정부 “전산망 마비 악성코드는 ‘트로이 목마’ 형태…해커 추적중”

지난 20일 발생한 방송·금융 전산망 동시다발적 마비 사태와 관련해 정부 사이버위협 합동 대응팀은 악성코드가 '트로이 목마' 형태라는 점에 주목한 것으로 전해졌다.

합동대응팀은 전날 피해기관에서 채증한 악성코드에 대한 밤샘 분석 작업을 통해 이같은 사실을 확인하고 정확한 공격 주체와 경로 파악에 주력하고 있다.

방통위 관계자는 "피해기관의 업데이트 관리서버(PMS)에 트로이목마가 심어져 전산마비 사태를 불러일으킨 것으로 파악됐다"면서 "최초 공격지점, 공격자 등 구체적인 공격경로를 추적하고 있다"고 전했다.

앞서 합동대응팀은 해당 기관의 업데이트관리서버(PMS)에서 악성코드가 유포됐고 이 서버에 연결된 PC, 노트북 등 모든 컴퓨터의 부팅영역(MBR)을 파괴한 것으로 추정했다.

합동대응팀이 악성코드를 분석한 결과, '2차 공격'을 예고하는 듯한 문자열이 발견된 것으로 전해졌다.

부팅영역 손상 부분에 'PRINCPES'와 'HASTATI' 등 문자열이 발견됐는데 이는 두 낱말은 라틴어로 각각 '첫 번째'와 '(로마) 군대의 1열' 등의 뜻이다. 따라서 두 번째 (사이버 공격) 군대, 세 번째 군대가 예상되고 있는 것.

또한 2013년 3월 20일 오후 2시부터 동작하도록 설정된 내용도 있었던 것으로 알려졌다. 실제 이 시각에 전산마비 사태가 발생했다.

정부는 전날 발령한 사이버위기 '주의' 경보를 이틀째 유지하는 한편 추가공격발생에 대비해 전 기관에 경계강화와 신속한 복구 체계를 가동하도록 했다.

정부는 전산망 마비의 원인이 분석되는 대로 국가사이버안전 전략회의를 열어 국가차원의 후속조치를 논의할 예정이다.

<동아닷컴>