[스크랩] DDoS 윤곽 잡혔지만 범인 검거는 `난망'

[복잡한 공격구조와 불분명한 범행 동기 때문]

 

청와대 등 주요 사이트를 마비시킨 ‘7.7 DDoS’(분산서비스거부) 공격의 윤곽이 점차 명확해지고 있다.

그러나 이번 공격은 예상보다 훨씬 고급 기술이 동원됐고 치밀한 준비가 이뤄진 것으로 드러나 범인의 꼬리가 잡히기까지는 많은 시간이 걸릴 전망이다.

경찰 조사 결과 DDoS 공격이 국내 웹하드 사이트를 통해 배포된 악성코드가 일반 PC를 ‘좀비PC’로 만든 다음 해외에 기반을 둔 네트워크형 중간 조종(C&C:Command&Control) 서버가 좀비PC에게 공격을 명령한 복합 구조를 갖는 것으로 파악됐기 때문이다.

사건 직후 경찰과 보안 전문가들이 내놓았던 분석 내용보다는 한층 진일보한 기술이 가동됐고 꼼꼼히 준비됐다는 것이다.

이들이 일반 PC를 좀비PC로 감염시킨 과정도 기존 공격과 차별화된다.

기존 DDoS 공격은 특정 웹문서를 열거나 파일을 내려받은 컴퓨터를 악성코드에 감염시켰지만, 이번 공격은 두 곳의 웹하드를 이용한 네티즌의 PC 대부분을 감염시켜 훨씬 효율적으로 악성코드를 배포할 수 있었다.

또 DDoS 공격자들이 61개국에 퍼져 있는 432대의 C&C 서버 그룹을 통해 좀비PC를 원격 조종하는 등 범행이 치밀한 각본에 의해 짜진 것으로 분석됐다.

특히 기존 DDoS 공격은 대개 좀비PC를 조종하는 C&C 서버가 한 종류이지만 이번에는 각 기능을 수행하는 서버가 4종류나 된다.

더욱이 좀비PC들이 4종류의 서버에 차례로 접속해 명령을 받는 구조로 돼 있어 이 네 종류의 서버들은 직접적인 연결 고리도 없다.

보통 C&C 서버는 서버 비용이 저렴한 중국 서버를 이용하는 사례가 많지만, 애써 고생을 해가며 61개국으로 철저히 분산시킨 것도 특이하다. DDoS 공격자가 수사 당국의 추적을 따돌리고자 고심했음을 엿보게 하는 대목이다.

범행 동기도 불분명하다.

DDoS 공격은 사이트 운영자를 협박해 돈을 요구하거나 경쟁사 영업을 방해하려 저질러진 경우가 많았지만, 이번 공격에서 범인이 얻은 직접적인 이익은 거의 없기 때문이다.

단순히 특정 사이트에 대한 적개심을 나타내는 공격이라 볼 수도 있지만, 그렇다면 왜 굳이 간단한 방법을 놔두고 어렵게 이리저리 공격 루트를 꼬아놓았는지가 의문으로 남는다.

국가정보원은 북한 배후설을 내놓았지만, 경찰 수사에서는 아직 북한과의 연관성이 드러나지 않았다.

경찰은 미국 연방수사국(FBI) 등과 공조 수사를 벌이고 있지만, C&C 서버가 미국뿐 아니라 전 세계 곳곳에 퍼져 있는 등 복잡한 공격구조와 불분명한 범행 동기 때문에 범인 추적에 어려움을 겪을 전망이다.

 

                  Copyrights ⓒ 연합뉴스:조선일보