핵티비스트들과 사이버전 해커들에게 2017년은 ‘황금맥’
러시아로 관심 쏠린 사이 소리 소문 없이 세력 넓히는 이란

[보안뉴스 문가용 기자] 연말마다 다음 해에 대한 수많은 예측들이 나온다. 작년 말에도 마찬가지였는데, 여러 가지 예측 중 “핵티비즘이 증가할 것”이라는 것도 있었다. 그 근거로는 1) SNS의 사용량이 급증하고 있기 때문에 프로파간다를 진행할 공간이 늘어났다는 것과 2) 정치적인 행사들이 많은 나라에서 예약되어 있다는 것, 3) 그에 따라 정치적인 사건들이 발생할 것이라는 게 손꼽혔다.


▲ 음, 골라먹는 재미

그리고 정말로 2017년 1월 트럼프 대통령의 취임식 즈음하여 각종 핵티비즘 활동들이 예고되거나 벌어졌고, 오늘 새벽엔 아시아나항공의 웹사이트가 세르비아 지역 분쟁과 관련 있는 것으로 보이는 핵티비스트들의 공격에 받아 일정시간 마비되기도 했다. 시체가 있는 곳에 독수리 날아들 듯 분쟁이 있는 곳에 해커들이 모여든다는 게 어느 덧 자연스러운 현상으로 자리 잡고 있다.

정치적 사건 및 분쟁을 먹이 삼는 해커들은 크게 아시아나 항공을 공격한 핵티비스트들과 세계 여러 정부들이 암암리에 운영하고 있는 사이버전 해커들로 나뉜다. 그러므로 정치적 행사나 사건들이 많아질수록 핵티비즘과 사이버전이 늘어날 것은 불 보듯 뻔한 일이고, 반대로 이들의 활동이 많아진다는 건 정치적 행사나 사건이 보도되는 것보다 더 많은 문제를 여전히 일으키고 있다는 뜻이 된다. 최근 핵티비스트나 사이버전 해커들을 무럭무럭 키우고 있는 먹잇감에는 무엇이 있는지 알아보았다.

1. 트럼프 신임 대통령은 핵티비즘의 아버지?
트럼프 대통령은 매일 논란으로 가득한 헤드라인을 제조기 수준으로 만들어내는 인물이다. 거의 하는 말마다 논란을 일으키는 정치판의 거대 인물이 핵티비스트들의 레이더에 안 걸릴 리가 없다. IT 프로(IT Pro)라는 해외 매체에서는 트럼프가 핵티비스트들에게 끝없는 영감을 준다고까지 비꼬기도 했다. 이게 그냥 우려만 섞인 예측성 발언이 아니다.

후안 소버라니스(Juan Soberanis)라는 인물은 도널드 트럼프를 반대하기 위한 웹사이트를 만들어 그의 취임식 날에 다 같이 백악관 홈페이지에 접속하여 접속 불가능하게 만들자고 주장하기도 했다. 즉 디도스 공격을 실행하자고 공공연히 사람을 불러 모은 것이다. 물론 해당 웹사이트는 폐쇄되었고, 백악관도 수많은 시민들의 수동 디도스 공격에 다운되지는 않았다.

취임식이 지나고 얼마 후인 1월 30일에는 대표 핵티비스트 단체인 어나니머스(Anonymous)가 트럼프 대통령의 핸드폰 해킹법을 공개하기도 했다. 트럼프의 핸드폰은 안드로이드 4.4 OS 버전이 설치된 갤럭시 S3로 취임 때부터 ‘보안에 너무 취약한 것이 아니냐’는 논란을 낳기도 했다. 어나니머스는 대선 때부터 꾸준히 트럼프를 괴롭혀온 핵티비스트 단체들이기도 하다.

2. 그들 입장에선 핵티비즘, 우리는 사이버 테러리즘
트럼프 대통령만큼의 먹음직스러운 해커들의 먹이가 있다면 바로 세계의 암덩어리인 IS다. 하지만 아직 핵티비즘이나 사이버전으로 이들에게 위협을 미치고 있진 못하다. 재미있는 건 IS 역시 그들 입장에서의 핵티비즘을 계속해서 벌이고 있다는 것이다. 이들은 특히 SNS 공간에서 캠페인 및 가입자 모집 활동을 활발하게 벌이고 있다.

