중국발 해킹, 마술의 경지?

"해킹당하지도 않았는데 정상적인 웹사이트에서 악성코드가 유포된다?"

어찌보면 마술과도 같은 해킹. 그러나 실제 국내 이용자들을 표적으로 은밀히 진행되고 있는 공격이다.


27일 서울 잠실롯데호텔에서 개최된 '정보보호심포지엄(SIS) 2007' 행사의 일환으로 개최된 해킹시연.

공격자가 자신의 PC에 웹사이트의 취약점을 찾아 이를 해킹할 수 있는 자동 공격 프로그램 화면을 띄운다. 공격자가 취약점 탐색 버튼을 클릭하자 보안이 취약한 웹서버들이 줄줄이 걸려든다.

이 중 한곳을 타깃으로 공격자가 공격명령을 실행하자 해당 웹서버의 관리자 권한이 장악됐다. 한순간이었다. 공격자는 원격접속 프로그램을 해당 웹서버에 설치하면 눈앞의 모니터 화면으로 마치 자신의 PC처럼 통제가 가능한 상황.


이후 공격자가 사용한 공격 방식은 'ARP 스푸핑(Spoofing)'. ARP란 IP 네트워상에서 IP 주소를 물리적 네트워크(장비) 주소로 대응시키기 위한 프로토콜로, 이를 조작하면 동일한 네트워크를 물려있는 다른 웹서버나 PC의 모든 이동중인 데이터 패킷을 볼 수 있게 된다.

공격자는 이 공격을 통해 같은 네트워크에 물려있는 모든 웹사이트(웹서버)의 방문자들을 상대로 개인정보를 빼내는 악성코드가 자동으로 유포되도록 조작했다. 이 경우, 사용자가 다른 정상적인 웹서버에 접속해도 이용자PC에 전송되는 데이터는 모두 이곳을 경유해 공격자가 미리 숨겨놓은 악성코드를 받아가게되는 것이다..

악성코드에 감염된 사용자가 포털 블로그나 웹메일, 게임사이트에 접속하는 순간 로그인 정보는 그대로 공격자의 PC로 전송됐다.

ARP스푸핑 공격을 통해 공격자는 취약한 특정 웹서버를 해킹한 것만으로 동일한 네트워크에 물려있는 모든 정상적인 웹서버들을 해킹한 효과를 거둔 셈이다.

이날 시연은 가상으로 이루어진 해킹. 그러나 실제 지난해 12월부터 국내 네티즌들의 개인정보를 노리는 중국발 해킹에 자주 사용되고 있다는 것이 한국정보보호원(KISA)측 설명이다.

웹사이트를 해킹해 악성코드를 숨겨놓거나 중개서버로 악용되는 이른바 '중국발 해킹'이 여전히 기승을 부리고 있는 가운데, 공격자들의 공격수법이 이처럼 지능화되고 있는 것이다.

현재 인터넷 포털이나 게임업체들이 대부분 다수의 웹서버를 운영하는 형태다. 더욱이 IDC나 웹호스팅업체의 경우, 한곳의 웹서버가 뚫리면 그곳에 입주한 모든 웹서버들이 이같은 악성코드 유포 위협에 노출될 수 있다는 점에서 충격적이다.

서진원 KISA 선임연구원은 "과거처럼 특정 웹서버를 해킹한 뒤 웹페이지안에 악성코드 스크립트나 중개코드를 숨겨놓을 경우, 노력만하면 해킹피해 여부를 파악할 수 있었으나, 이같은 공격은 해킹에 성공한 웹페이지조차 굳이 변조할 필요가 없다는 점에서 관리자들이 '감' 조차 잡기 어렵다"고 지적했다.

그는 "이제는 기업이 관리하는 모든 웹서버들 가운데 하나의 취약점이라도 있다면 전 웹서버들이 위협에 노출되기 때문에 사내 모든 네트워크와 서버에 대한 종합적인 보안관리체제가 더욱 시급한 실정"이라고 강조했다.

무엇보다 국내 이용자들을 겨냥한 해킹공격이 이같이 지능화되면서 이제는 PC 이용자들도 보안패치와 최신 백신업데이트를 생활화하지 않을 경우, 웹서핑만으로도 쉽게 자신의 개인정보가 유출되는 피해를 입게 될 것이라는 게 보안전문가들의 지적이다.

한편, 이날 KISA가 주최한 '정보보호심포지엄' 행사는 국내 최고권위의 정보보호 학술세미나로, 2000여명의 정부기관, 학계, 업계 관계자들이 참석해 성황을 이뤘다.