북한 등의 ‘은밀한’ 사이버전 방식...기밀정보 탈취 위해 주로 활용

[보안뉴스 성기노 객원기자] 인터넷 해킹과 관련된 용어들이 대부분 영어로 된 단어들이라 일반인들은 용어의 ‘식별’에 애를 먹고 있다. 랜섬웨어라는 단어가 전 세계를 휩쓸더니 최근에는 ‘워터링 홀’이라는 해킹 수법이 등장해 네티즌들의 눈길을 모으고 있다.


▲ 보기엔 천국, 현실은 지옥[사진=iclickart]

워터링 홀이란 공격 대상이 방문할 가능성이 있는 합법적 웹사이트를 미리 악성코드에 감염시킨 뒤 잠복하면서 피해자의 컴퓨터에 악성코드를 추가로 설치하는 공격을 말한다. 사자가 마치 먹이를 습격하기 위해 물웅덩이(Watering Hole) 근처에서 매복하고 있는 형상을 빗댄 것으로, 표적 공격의 일종이라고 볼 수 있다. 워터링 홀은 사전에 공격 대상에 대한 정보를 수집한 후 주로 방문하는 웹사이트를 파악, 해당 사이트의 제로데이(Zero-Day) 등을 악용해 접속하는 모든 사용자에게 악성코드를 뿌리기 때문에 사용자가 특정 웹사이트에 접속만 하더라도 악성코드에 감염될 수 있다.

워터링 홀은 특히 산업스파이 활동을 목적으로 컴퓨터나 네트워크를 감염시켜 기밀 정보를 빼내기 위해 사용된다. 빈도가 낮고 공격자의 웹사이트에서 자동으로 돌연변이 악성코드를 생성해 매번 기존 유형과 조금씩 다른 형태로 공격하는 서버 측 다형성 공격기법을 이용하기 때문에 방어하기 어렵다는 게 특징이다. 과거엔 주로 타깃화 된 사이버 첩보 활동에 쓰였지만 최근엔 상대적으로 보안 위협에 취약한 중소기업을 노린 워터링 홀도 증가하고 있다.

이렇듯 워터링 홀은 불순한 의도를 가진 범죄자들이 특정 타깃을 공격할 때 사용하는 일종의 테러 행위다. 북한 추정 해커조직의 사이버전 활동을 추적해온 CWIC사이버전연구센터는 지난 1년간 북한 추정 해커가 국내 외교, 항공우주, 북한, 통일, 의회, 국회, 노동, 금융 등과 관련된 협회나 학회, 조합 등 10개 웹사이트에서 방문자에게 악성코드를 유포하는 ‘워터링 홀’ 공격을 수행했다고 밝혔다.

랜섬웨어는 금전을 취득하려는 목적이 강하지만 워터링홀은 표적이 나타나기를 기다리는 공격이다. 다시 말해 누군가에게서 정보를 빼내려는 목적이 강하다. 그러므로 외교, 통일, 항공우주, 금융 등의 분야에서 정보를 빼내가겠다는 의도로 볼 수 있다.

관심이 낮은 홈페이지에 덫을 깔아 놓고 누군가 관계된 단 한사람이라도 접속을 하면 해당 PC에 악성코드를 집어넣겠다는 의도다. 예를 들면 외교 관련 사이트에 덫을 놓고 기다리다 어느 순간 외교부 관계자가 접속하면 그 PC를 장악하겠다는 의도다. 이를 통해 중요 정보를 조용히 탈취하면서 외교부 내 또 다른 사람에게 악성코드를 전파시키고 또 정보를 얻는 과정을 반복하다 어느 순간 외교부 내 컴퓨터를 모두 마비시키겠다는 공격이다.

북한의 해킹 의혹은 점점 짙어지고 있고, 최근에는 그 수법과 기술이 매우 다양화되고 첨단화돼 가고 있다. 보안업계 전문가들은 이제 북한의 해킹 테러를 기정사실화 하고 국가전략 차원에서 그 대응책을 총체적으로 마련해야 한다고 조언한다. 소 잃고 외양간 고치는 일이 더 이상 일어나서는 안 된다는 것이다.
[성기노 객원기자(kino@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>