최근 IS의 지지자들로 보이는 사이버 테러리스트들(그들 입장에선 핵티비스트)이 영국의 국영 의료 서비스 기관인 NHS의 웹사이트를 공격했다. 튜니지안 팔라가 팀(Tunisian Fallaga Team)이라는 이들이 ‘자신들의 소행’이라고 주장했으며, NHS의 웹사이트에 여러 전쟁 이미지들과 선전 문구들을 도배했다. 특히 “시리아인들을 그만 죽여라”라는 문구들이 여러 번 등장했다. 영국은 환자들의 정보가 같이 유출된 건 아닌지 수사를 진행했고, 아직까지는 환자들에 대한 직접적인 피해가 신고되지는 않았다.

3. 러시아, 정말 세계 선거 시스템의 위협인가?
미국 대선에 성공적으로 개입했다는 러시아의 해커들은 현재 대통령 선거를 앞두고 있는 11개국(헝가리, 독일, 에콰도르, 세르비아, 프랑스, 싱가포르, 케냐 등)과 국회의원 선거가 예정되어 있는 13개국(네덜란드, 미얀마, 알제리, 불가리아, 프랑스 등), 기타 주요 선거를 치룰 20개국(인도네시아, 호주, 독일, 홍콩 등)의 제1 호 경계 국가이다. 3월에 총선이 있는 네덜란드는 수동 개표를 진행하겠다고 선언하기도 했다.

또한 프랑스의 에마뉘엘 마크롱(Emmanuel Macron) 대선 후보는 “러시아가 프랑스의 대선에 개입하려는 시도가 있었다”고 주장하고 나섰고, 이에 러시아 정부는 “말도 안 되는 비난”이라고 일축했다. 영국 또한 2015년 총선에 러시아가 개입했다고 주장하며 보안업계에 도움을 청한 바 있다. 독일에서도 역시 러시아의 해킹을 조심하자는 분위기가 일고 있으며, 미국의 국회의원인 린지 그래함(Lindsey Graham)과 크리스 머피(Chris Murphy) 역시 “유럽의 선거가 위험하다”고 공공연히 경고한다.

4. 숙적을 노리는 신흥 해킹 강국, 이란
그렇게 러시아에게 모든 시선이 쏠려 있을 때 조용히 활동을 시작한 나라가 있으니 바로 이란이다. 지난 몇 개월간 이란은 중동의 숙적인 사우디아라비아를 겨냥한 활동에 주력해왔었다. 그러나 최근 들어 미국도 이란의 사이버 공격으로부터 무사하지 못할 것이라는 전망이 사이버 보안 전문가들 사이에서 나오기 시작했다.

이 주장을 제일 먼저 한 건 미국의 전 국가안보보좌관인 마이클 플린(Michael Flynn)이다. 그는 미국 정부가 이란에 이미 경고를 한 상태라고 주장하며 이란 내 일고 있는 반미 감정 및 각종 시위들을 봤을 때 이란이 미국에 대하여 사이버 공격을 한다는 것이 지극히 당연한 일이라고 말했다. 보안 전문업체인 크라우드스트라이크(CrowdStrike)의 부회장인 아담 메이어스(Adam Meyers) 역시 이에 동의하며 “미국의 대 이란 정책에 반대하는 이들이 사이버 공격을 점점 더 많이 퍼붓고 있다”고 설명한다.

메이어스는 이어 “최근 들어 이란 정부의 해킹 행위가 급증했다”며 “지난 2개월 동안 사우디아라비아를 겨냥한 사이버 공격 행위들이 20~30회나 적발됐다”고 말한다. “미국과 이란의 관계가 다시 악화될 조짐이 보입니다. 이럴 경우 미국의 금융 산업에 대한 공격이 어느 정도 규모로 벌어질 것인지가 관건이 됩니다.”

다음으로 문제가 되는 건 이란의 사이버 공격 수준이 높아졌다는 것이다. 메이어스는 “이전보다 훨씬 더 발전된 모습들을 보여주고 있다”며 “2010~2014년만 하더라도 작은 아마추어 동호회가 해킹을 연습해보는 것과 비슷한 수준의 사이버전 실력을 갖추고 있었다”고 설명한다. 그것이 최근에는 “꽤나 준수한 수준으로 끌어올려졌으며” 동시에 “사이버전에 대한 공식적인 언급은 크게 줄어들었다.” 좀 더 ‘프로’답게 변한 것이라고 메이어스는 요약한다.

여기서 잠깐 이란 해커들의 주요 행적을 살펴보자. 2012년 이란 출신이라고 보이는 해커들은 중동의 거대 석유 기업인 사우디 아람코(Saudi Aramco)를 공격해 2만 5천 여대의 컴퓨터에 저장된 데이터를 전부 삭제해버렸다. 이 공격을 샤문(Shamoon) 공격이라고도 한다. 그 다음 해엔 미국의 은행들을 대상으로 대규모 디도스 공격을 벌이기도 했다.

