안철수硏 “3·4 디도스 2009년 7·7대란 업그레이드 판”

[구윤희기자] 안철수연구소(대표 김홍선)가 지난 4일 발생한 디도스 공격이 2009년 7월 7일 디도스 대란의 업그레이드판이라는 평가를 내놓았다.

안철수연구소는 지난 4일부터 발생한 문제의 디도스 공격을 분석한 결과 지난 2009년과의 유사점과 차이점을 발견하고 7일 이같이 발표했다.

안연구소에 따르면 2009년 7·7 디도스 당시에는 마지막 공격 날인 10일 자정에 하드디스크와 파일이 손상됐으며, PC 날짜를 변경하면 피해를 막을 수 있었던 반면 이번에는 날짜 변경이나 감염 시점 기록 noise03.dat 파일 삭제시에도 하드디스크와 파일이 손상되는 점이 달랐던 것으로 파악됐다. 또한 백신이 보급되자 악성코드 파일을 다운로드하는 시점에 즉시 손상되는 것으로 공격명령을 바꾸기도 한 것으로 나타났다.

또 7·7 때는 같은 파일 구성으로 여러 차례 공격을 시도했지만, 이번에는 공격 시점마다 파일 구성이 달라지고 새로운 파일이 추가 제작돼 분석과 대응 시간을 늦추는 모습이었다.

안연구소는 2009년에는 닷넷 프레임 기반인 윈도 2000, XP, 2003에만 손상이 국한됐지만 이번에는 모든 윈도 운영체제에 손상이 이뤄지도록 했고 기능적으로도 호스트 파일을 변조해 백신 업데이트를 방해하는 등 보다 진화된 공격 양상이 관찰된 점이 다르다고 파악했다.

안연구소는 그러나 2009년과 지난 4일 공격에서 유사한 점도 발견됐는데 개인 사용자 PC를 ‘좀비PC’로 만들어 디도스 공격자가 되도록 하고 외부 서버로부터 명령을 받아 사전 계획대로 공격이 이뤄졌다는 점이 같은 골격이라고 분석했다. 공격 형태와 대상이 유사하고 공격 목적이 불명확하다는 점, 하드 디스크 및 파일 손상으로 악성코드 수명이 끝난다는 점도 2009년과 같은 것으로 평가했다.

안연구소는 이밖에 악성코드 배포지로 P2P 사이트가 활용됐다는 점이 지난 2009년과 이번 모두 공통적이었다며 향후 P2P 사이트에 대한 보안 체제를 어떻게 법제화하는가가 숙제로 남는다고 덧붙였다.

김홍선 안철수연구소 사장은 “보안을 단순히 제품으로 볼 것이 아니라 프로세스로 접근해야 한다”며 “이번 일을 계기로 각 기업과 기관은 날로 지능화하는 보안 위협에 대응할 수 있도록 글로벌 기준에 맞는 대응 프로세스를 구축해야 한다”고 당부했다.