북한발 워너크라이 랜섬웨어 공격의 뒷이야기, 미국의 핵심부서 노렸다! : 월간조선

5월 12일, 전세계적으로 워너크라이 랜섬웨어(Wannacry Ransomeware) 공격이 시작됐다. 워너크라이는 워너크립트(WannaCrypt)라 불리는 악성 소프트웨어, 멀웨어(Malware)의 줄임말이다. 랜섬웨어의 랜섬(ransome)은 영어로 인질의 몸값을 의미한다.

이 워너크라이 랜섬웨어에 컴퓨터가 감염되면 컴퓨터의 모든 기능이 잠긴다(lock). 그리고 화면에 컴퓨터 사용자가 해커에게 돈을 주면 잠긴 컴퓨터를 풀어 준다고 한다. 마치 인질의 몸값을 요구하는 범죄와 유사하다. 그러나 몸값을 지불해도 컴퓨터를 풀어 주지 않는다고 한다. 국내의 한 인터넷 기업은 해커에게 13억원 정도를 비트코인으로 지불하기도 했다.

이 랜섬웨어는 마이크로소프트사의 윈도(Windows) 운영체제를 사용하는 컴퓨터만 골라 공격하는 바이러스였다. 이 랜섬웨어 공격이 시작된 지 하루 만에 전세계 150여 개국에서 약 23만여 대의 컴퓨터가 감염됐다고 알려졌다.

미국 국방부의 직원이 컴퓨터 키보드를 치고 있다.(기사내용과 무관) 사진=위키미디어

영국의 보건당국(National Health Service), 미국의 물류배송회사 FedEx 등이 피해를 봤다고 알려졌다. 해당 공격은 더 진화되어 7월이 지난 지금도 현재진행형이다. 오스트리아 등 일부 유럽에선 정부 주도로 사이버 방어망을 구축하는 등 피해를 최소화하기 위해 안간힘을 쓰고 있다.

사이버보안기업 시만텍(Symantec)의 연구원들에 따르면 사이버공격의 배후로 라자루스 그룹(Lazarus Group)을 지목했다. 라자루스 그룹은 과거 북한발 사이버 공격을 도와준 기업이다. 해외 정보기관의 사이버 보안 등을 도맡아 처리하는 보안전문기업 리크타(Reaqta)사의 세르주 운(Serge Woon) 국장은 작년 기자와의 인터뷰에서 “북한이 추적을 피하기 위해 라자루스 그룹을 활용했다”고 설명한 바 있다.

북한의 명을 받은 라자루스 그룹의 대표적인 해킹공격으로는 트로이 작전(Operation Troy)과 플레임 작전(Operation Flame)이 있다고 했다. 이 두 공격은 북한이 남한으로부터 대량의 군사정보와 DDOS 공격에 사용한 해킹 작전이다. 미국의 국가안전보장국(NSA)은 이번 랜섬웨어 공격에 사용된 IP 주소 등이 북한의 것이라고 밝힌 바 있다. 전세계를 타깃으로 삼는 사이버 해킹의 배후에 북한이 연루되어 있음을 밝혀 낸 것이다.

유엔 내부자만 알고 있는 프로젝트명까지 공격 이메일 안에 포함돼 …

워너크라이 공격을 받았던 국가들(진한 부분). 사진=위키미디어

이 공격이 북한발이라는 정황적 증거로는 북한의 내부 자금난을 들 수 있다. 북한은 국제사회의 대북제재 속에서 돈을 끌어모으기 어렵다고 알려졌다. 경제사정은 나빠졌는데, 미사일 발사시험 등을 감행하면서 돈을 모으는 데 혈안이 되어 있음이 다수의 대북소식통 등을 통해 알려졌다. 특히 해외 주재 북한 대사관에서는 수단과 방법을 가리지 말고 외화를 벌어오라는 지시 등이 하달됐다고 한다. 이런 마당에 북한이 랜섬웨어를 전세계적으로 공격하면 상당한 외화를 벌 수 있게 된다.

