로 악성코드를 유포하고자 프로그래밍했지만 혹 해커가 전체 알집 사용자를 대상으로 악성코드를 배포했다면 알집을 쓰는 전 국민이 악성코드에 감염됐을 수도 있다는 설명이다.
변조된 악성파일은 키로깅 및 외부접속을 시도하는 파일로 밝혀졌다. 이 악성파일은 감염된 사용자가 입력하는 모든 정보를 들여다볼 수 있었고, 원격에서 해커 뜻대로 조종할 수 있는 기능을 갖고 있다.
해커는 빼낸 개인정보를 중국에 위치한 IP의 시스템으로 전송하기 전 구인구직사이트인 E업체 서버를 경유해 추적자를 교란한 후 전송한 것으로 나타났다.
해킹에 이용된 F사와 E사 등은 경찰 수사를 받기 전까지 해킹 사실을 전혀 몰랐다. 이처럼 이번 사건은 7월 한 달 동안 이뤄진 사건으로, 세간에 알려진 6개월 전부터 치밀하게 준비됐다는 설은 일단 근거가 없다고 경찰이 밝혔다.
정 실장은 “SK커뮤니케이션즈 사용자를 타깃으로 한 악성코드로 밝혀졌지만 다른 기업, 기관 등을 목표로 한 공격 가능성도 배제할 수 없어 다른 IT기업의 피해 여부를 조사 중”이라고 말했다. 또 그는 “공격 근원지가 중국 IP로 드러나 중국과 긴밀히 공조수사 중이며 현지에 한국 수사관을 파견하는 방안도 검토하고 있다”며 “하지만 현재까지 밝혀진 바로는 북한과 연계성은 없다”고 말했다.
SK커뮤니케이션즈 유출 세부정보
자료:경찰청 사이버수사대
장윤정기자 linda@etnews.com
