셰도우 브로커스, 이전에 비공개 처리했던 부분 공개해
트럼프 대통령에 경고성 메시지도 함께 전달해

[보안뉴스 문가용 기자] 셰도우 브로커스(Shadows Brokers)라는 해킹 그룹이 NSA와 관련이 있는 것으로 강하게 의심받고 있는 이퀘이젼 그룹(Equation Group)과 관련이 있는 정보를 또 한 차례 공개했다. 이번엔 미국 대통령인 도널드 트럼프에게 보내는 메시지와 함께였다.



셰도우 브로커스는 지난 해 NSA의 서버로부터 해킹해온 정보를 판매한다며, 그 중 일부를 온라인 사이트에 업로드 하면서 파장을 일으켰다. 하지만 그 정보를 선뜻 구매하겠다고 나선 사람이 없어 셰도우 브로커스는 아무런 실익을 취하지 못했으며, 이에 실망하여 여러 판매 전략을 사용해 보았지만, 마땅한 구매자는 여전히 나타나지 않았다. 심지어 크라우드펀딩까지 시도했으나 무산됐다. 이에 셰도우 브로커스는 잠적했으며, 그들이 가지고 있을 거라는 정보도 덩달아 수면 아래로 묻히게 되었다.

그러다가 지난 주말 셰도우 브로커스가 다시 등장해, 이전에 공개한 자료들 중 비밀번호가 걸려 있던 부분마저 공개해버렸다. 보다 정확히 말하면 비밀번호를 공개해, 이미 다운로드를 받은 사람들이 자료를 열람할 수 있도록 한 것이다. 이에 비밀번호를 받아 문건을 조사한 일부 전문가들은 “이퀘이젼 그룹의 공격 목표가 누구인지 밝혀졌다”고 설명했다.

그 중 하나가 구글 프로젝트 제로팀의 타비스 오르만디(Tavis Ormandy)다. 그는 이번에 유출된 익스플로잇 중 하나인 EXACTCHANGE에 대해 “로컬 권한 상승을 유발시키는 리눅스 커널 취약점을 공격하는 것”이라고 설명하며 “구글이 2009년 발견하기 전까지 수년 동안 이퀘이젼 그룹이 사용해왔던 것으로 분석된다”고 말한다.

막심 자잇세프(Maksym Zaitsev)라는 전문가는 솔라리스(Solaris) 익스플로잇들, 다중 플랫폼 RAT, 리눅스 키로거, 시스코 방화벽을 대상으로 한 익스플로잇, 시스템 지문 채취 툴, IP.Board 익스플로잇, 아파치 및 삼바 제로데이 등이 해당 자료에 포함되어 있었다고 설명한다.

x0rz라는 이름으로 온라인에서 활동하는 전문가 역시 이번에 새롭게 공개된 자료들을 분석했고, 로그를 청소해주는 툴(TOAST), 가짜 중국 브라우저(ELECTRICSLIDE), 몇몇 GSM 관련 툴(CURSEHAPPY, EDITIONHAZE, LIQUIDSTEEL, SHAKENGIRAFFE, WHOLEBLUE) 등을 발견했다고 밝혔다. 또한 이퀘이젼 그룹이 침해한 시스템 내에서 다른 해커의 공격이 있었는지 등을 검색해주는 기능 역시 발견됐다.

발견은 여기에서 그치지 않았다. IP 주소와 도메인 이름이 목록 채로 수두룩하게 나오기도 했는데, 이는 이퀘이젼 그룹이 공격한 곳으로 추정된다. 여기엔 놀랍게도 미국의 동맹국들도 포함됐다. 하지만 에드워드 스노든을 포함해 자잇세프 등을 위시로 한 일부 전문가들은 “아직 더 나올 것이 있다”는 입장이다.

한편 셰도우 브로커스는 미디엄(Medium)이란 곳을 통해 도널드 트럼프 대통령에게 보내는 메시지도 포스팅했다. “셰도우 브로커스는 당신에게 표를 줬습니다. 셰도우 브로커스는 당신을 지지합니다. 하지만 셰도우 브로커스는 실망을 금치 못하고 있습니다. 셰도우 브로커스를 돕는 것은 곧 당신을 돕는 것입니다. 지금 당신의 행위들은 당신의지지 기반과 당신을 위해 투표한 사람들을 버리는 것과 같습니다.”

셰도우 브로커스가 처음 등장해 NSA 자료를 천문학적 금액에 판매한다고 했을 때, “판매가 목적이 아니라 정치적 공략일 것”이라는 게 업계 중론이었다. NSA 자료를 공개적으로 살 사람도 없을 것이고, 금액도 비현실적이었기 때문이다. 자연히 러시아가 배후 세력으로 떠올랐다.

하지만 셰도우 브로커스는 이를 계속해서 부인하고, “오로지 금전적인 이득만을 좇고 있다”고 밝혔다. 다만 러시아와 푸틴이 미국의 가장 강력한 동맹이며 공공의 적이 사라지고 미국이 다시 위대해질 때까지 이 동맹은 계속될 거라는 언급을 하기는 했다.

일각에서는 이번 자료 공개 시기가 미국이 러시아의 동맹국인 시리아를 공격하기로 결정한 직후라는 점을 지적한다. 트럼프를 겨냥한 위 메시지가 이번 시리아 공격에 관한 것이라면, 셰도우 브로커스와 러시아 사이의 연관성에 대한 의혹이 더욱 짙어진다. 하지만 일부 언어학자들은 셰도우 브로커스의 포스팅을 분석해, ‘영어가 모국어인 사람들’이라고 판별하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>