빠른 대응이 'DDoS 대란' 막았다

[아시아경제 김철현 기자]지난 3일부터 국내 40개 사이트를 대상으로 이뤄진 분산서비스거부(DDoS) 공격이 일단락됐다. 이번 공격은 지난 2009년 7.7 DDoS 대란 때보다 업그레이드된 공격방식이 동원됐지만 한국인터넷진흥원(KISA) 등 공공기관과 안철수연구소 등 민간 기업의 빠른 대응이 'DDoS 대란'으로 번지는 것을 막았다는 평가를 받고 있다.

◆빠른 대응 큰 피해 막아=KISA는 지난 3일 최초로 악성 코드 샘플을 확보하고 공격대상 40개 사이트를 밝혀냈으며, 악성코드 초기 유포지에 대해서도 분석해 즉시 전파했다고 밝혔다. 또한 4일에는 지난해 구축한 DDoS 사이버대피소를 통해 전체 7만7000여대 좀비PC 중 약 16%를 조기에 확인해 대량의 트래픽이 발생하지 않도록 신속하게 조치한 것으로 전해졌다.

좀비PC가 인터넷에 연결될 때 이를 알려주는 팝업창을 게시하고 '보호나라(www.boho.or.kr)'를 통해 전용백신을 제공한 점도 피해를 최소화하는 데 기여한 것으로 보인다. KISA는 지난 2009년에는 좀비PC를 확인하고 분류해 인터넷 서비스 사업자에게 전송하기까지 15시간 이상이 걸렸지만 이번에는 1시간 만에 모든 작업을 마쳤다고 설명했다. 인터넷 서비스 사업자를 통해 전용백신을 다운로드 한 사용자는 255만명에 달한다.

또 6일 새벽에는 변종 악성코드를 분석, 전용백신을 다운로드 받는 보호나라 사이트의 우회경로를 제공하는 등 선제적으로 대응했다. KISA 118센터 직원들도 24시간 상담전화를 받고 있다.

서종렬 KISA 원장은 "이번 공격에서 공격 대응 처리 시간이 크게 단축되는 등 지금까지 준비한 시스템의 효과를 확인했다"며 "앞으로도 전문 역량을 강화해 DDoS 사고를 예방하겠다"고 말했다.

◆진화하는 DDoS 공격=안철수연구소는 이번 공격이 2009년의 7.7 DDoS 대란과 유사한 부분이 많았지만 수법은 진화된 형태였다고 설명했다. 우선 7.7 대란 때는 하드 파괴 시점이 10일 자정으로 정해져 있어서 시스템의 날짜를 바꾸면 이를 피할 수 있었다. 하지만 이번에는 날짜를 이전으로 바꾸거나, 감염 시점을 기록한 파일을 삭제할 경우 하드 디스크와 파일이 손상되는 방식이었다.

6일 공격자가 즉시 하드를 손상시키라는 명령을 내리기도 했다. 모든 윈도 운영체제를 손상시킬 수 있도록 업그레드 된 점도 발견됐다.

아울러 7.7 때는 같은 파일 구성으로 여러 차례 공격을 시도했으나, 이번에는 공격 때마다 파일 구성이 달라지고 새로운 파일이 추가 제작돼, 분석 및 대응에 시간과 노력이 더 필요했다고 안철수연구소는 밝혔다. 대응을 할 때마다 공격자가 실시간으로 작전을 변경한 셈이다. 2009년에는 공격 종료 시점이 명확했던 것과 달리 이번에는 종료 시점이 기록되지 않았다는 것도 차이점이다. 백신 업데이트를 방해해 치료하지 못 하게 하는 기능도 새로 추가된 것이다.

안철수연구소 관계자는 "현재까지 발견된 악성코드에서는 추가 DDoS 공격에 대한 정보는 확인되지 않았으나, 변종 제작 등 유사한 사태가 벌어질 가능성에 대비해야 한다"고 강조했다.

김홍선 안철수연구소 대표도 "각 기업과 기관은 날로 지능화하는 보안 위협에 대응할 수 있도록 글로벌 기준에 맞는 대응 프로세스를 구축해야 한다"고 말했다.

◆DDoS 공격 매년 발생하는 이유는=이번 공격에서 악성코드 배포지로 악용된 웹하드 업체의 보안 문제에 대한 지적도 나오고 있다. 보안업체 이스트소프트 관계자는 "악성코드 배포와 수정된 악성코드의 재배포가 웹하드 업체 해킹을 통해 이뤄졌는데 초기 악성코드 배포 후에도 이들 업체의 보안관리가 전혀 이뤄지지 않았다"고 지적했다.

웹하드 업체들은 영세한 규모로 운영되고 있는 경우가 많고 이에 따라 파일 다운로드 프로그램의 보안 문제를 검증하지 못하는 경우가 대부분인 것으로 알려졌다.

이스트소프트 알약개발부문 김준섭 부문장은 "앞으로도 보안이 취약한 웹하드와 홈페이지 등을 이용해 악성코드를 유포하는 행위는 빈번하게 발생할 것"이라며 "DDoS 공격을 사전에 차단하기 위해서는 악성코드 유포지의 보안을 강화해 사용자의 PC를 보호하는 것이 중요하다"고 말했다.

김철현 기자 kch@