샤문 공격은 작년 11월과 올해 1월 다시 한 번 목격된 바 있다. 과거에 발견된 멀웨어와 비슷하지만 조금은 다른 변종들이 발견됐다. 사우디아라비아 및 걸프 연안 국가들의 정부 및 민간 조직들의 컴퓨터 수 천 대가 이 변종 멀웨어들 때문에 파괴되고 데이터는 모조리 삭제되었다. 이를 IBM의 사건 대응 팀인 IRIS가 조사했고, 파괴형 멀웨어 또한 IRIS가 분석했다.

그 결과 최근의 샤문 공격은 거의 항상 스피어피싱 이메일 공격으로 시작되며, 이 악성 메일에는 악성 매크로가 탑재되어 있는 MS 워드 문서가 첨부되어 있다는 걸 발견했다. “감염에 성공하면 파워쉘(PowerShell)이 생성되고 원격에서 통제가 가능하게 됩니다. 여기서부터 추가 멀웨어를 얼마든지 사용할 수 있게 되는 것이죠. 관리자 권한을 가져갈 수도 있고요.” 그렇게 추가되는 멀웨어 중 하나가 삭제형 멀웨어, 샤문이다. IBM 엑스포스 IRIS의 팀장인 웬디 휘트모어(Wendi Whitmore)는 “최근 발견된 샤문 공격의 표적은 대부분 중동의 조직들이었다”고 설명한다.

휘트모어는 “이제 전조를 발견했을 뿐이며 앞으로 더 많은 공격들이 발견될 것”이라고 예측한다. “중동 지역이 정치 및 경제의 소용돌이 안에 있기 때문입니다. 서로 공격을 할 만한 요소들이 쌓여 있죠.”

한편 또 다른 보안 업체 팔로알토(Palo Alto Networks)의 유닛 42(Unit 42) 역시 사우디아라비아의 정부, 에너지 산업, 기술 산업의 조직 및 기관들을 겨냥한 공격들을 최근 적발해 수사하고 있다고 한다. 팔로알토는 이 공격을 매직 하운드(Magic Hound)라고 부르고 있으며, 아직 분석 중에 있긴 하지만 이란의 로켓 키튼(Rocket Kitten)이라는 단체와 유사점이 발견되고 있다고 한다.

하지만 매직 하운드가 샤문 공격을 한 단체와 연관이 있을 가능성은 높지 않다고 팔로알토는 보고 있다. “로켓 키튼은 키로깅 등 보다 전통적이라고 분류되는 사이버 스파잉 기법에 충실한 팀입니다.” 하지만 샤문 공격자들이나 로켓 키튼 공격자들이나 모두 악성 매크로가 있는 MS 오피스 문서와 윈도우 파워쉘에 의존하는 경향이 있다는 유사점도 존재한다.

5. 핵티비즘에 대한 논란들
사이버전은 은밀히 실행되고 있고, 공식적으로는 부인되고 있기 때문에 활발한 논의 주제가 되지는 않는다. 하지만 핵티비즘은 공공연히 이뤄지고 있으며, 심지어 행위자들이 당당하게 정체를 밝히기도 해 마치 난세에 난 영웅처럼 보이기도 한다. 그러나 핵티비즘은 피해를 일으키고 있으며, 그 피해 대상이 종종 사안과 상관이 없는 자들이라는 점에서 완전히 ‘옳다’고 볼 수 없다.

한 익명의 전문가는 “디도스 공격하고 디페이싱 공격을 해서 이뤄내는 것이 무엇인가?”라며 “피해를 끼치는 것만이 그들의 결과물이며, 그렇기에 잘못된 것”이라고 핵티비즘에 대해 강력하게 비판한다. “디도스 공격한다고 해서 정부가 눈 하나 깜짝 할까요? ‘아, 내가 잘못했구나’하고 태도를 바꿀까요? 애꿎은 사이트 운영자 혹은 담당자들만 피를 봅니다. 누구나 좋은 이상은 입으로 떠들어댈 수 있습니다.”

네이슨 엥글(Nathan Engle)이라는 보안 전문가는 핵티비즘에 대해 “메시지를 전달하는 잘못된 방법”이라고 말한다. “하지만 그렇다고 핵티비스트들이 윤리적으로 삐뚤어져 있다고는 말할 수 없습니다. 전략이 잘못되어 있지만, 목적 자체에는 동의할 바가 많지요. 사람은 모두 자기가 다룰 줄 아는 도구들로 변화를 일으키고 싶어 합니다. 의사들에게 그것은 메스요, 기자들에겐 펜이죠. 해커들에겐 해킹 도구입니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>