6.25 사이버 테러, "북한 소행 가능성에 무게"

주요 정부기관을 공격한 ‘6.25 사이버 테러’를 조사하는 과정에서 3·20 사이버테러와 유사한 악성코드가 발견돼 북한 소행 가능성이 높은 것으로 밝혀졌다.

보안업체 잉카인터넷 관계자는 “최종 공격 목적지는 현재 분석중이지만 인터넷 망을 감시하는 과정에서 3·20 사이버테러 당시와 유사한 악성코드가 발견됐다”고 27일 밝혔다.

주목할 점은 지난 4월 정부가 3.20사이버테러가 북한 정찰총국이 저지른 것이라고 공식 발표했기에 유사한 패턴이 발견된 이번 사이버테러 역시 북한의 소행일 가능성이 높다는 의미다.

업계는 이번 6.25 사이버 테러가 북한 소행으로 드러난 2009년과 2011년 디도스 공격 때와 유사한 방식이라며 북한 소행 가능성에 무게를 두고 있다.

이번에 발견된 악성코드는 파일의 복원을 막기 위해 임의의 위장 코드를 삽입해 저장한 뒤 파일을 삭제하는 방식으로 설계됐다. 시스템 파괴 기능이 동작하면 바탕화면을 임의로 바꾸거나 드라이브에 있는 모든 파일을 임의의 코드로 덮어쓰기 한 다음 파일명도 변경해 지우게 된다.

시만텍 코리아도 6월 25일 발생한 사이버 공격과 관련해 추가적인 분석 결과를 공개했다.

시만텍은 6.25 사이버 테러 때 다수의 공격이 이뤄졌으며, 대한민국 정부 웹사이트를 겨냥한 디도스 공격 이 ‘다크서울(DarkSeoul)’ 공격집단과 관련이 있다고 밝혔다.

보고서는 ‘다크서울’이 6.25 사이버 공격을 포함해 지난 4년간 국내에서 발생한 주요 공격을 주도해 왔으며, 지난 3월 국내 주요 은행과 방송사의 컴퓨터 하드 드라이브를 삭제하며 엄청난 피해를 입힌 3.20 공격과 5월에 발생한 국내 금융기관 대상의 사이버 공격도 ‘다크서울’과 관련있다고 분석했다.

현재 ‘다크서울’의 배후 집단을 특정하기는 어렵지만 일부에서는 배후에 북한이 있다고 지목하고 있는 상황이다.

시만텍코리아의 윤광택 이사는 “다크서울은 수년간 주요 기관 및 시설에 피해를 입힐 만큼 독보적인 공격 능력을 갖추고 있다는 점에서 지속적인 주의와 대응태세가 요구된다”고 강조했다.