악성코드를 걸러내 해킹 사고를 막아야 할 백신소프트웨어가 해킹 도구로 쓰였다. 도둑을 잡는 파수꾼 집이 털린 것이다.
지난달 26일 발생한 SK커뮤니케이션즈의 포털사이트 네이트와 싸이월드 회원 3,500만 명의 개인정보가 유출된 해킹 사건이 새로운 국면을 맞게 됐다. 보안업체 이스트소프트의 서버가 악성코드 유포지로 쓰인 어이없는 일이 벌어졌기 때문이다.
보안업계에 따르면 해커가 만든 악성코드는 ▦이스트소프트의 백신소프트웨어인 알약과 ▦압축해제 프로그램 알집 ▦이를 묶어놓은 알툴즈를 업데이트 해주는 서버에 은닉했다. 업데이트는 이용자가 굳이 별도 작업을 하지 않아도 PC에 알툴즈가 깔려 있으면 스스로 인터넷에서 프로그램을 내려 받아 새로 설치한다. 즉 이용자의 의사와 상관없이 설치가 이뤄지는 것이다.
해커는 이를 노려 알툴즈 자동갱신 프로그램을 가장한 악성코드를 심어 놓았고, 알툴즈가 설치된 SK커뮤니케이션즈 직원의 PC가 이를 내려받아 악성코드에 감염되면서 해커의 조종을 받는 좀비PC가 됐다.
이 과정은 지난 3.4 디도스(DDoSㆍ분산서비스거부) 공격 때와 너무 흡사하다. 보안업체 관계자는 "지난 3월 디도스 때 해커는 악성코드를 개인 대 개인(P2P) 서비스 업체인 쉐어박스의 자동갱신 프로그램으로 가장해 올려 놓았고 쉐어박스가 설치된 PC가 이를 내려받아 악성코드에 감염됐다"며 "이번에도 동일한 과정을 거쳤다"고 말했다.
알툴즈에는 백신소프트웨어 알약이 들어있다 보니, 악성코드는 무사 통과했다. 백신소프트웨어들은 자신의 업데이트 파일을 무사 통과시키거나 다른 백신소프트웨어가 악성코드로 진단하지 못하도록 자체 방어조치를 취하기 때문이다. 업계 관계자는 "도둑이 파수꾼 집 안방(서버)에 들어가 아무도 의심하지 않는 순찰차(백신 소프트웨어)를 타고 돌아다닌 것과 똑같다"고 말했다.
권석철 큐브피아 사장은 "해커가 백신 소프트웨어의 이 같은 특징을 철저히 연구해 의도적으로 알약과 알툴즈를 악용한 것으로 보인다"며 "해외 백신업체 카스퍼스키도 유사하게 뚫려 해킹 사고에 악용된 적이 있다"고 설명했다.
상황이 이렇다 보니 SK커뮤니케이션즈 뿐만 아니라 불특정 다수의 PC가 해커의 공격 대상이 됐을 것이란 분석이다. 보안업체 관계자는 "알툴즈는 누구나 무료로 사용할 수 있는 인기 공개 소프트웨어여서 SK커뮤니케이션즈 직원들 외에 수 십만~수백만명이 사용하고 있다"며 "이 얘기는 곧 해커가 SK커뮤니케이션즈 외에 불특정 다수를 공격 목표로 삼았을 수도 있다는 뜻"이라고 주장했다.
실제로 SK커뮤니케이션즈의 해킹 사건이 일어난 다음날 포털 네이버를 운영하는 NHN은 모든 직원들에게 "PC에서 알툴즈를 제거하라"는 지시를 내렸다. 당시 이스트소프트의 이용 사실이 알려지기 전이다. 네이버 관계자는 "SK커뮤니케이션즈 해킹 사건 후 내부 보안팀이 전산시스템을 점검한 결과 (알툴즈 등) 악성코드 유포 위험성이 있는 일부 프로그램을 발견해 조치를 취했다"고 말했다.
따라서 SK커뮤니케이션즈의 해킹에 사용된 악성 코드가 다른 사이트를 공격했거나 추가 공격 가능성이 있다. 보안업체 관계자는 "이미 해킹 공격을 당했어도 탐지 능력이 떨어진다면 모를 수 있다"며 "이번 SK커뮤니케이션즈 해킹에 쓰인 악성코드를 제거하는 백신 소프트웨어가 나와 있으니 이를 이용해 점검해 볼 필요가 있다"고 강조했다.
보안업계에서는 이번 SK커뮤니케이션즈 해킹에 이스트소프트가 악용된 것을 심각하게 보고 있다. 권 사장은 "이스트소프트가 악성코드 유포지가 된 것은 뚫려서는 안 되는 보안업체가 해킹을 당한 것"이라며 "해커가 보안업체에 정면 도전했다는 자체가 문제"라고 지적했다. 그는 "이렇게 되면 많은 사람들이 보안업체는 물론이고 백신 소프트웨어를 불신하게 돼 사용을 꺼리면 해커에게 또다른 기회를 만들어 줄 수 있다"고 경고했다.
