3.20 사이버테러의 악성코드 침입경로, 안랩 백신 아닌 APC서버!  

[보안뉴스 김경애] 방송·금융 등 3.20 사이버테러에 대해 안랩 측이 각기 다른 경로로 공격이 이루어졌음에도 불구하고, 모두 안랩의 책임인 것으로 보도돼  오해를 낳고 있다고 발표하며 적극적으로 해명에 나섰다.

지난 12일 안랩은 특정 방송사 및 일부 언론에서 보도한 ‘3.20 사이버테러’와 관련해 사실과 다른 부분이 많다고 밝혔다. 특히, 대중의 이해를 돕기 위해 쉽고 단순화해 보도하는 과정에서 전문적인 내용이 포괄적으로 표현됐다고 지적하며 다음과 같은 사항을 제시했다.

1. 3.20 사이버테러에 안랩의 백신이 이용되지 않았다는 점   

안랩에 따르면 언론에 보도된 ‘북한 해커들이 이용한 침투 통로는 백신 프로그램’, ‘북한이 백신 프로그램을 역이용한 것’, ‘사이버 테러에서 악성코드를 실어나른 것이 백신 프로그램’, ‘백신 프로그램을 변조’ 등의 표현은 잘못된 것이라고 제시했다. 그러면서 3.20 사이버테러 피해를 입은 6개사가 모두 안랩 제품을 사용하는 것은 아니며, 백신 프로그램의 변조는 안랩이 아니라고 주장했다.

2. 안랩의 자산 및 중앙 관리서버(AhnLab Policy Center, APC)는 백신이 아니라는 점

안랩은 3.20 사이버테러에서 이용된 것은 APC 서버라며 서버의 취약점을 이용한 것으로 피해를 입은 곳은 농협만 해당된다고 주장했다. 또 APC 서버는 기업 내부망에서 백신 프로그램이나 일반 소프트웨어가 최신 버전으로 유지되는지 중앙에서 관리하는 소프트웨어 제품이라고 설명했다. 따라서 V3와 같은 백신프로그램이 아니며, 보안제품도 아니라고 강조했다. 

3. 해당 언론사의 비유된 내용 토대로 해킹 수법 설명하면 다음과 같다는 점 

안랩 측이 밝힌 언론사의 비유된 내용은 ‘어떤 집이 재산을 보호하기 위해 담벼락, 창문, 현관 및 방문 등 각 영역별로 각기 다른 전문 경비업체와 함께 보안 시스템을 구성 및 운영했다’며 ‘집 주인은 이러한 보안수단을 효율적으로 운영하기 위해 노력해야 한다’라는 것이다.

안랩은 이에 대해 ‘경비업체는 보안회사를 뜻한다’며 ‘집 주인은 이러한 보안수단을 효율적으로 운영하기 위해 노력해야 한다는 내용에 대해서는 실제로 많은 기업들이 개별 PC 백신을 비롯해, 네트워크 보안, 서버 보안 등 모든 분야에 걸친 종합적인 보안 시스템을 구축하기 위해 노력하고 있다’고 반박했다.

또 ‘어느 날 집 내부의 재산을 파괴할 목적을 가진 범인이 수개월 전에 경비업체를 피해 집안에 몰래 감시 카메라를 설치했다’는 비유에 대해 안랩은 ‘APT 공격으로 기업의 PC를 최초 장악했다는 것으로 이 수법은 아직 밝혀지지 않았다’고 주장했다.

아울러 ‘강도는 이후 몇 달 간 집 안을 감시하며 집주인의 생활패턴을 모두 파악한 후 집주인처럼 행세하여 재산을 파괴할 수 있는 방법을 찾아 실행했다’는 비유에 대해 ‘경비업체가 아닌 집 주인을 가장해 내부로 침입했고, 경비업체는 이를 집 주인으로 여긴 것’이라고 설명했다.

그러면서 안랩은 ‘여기서 범인은 합동조사단에 따르면 북한 해커이고, 안랩은 경비업체로 대변되는 보안 솔루션 업체 중 하나’라며 ‘최초로 언론사 및 금융사 내부 PC를 감염시킨 수법에 대해서는 아직 밝혀지지 않았다’고 거듭 강조했다.

4. 이전 농협관련 보도자료에서 제한된 책임부분 명확히 밝힌 바 있다는 점 
안랩은 ‘지난 3월 29일 자체 중간조사결과 보도자료로, 이번 농협 공격에서 악성코드 침입 이후 단계에서 악용된 자산 및 중앙 관리서버인 APC의 제품 기능상의 이슈를 밝히고 사과했다’고 주장했다.

또한, ‘자사 백신이 아닌 APC 서버 기능 오류(bug)를 파악한 상황에서 최초 보도자료를 통해 약속한 대로 일부 책임 발표를 검토 중이었다’며 ‘당시 방송·금융사 6개사 전산장애의 숙주인 것처럼 오인 받았던 농협의 요청도 있어 중간조사결과 보도자료를 배포하게 되었다’고 설명했다.

5.해외 보안업체에서 밝힌 악성코드는 이번 공격에 사용된 MBR/HDD 파괴 악성코드가 아니라는 점  

마지막으로 안랩이 주장한 내용은 해외 백신제품이 이번 공격에 사용된 ‘Kill MBR(안랩 진단명 Win-Trojan/Agent.24576.JPG)’을 미리 진단하고 있었다는 부분은 사실과 다르다고 주장했다.

이는 해외 보안업체 공식 블로그에도 진단 날짜가 대부분 3월 20일 이후로 나와 있다며 해외 보안업체가 지난해 이미 진단했다고 언급한 악성코드는 이번 공격에 사용된 악성코드와 일부 구조가 유사한 변종이라는 것. 즉 이번 공격에 사용된 MBR을 파괴하는 악성코드는 아닌 것으로 확인됐다고 주장했다. 

따라서 안랩은 ‘책임을 회피한 적이 없다’며 ‘이번 3.20 사이버 테러 직후 고객정보보호 후속조치를 발표하면서 명확한 조사 결과, 안랩에 귀책사유가 있다면 피하지 않고 책임을 질 것이라고 밝힌 바 있다’고 언급했다. 그러나 책임은 명확하게 입증된 사실을 전제로 한다는 점을 분명히 밝혔다. 

그러면서 안랩은 ‘이번 방송·금융사 6개사 전산장애는 전형적인 APT 방식의 공격으로 국가기관의 철저한 감독과 해당 기업의 다층적인 보안 구축에도 불구하고 완벽하게 막아내기엔 부족한 점이 있다’고 해명했다.

보안업계가 수년 전부터 APT 전용 보안 제품을 개발해왔지만 기술력만으로 막기는 어렵다는 것. 따라서 사용자의 보안 의식이 무엇보다 중요하다고 강조하며 일부 의원이 라디오 방송에서 언급한 ‘안랩이 완전히 털렸다’거나 ‘북한의 용병’이라는 언급은 사실이 아니라고 주장했다.

[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>