정부, 전산망 마비 조사 2일째... 중국 IP 확인

주요 방송사 및 은행의 전산망 마비와 관련, 정부 ‘사이버위협 합동대응팀’은 악성파일이 중국에서 유입된 것으로 확인하고 원인 분석에 주력하고 있다. 또 추가 피해 우려가 예상되는 만큼 만약의 사태에 대비하고 있다.

합동조사팀은 21일 브리핑을 통해 “농협 시스템을 분석한 결과 중국 IP(101.106.25.105)가 업데이트 관리 서버에 접속해 악성파일을 생성했음을 확인했다”고 발표했다.

실체를 알 수 없는 해커가 중국 인터넷을 경유해 '트로이 목마' 방식의 악성코드를 심어놓은 것으로 분석된다. 트로이 목마는 정상적인 파일로 위장해 컴퓨터 시스템을 파괴하는 악성 코드다.

그러나 악성코드가 보안업체의 백신 업데이트관리서버(PMS)를 경유했는지 아니면 해커가 직접 해당 서버의 관리자 계정을 탈취해 악성코드를 심었는지는 아직 명확하게 확인되지 않고 있다.

한편 이번 방송사와 은행의 전산망 해킹에 사용된 악성파일이 중국에서 유입된 것으로 확인되면서 북한 소행 가능성에 무게가 실리고 있다. 북한은 그동안 중국 인터넷을 주로 이용해 사이버 테러 공격을 감행해왔다.

박재문 방송통신위원회 네트워크정책국장은 “중국 IP가 발견돼 여러 추정이 나오게 됐지만 현 단계에서는 모든 가능성을 열어놓고 해커 실체 규명에 최선을 다하고 있다”고 말했다.

또 합동대응팀은 피해 6개사(KBS·MBC·YTN·신한은행·농협·제주은행) 모두 동일 조직에 의해 공격당한 것으로 파악하고 있지만 현재 공격 주체는 파악하지 못하고 있는 상황이다.

박 국장은 “악성코드가 하드디스크를 손상한다는 특징이 피해 사이트에서 공통적으로 나타나고 악성코드 고유의 문자열이 보이고 있다”고 설명했다.

합동대응팀은 또 피해를 당한 서버와 PC에 추가 공격을 암시하는 문자코드가 발견되면서 보안업체와 함께 전용 백신을 개발해 공급하는 등 추가 피해에 대비하고 있다.

이와 함께 기업뿐만 아니라 일반 PC 사용자도 피해를 입을 수 있기 때문에 부팅 전 CMOS 설정을 통해 날짜를 변경할 것을 주문했다.

CMOS란 운영체제(OS)를 실행하지 않은 상황에서 메인보드의 기본 설정을 변경할 수 있는 프로그램으로 컴퓨터 부팅시 F2키 또는 DEL키를 누르면 CMOS 설정으로 들어갈 수 있다.

또 국가·공공기관·교통·전력 등 국가기반시설, 금융사·병의원 등 주요 기관에 대해 백신 업데이트 서버를 인터넷과 분리토록 했다.

현재 은행을 비롯해 피해를 당한 방송사들의 전산망은 대부분 복구됐지만 손상된 개별 PC에 대한 복구 작업이 진행중에 있어 완전 정상화는 시간이 걸릴 것으로 예상된다.

방통위 관계자는 “악성코드 분석과 피해 PC 복구를 통해 해커 실체 규명에 주력하고 있다”며 “완전 정상화에는 최소 4~5일 정도의 시간이 걸릴 것으로 예상된다”고 말했다.