책 ‘네트워크 속의 유령’을 통한 해킹의 장기간 과정 이해

[보안뉴스= 민종근 해군 대위, 사이버개념연구회2.0/국군사이버사령부] 정보 탈취를 매개로 하는 랜섬웨어, 서비스를 마비시키는 DDoS 공격 등 해킹 관련 사건들은 언론매체를 통해서 쉽게 들어볼 수 있다. 미래창조과학부 분석에 의하면 2017년 상반기 국내 전산망에 대한 사이버 공격은 2016년 상반기와 비교해서 2배 증가한 것으로 드러났다. 이처럼 언론을 통해 접하는 해킹 사건들이 최근 영화, 드라마 등 대중 문화물 속에서 나타나 관심을 끌고 있다.


대중 문화물 속에서 해킹은 일부 과정만 단순화해 표현되고 있다
대중 문화물 속에서 해커는 짧은 순간에 키보드를 치며 해킹에 성공하는 등 인상적이면서 매력적인 역할로 묘사된다. 하지만 짧은 상영 시간의 한계로 인하여 해킹 과정 중 실행하는 단계만 묘사된다. 그러나 실제 해킹에서는 정보수집, 취약점 분석 등 여러 과정을 통해 사전에 시나리오를 구상하고 해킹을 시도한다. 따라서 대중 문화물에서 나오는 해킹 과정은 이러한 단계가 생략되어 표현된다.

실제 해킹 과정에 대해서 2012년 출판한 ‘네트워크 속에 유령’을 통해 엿볼 수 있다. ‘네트워크 속에 유령’의 저자는 ‘케빈 미트닉(Kevin Mitnick)┖으로 이 책은 ’케빈‘이 일생동안 겪었던 일에 대해서 쓴 것이다. 그는 1980~90년대 최고의 IT 기업을 해킹하고 미국 전역 전화망을 감청했다. 이러한 불법 해킹으로 5년 동안 감옥에서 보낸 후 보안 컨설팅 회사를 운영하고 있다.

‘네트워크 속의 유령’을 통해 대중 문화물에서 생략된 해킹 과정을 이해할 수 있다
책 속에서 ‘케빈’이 해커로서 활동한 시기는 1980~90년대이다. 현재 해킹 방법과는 조금은 차이가 있을 수도 있지만, 해킹을 하는데 필요한 과정은 현재와 다르지 않았다. ‘케빈’은 어린 시절부터 ‘프리커(Phreaker: 전화를 본래의 의도와 달리 도용하거나 불법적으로 사용하는 사람)’로 활동했다. ‘케빈’은 전화를 통제하는데 사용되는 시스템에 대해 관심이 많아 이 시스템을 해킹 목표로 삼았다.

해킹을 위한 첫 번째 단계로 해킹 대상에 대한 이해력을 높이기 위해 전화회사 매뉴얼을 읽으며 시스템에 대해 공부했고, 다른 해커들과의 교류를 통해 내부직원 사용하는 용어를 익히며 전문 대화가 가능한 수준의 지식을 쌓았다.

두 번째 단계로 목표 대상의 취약점을 파악하기 위해 전화 시스템을 관리하는 부서에 전화를 걸었고 습득한 지식인 전화회사 매뉴얼, 전문용어 등을 언급하면서 관리자에게 신뢰감을 얻어 전화 시스템의 구조, 취약점 등을 얻었다.

세 번째 단계로 수집된 정보를 종합 분석해서 목표한 전화 시스템을 해킹하는데 성공했다. 따라서 해킹을 성공하기까지 대중 문화물 속에서 표현과 달리 현실에서는 장기간 이루어졌다.

최근 정보보호 솔루션의 기술적 발전으로 시스템에 직접 침투하기 힘들다. 해커들은 표적(목표시스템 관리자 또는 내부직원)을 선정해 장기간 지속적으로 공격(APT 공격, 지능형 지속 위협 공격)을 수행한다. 이 공격은 표적을 대상으로 인터넷을 통해 쉽게 수집할 수 있는 온라인 정보(메일, 블로그, 카페, 휴대폰번호 등)와 오프라인 정보(가족관계, 출신학교, 동호회 활동 등)를 수집한 후 조합해 이용한다. 그리고 수집한 정보를 바탕으로 표적의 가족 또는 지인을 사칭하여 악성코드가 첨부된 해킹메일을 보내 해킹을 시도한다.

특히, 해킹메일에 사용된 악성코드는 난독화해서 만들어지는데, 악성코드는 ‘백신체계’ ‘메일체계’ 등 정보보호 솔루션에 탐지되지 않고 작동하도록 수많은 테스트를 거친다. 따라서 2016년에 발생한 대형 쇼핑몰 정보유출 사건도 해커는 이와 같은 과정을 거쳐서 해킹에 성공한 것이다.

해커가 장기간 준비하듯 그에 맞는 대응기술 연구가 지속적으로 이루어져야 한다
’네트워크 속의 유령‘을 통해 알 수 있는 것은 해킹이 성공하기까지의 과정은 단순하지 않으며, 여러 과정을 통해 장기간 준비를 한다는 것이다. 따라서 대형 해킹 사건들은 절대 단기간에 발생하는 일이 아니므로 이제는 해킹의 전 과정을 이해하고 해커들이 장기간 해킹을 준비하듯 그에 맞는 대응기술을 연구하는 일이 필요하다.
[글_ 민종근 해군 대위, 사이버개념연구회2.0/국군사이버사령부]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>