청와대 등 주요 사이트를 마비시킨 ‘7.7 DDoS’(분산서비스거부) 공격의 윤곽이 점차 명확해지고 있지만 근원지를 찾아내는 것은 요원해 보인다.
이번 공격이 예상보다 훨씬 고급 기술이 동원됐고 치밀한 준비가 이뤄진 것으로 드러나고 있기 때문이다. 특히 정보당국이 배후에 북한이 있을 것으로 추정했지만 현재까지 북한 개입흔적은 확인되지 않고 있다.
경찰 조사 결과 DDoS 공격이 국내 웹하드 사이트를 통해 배포된 악성코드가 일반 PC를 `좀비PC''로 만든 다음 해외에 기반을 둔 네트워크형 중간 조종(C&C:Command&Control) 서버가 좀비PC에게 공격을 명령한 복합 구조를 갖는 것으로 파악됐다.
사건 직후 경찰과 보안 전문가들이 내놓았던 분석 내용보다는 한층 진일보한 기술이 가동됐고 꼼꼼하게 준비했다는 얘기다.
이들이 일반 PC를 좀비PC로 감염시킨 과정도 기존 공격과 차별화된다. 기존 DDoS 공격은 특정 웹문서를 열거나 파일을 내려받은 컴퓨터를 악성코드에 감염시켰지만 이번 공격은 두 곳의 웹하드를 이용한 네티즌의 PC 대부분을 감염시켜 훨씬 효율적으로 악성코드를 배포할 수 있었다.
또 DDoS 공격자들이 61개국에 퍼져 있는 432대의 C&C 서버 그룹을 통해 좀비PC를 원격 조종하는 등 범행이 치밀한 각본에 의해 짜진 것으로 분석됐다. 특히 기존 DDoS 공격은 대개 좀비PC를 조종하는 C&C 서버가 한 종류이지만 이번에는 각 기능을 수행하는 서버가 4종류나 된다. 더욱이 좀비PC들이 4종류의 서버에 차례로 접속해 명령을 받는 구조로 돼 있어 이 네 종류의 서버들은 직접적인 연결 고리도 없다.
범행 동기도 여전히 불분명하다. DDoS 공격은 사이트 운영자를 협박해 돈을 요구하거나 경쟁사 영업을 방해하려 저질러진 경우가 많았지만, 이번 공격에서 범인이 얻은 직접적인 이익은 거의 없기 때문이다.
경찰은 미국 연방수사국(FBI) 등과 공조 수사를 벌이고 있지만, C&C 서버가 전 세계 곳곳에 퍼져 있는 등 복잡한 공격구조와 불분명한 범행 동기 때문에 범인 추적에 어려움을 겪을 전망이다.

고병수 기자 byng8@naeil.com
Copyright ⓒThe Naeil News. All rights reserved.