‘악성코드’ 재활성화할까

유해 트래픽 소멸… 안정 국면
변종 출현 가능성 등 배제 못해

디도스(DDoS·분산서비스거부) 공격에 따른 트래픽이 소멸되면서 주말 고비를 넘어 악성코드가 재활성화할 가능성에 관심이 집중되고 있다.

12일 방송통신위원회에 따르면 정부 유관기관과 보안업계는 디도스 공격으로 인한 트래픽 증가가 정상수준을 회복했다고 밝히면서도 비상대응체제를 유지하고 있는 것은 혹시 모를 악성코드의 재활성화 가능성 때문이다.

특히 이번 주요 정부기관 및 기업 사이트를 공격한 악성코드는 공격, 자폭 등 명령을 담은 파일이 분리돼 있는 등 고난도의 변종이어서 공격이 활성화될 가능성을 배제할 수 없다. 방통위 관계자는 “통상 디도스 공격에서 ‘봇’(악성코드)은 C&C(명령제어·Command and Control) 서버의 조종을 받는데, 이번 봇은 스스로 업데이트도 하고 자체 파괴도 하는 융합형 악성코드”라며 “추가 공격이 없다고 장담할 수 없는 상황”이라고 밝혔다.

한 보안 전문가는 “얼마나 잘 자신을 은폐하느냐가 해커 수준을 측정할 수 있는 기준이 되는 점을 감안할 때, 이번 악성코드는 수준이 매우 높다”고 평가했다. 이번 공격에서 1, 2차 공격에 참가한 악성코드는 스스로 자신의 경로를 삭제했고, 3차 공격을 유발한 악성코드는 감염 PC를 파괴하는 방식으로 자신을 은폐했다. 결국 해킹세력이 맘먹기에 따라서는 이보다 더 강력한 신종 악성코드로 4차 공격을 감행할 수도 있는 것이다.

그러나 현재로선 4차 공격이나 변종 출현의 징후는 발견되지 않고 있다. 게다가 현재 데이터 자동 파괴에 따른 PC손상 건수가 미신고분을 감안하더라도 예상보다 낮은 수치인 점도 이번 디도스 사태가 종료된 것이 아니냐는 추정을 가능케 하고 있다. 황철증 방통위 네트워크정책국장은 “악성코드 분석 결과 3차 공격이 마무리되면 자체 삭제하고 끝내는 것으로 파악하고 있고 변종 코드도 발견되지 않았다”고 말했다.

한국정보보호진흥원(KISA)은 악성코드를 담은 2만3000대의 ‘좀비PC’로부터 22종의 악성코드 샘플을 확보, 분석한 결과 아직까지 추가 공격 메시지를 담은 파일을 발견하지 못했다.

KISA 관계자는 “22종의 악성코드 샘플이면 대부분을 확보한 것으로 보이지만 미처 확보치 못한 다른 샘플에 또다른 공격명령이 숨어 있을 수도 있어 긴장을 늦추지 않고 있다”고 밝혔다. 이상헌 KISA 선임연구원은 “향후 디도스 사태의 진전은 PC 사용자가 사전에 스스로 얼마나 백신치료를 했는지가 관건이 될 것”이라고 말했다.

조현일 기자 [e-mail]