6·25 사이버 공격, 낯선 듯 풍기는 북한의 냄새

지난 3.20 사이버 테러 때 북한이 사용한 것과 비슷한 흔적

지난달 25일 오전 청와대 홈페이지는 "통일 대통령 김정은 장군님 만세!"라는 문구로 변조되었다. 당시 홈페이지 화면에는 'Hacked by ANONYMOUS'라고 적혀있어 해킹 주체를 두고 북한 소행인지 해킹 조직 어나니머스 소행인지를 두고 논란이 됐다. 청와대 홈페이지 화면캡처(지난달 25일)

북한을 공격하겠다던 ‘어나니머스’ 관련 문구와 북한 소행으로 보이게 만드는 ‘통일 대통령 김정은 장군님 만세’ 등 지난달 25일 오전 청와대 홈페이지는 양립할 수 없어 보이는 두 개의 문구로 도배됐다.

그리고 공격이 있은 지 정확히 3주 만에 디도스(DDoS, 분산서비스거부) 공격 및 홈페이지 회원가입 정보 등을 빼낸 ‘6·25 사이버공격’의 배후로 북한이 지목됐다.

미래창조과학부는 16일 브리핑에서 지난달 25일 청와대를 포함한 주요 부처 및 언론사 등을 대상으로 공격한 ‘6·25 사이버공격’이 과거 북한의 해킹 수법과 일치한다고 밝혔다.

미래부가 북한의 해킹 수법과 일치하다고 밝힌 근거는 ‘3·20 사이버테러’에서 얻은 정보였다.

‘3·20 사이버테러’ 당시 일부 언론사는 기사 송고 시스템이 작동되지 않는 것은 물론 PC 부팅이 안 되고, 하드디스크가 파괴되기도 했다.

미래부는 이날 브리핑에서 ‘6·25 사이버공격’에서도 서버를 다운시키기 위한 시스템 부팅영역(MBR) 파괴, 시스템 주요 파일 삭제, 해킹결과를 전달하기 위한 공격상황 모니터링 방법 및 악성코드 문자열 등의 특징이 북한이 배후로 밝혀진 ‘3·20 사이버테러’와 동일하다고 알렸다.

또 6·25 사이버공격에서 서버 파괴 공격을 위해 활용한 인터넷 프로토콜(IP)과 지난 1일 피해기관 홈페이지 서버를 공격한 IP에서 모두 북한이 사용한 IP를 발견했다는 점도 근거로 제시했다.

결국 미래부·국방부·안행부·국정원·경찰청·인터넷진흥원 등 18개 기관으로 구성된 민관군 합동대응팀이 ‘6·25 사이버공격’의 배후로 북한을 지목한 것이다.

따라서 북한을 공격하겠다던 ‘어나니머스’가 오히려 우리 정부의 청와대 홈페이지를 해킹하며, ‘통일 대통령 김정은 장군님 만세’ 문구로 홈페이지를 변조한 것은 북한의 교란 작전이었던 것으로 보인다.

한편 사이버 보안전문 업체 ‘안랩’은 ‘6·25 사이버공격’이 있은 다음날인 26일, 이번 공격이 좀비PC가 아닌 웹사이트에 악성스크립트를 심어 디도스 공격을 했다며 ‘기존과 다른 방식’이라고 알린 바 있다. 실제 보수성향 커뮤니티 ‘일간베스트 저장소’가 디도스 공격에 활용된 것으로 확인되기도 했다.