DDoS, 1만8천 감염PC 통해 공격..긴급대응 가동(종합)

- 방통위 브리핑..청와대·국방부·외교부·국회·한미연합군사령부 등 피해

- "의도 파악 아직 안돼"

[이데일리 양효석기자] 어제 저녁부터 시작된 분산서비스거부(DDoS) 공격은 국내 악성코드에 감염된 1만8000여개 PC를 통해 이뤄진 것으로 파악됐다.

하지만 DDoS 공격명령이 어디에서 시작됐는지, 어떤 의도로 공격했는지는 아직 파악되지 못했다.

8일 방송통신위원회와 한국정보보호진흥원(KISA)에 따르면, 지난 7일 오후 6시44분께 DDoS 공격 이상유무가 최초 확인됐다. 청와대·국회·한나라당 조선닷컴 등 특정 사이트에 대해 DDoS 공격이 감지된 것.

정부는 밤 9시를 전후해 비상태세에 돌입했고, DDoS공격을 분석해 악성코드 샘플을 입수했다. 이어 새벽 12시30분경 사안의 심각성을 인식하고 대국민 주의경보를 발령했다. 하지만 8일 오전 11시 현재 DDoS를 발생시킨 경로나 이유 등은 파악되지 않고 있다고 KISA는 밝혔다.

◇어떤 형태의 DDoS공격인가

이번 DDoS공격은 신종 악성코드를 이용한 것으로 파악되고 있다.
명령 및 제어서버의 접속없이 악성코드에 감염된 컴퓨터를 실행하면, 자동으로 특정한 사이트를 공격하도록 제작·유포되어 서비스를 방해한다.

이 경우 해커가 신종 악성코드를 제작·배포→홈페이지에 은닉 등 다양한 방법으로 악성코드를 이용자 PC에 감염→동시다발로 악성코드가 동작해 특정사이트를 공격하는 경로를 거친다.

이번 사건도 국내 악성코드가 감염된 1만8000여대 PC에 의해 국내외 26개 특정 사이트에 대해 공격이 이뤄졌다.

국내에는 청와대·국방부·외교부·국회·한미연합군사령부·한나라당 등 공공기관을 비롯해 조선닷컴·옥션 등 민간사이트 포함 총 12개다. 해외는 미국 백악관·나스닥 등 14개 사이트에서 장애가 발생되고 있다. 하지만 미국 피해 사이트는 국내에서 출발한 IP를 통해 공격된 것으로 보인다.

이에 따라 미국측은 한국에서 들어오는 IP 접속을 차단한 것으로 알려졌다. 한국에서 접속하는 경우에만 사이트가 차단되고 있다.

◇피해는 어느정도

악성코드가 감염된 한 대의 PC라도 기가 단위의 트래픽을 발생시킬 수 있다. 공격받은 사이트들은 이 트래픽에 응답하면서 자원을 낭비해 마비되는 것이다.

이번 DDoS공격을 보면 악성코드 안에 공격대상을 26개 사이트로 한정했다. 8일 오전 11시 현재 청와대 등 일부 사이트는 접속장애가 진행중이다. 피해는 사이트 접속제한 및 차단만 나타나고 있다.

방통위 관계자는 "각 사이트별 운용시스템이 달라 어떤 사이트는 복구됐지만 어떤 사이트는 아직 복구되지 않았다"고 밝혔다. 또 "청와대·국회·국방부 등의 사이트는 국가사이버안전센터에서 관리중"이라고 설명했다.

◇피해 대응책은

현재로선 악성코드가 감염된 PC를 찾아 악성코드를 제거하는 것이 급선무다.
감염PC가 기업용·공공기관·법인용일 경우 전산센터에서 보안패치를 자동 업데이트해 악성코드를 제거할 수 있다. 문제는 개인용 PC 또는 정품 서비스를 쓰지 않는 조립PC다. 이 경우 일일이 감염여부를 파악해 패치를 깔아야 한다. 하지만 악성코드에 감염된 1만8000여대를 모두 찾아내기란 시간이 많이 소요될 전망이다.

또 시간이 지날수록 감염PC 숫자가 1만8000여대에서 더욱 늘어날 가능성도 있다. 현재 보안패치는 KISA나 안철수연구소 등을 통해 배포 중이다.

방통위 관계자는 "감염PC의 경로를 강제 차단하는 것은 현재 법적근거가 없다"면서 문제해결의 한계점을 토로했다.

◇DDoS공격 의도는

이번 DDoS공격에는 청와대·국방부·외교부·국회·한미연합군사령부·한나라당·조선닷컴 등이 포함돼 공격의도를 의심케 할 만한 정황이 감지되고 있다. 하지만 불특정 다수 민간사이트도 포함되어 있어 정확한 의도를 파악하기란 쉽지 않은 상태다.

KISA 관계자는 "현재로선 공격 목적도 파악 안되고 있다"면서 "공격 의도를 의심할 만한 단서가 아직은 없다"고 밝혔다.