어제(20일) 발생한 방송·금융 전산망 마비 사태를 조사 중인 정부 사이버위협합동대응팀은 전산마비를 일으킨 악성코드가 '트로이목마' 형태라는 점을 파악한 것으로 알려졌습니다.
합동대응팀은 피해기관에서 입수한 악성코드를 밤새 분석해 '트로이 목마' 형태라는 점을 파악하고 정확한 사고 원인과 공격주체 파악에 주력하고 있습니다.
방통위 관계자는 "피해기관의 업데이트관리서버(PMS)에 트로이목마가 심어져 전산마비 사태를 불러일으킨 것으로 파악됐다"면서 "최초 공격지점, 공격자 등 구체적인 공격경로를 추적하고 있다"고 말했습니다.
앞서 합동대응팀은 피해 기관의 업데이트관리서버(PMS)에서 악성코드가 유포됐고 이 서버에 연결된 모든 컴퓨터의 부팅영역을 파괴한 것으로 추정했습니다.
특히 문제의 악성코드를 분석한 결과 '2차 공격'을 암시하는 문자열이 발견됐다고 합동대응팀은 밝혔습니다.
부팅영역(MBR) 손상 부분에 HASTATI' 등의 문자열이 발견됐는데 라틴어로 로마 군대의 1열이라는 뜻입니다.
이에 따라 이번 공격을 감행한 해커가 2차 공격이나 3차 공격을 예고한 것으로 볼 수 있지 않느냐는 관측이 나오고 있습니다.
특정 시각에 파괴기능이 동작하도록 설정한 내용도 발견된 것으로 알려져 해킹이 오랜 시간에 걸쳐 계획적으로 이뤄졌음을 보여주고 있습니다.
파괴 기능은 2013년 3월 20일 오후 2시부터 동작하도록 만들어졌고 실제 이 시각에 전산마비 사태가 발생했다고 대응팀은 밝혔습니다.
정부는 어제 발령한 사이버위기 '주의' 경보를 이틀째 유지하는 한편 추가공격 발생에 대비해 전 기관에 경계강화 및 공격 발생시 신속복구 체계를 가동하도록 조치했습니다.
또 전산망 마비 원인이 분석되는 대로 국가사이버안전 전략회의를 열어 국가차원의 후속조치를 논의할 예정입니다.