당시 랜섬웨어의 공격 피해정도가 어느정도인지, 또 어디까지 공격을 받았는지가 국내에는 잘 알려지지 않았다. 그런데 기자가 익명을 요청한 유엔(UN) 관계자와 미국 취재원 등을 통해 확인한 바에 따르면 워너크라이 랜섬웨어의 공격이 미국의 수뇌부까지 침투했음을 파악했다.

특히 눈여겨볼 부분은 미국 뉴욕의 유엔본부다. 유엔 안에서도 대북제재안(resolution)을 만들고 추적하는 부서가 공격을 받았음이 확인됐다. 놀라운 점은 이 공격에 사용된 이메일의 내용이다.

미국 뉴욕의 유엔 본부 전경. 사진=위키미디어

보통 랜섬웨어 공격은 이메일 속 첨부파일에 바이러스를 심어 해당 파일을 열거나 링크를 클릭하면 감염된다. 그런데 이 파일을 열도록 유도하는 것이 쉽지 않은데, 이번 사이버 공격 이메일의 내용이 소스라치게 놀랄 정도로 치밀했다고 한다.

해킹에 사용된 유엔의 발신자와 수신자의 주소는 실제 존재하는 이메일 주소와 같았다. 이 유엔의 이메일 발신자와 수신자는 서로 잘 아는 사이였다. 발신자가 작성한 것처럼 보이는 내용에는 실제 유엔 안에서 추진 중인 프로젝트의 이름 등이 거론되어 있었다. 해당 내용은 유엔의 내부자들만 아는 내용이었다는 후문이다.

발신자가 수신자에게 ‘이번 프로젝트에서 좋은 자료를 하나 찾았다. 그런데 자료의 내용이 당신의 나라 언어로 되어 있다. 당신이 좀 해석해 주겠나? 첨부된 파일을 읽어 보고 다음주까지 알려 달라’는 식으로 작성되어 있었다는 것이다. 수신자는 아무 의심 없이 해당 파일을 열었다.

다행히 수신자는 마이크로소프트사의 윈도 운영프로그램을 사용하지 않고 애플사의 컴퓨터를 사용하는 사람이었다. 파일을 열려고 수차례 시도했으나 열지 못했다. 수신자가 나중에 발신자를 사무실에서 만나 말을 건넸다. “당신이 보낸 파일을 내가 아직 열지 못해서 며칠 뒤까지 해서 보내주겠다”고 말했다.

이에 발신자는 놀라며, “내가 무슨 파일을 보냈나? 난 아무것도 너에게 보낸 적이 없다”고 했다는 것이다. 즉 이번 랜섬웨어 공격은 유엔까지 공격의 대상으로 삼았으며 내용은 치밀하게 작성되었다. 특히 북한에 직접적인 피해를 주는 대북제재안을 만드는 부서를 노렸다는 점에서도 시사하는 바가 크다. 해킹 이메일의 수신자가 다행히 애플사의 컴퓨터를 사용해 피해는 면했다.

애플 컴퓨터 사용하는 대학원생들 다행히 피해 없어 …

미국 뉴욕대학교 도서관. 사진=위키미디어

유사한 사례가 미국 뉴욕 맨해튼에 있는 뉴욕대(NYU) 대학원생들에게도 전달됐다. 해당 대학원은 뉴욕대 안에서도 촉망받는 학과로 알려져 있다. 해당 학과는 4차산업의 신기술 및 인큐베이팅(incubating, 연구 및 양산품 시험) 등 다양한 신개념 아이디어를 제조업화시키는 학과다. 해당 학과 졸업생들은 미국의 유수 IT 업계에 진출한다. 위치기반의 소셜네트워크 앱인 포스퀘어(Four Square)의 개발자가 이 학과 출신으로 알려졌다.

해당 대학원생으로 가장한 해킹 이메일이 해당 학과 전체가 사용하는 커뮤니티에 올라왔다. 해당 커뮤니티를 통해 학과생 전체가 수시로 관련 정보 등을 공유한다. 발신자는 ‘이번에 우리가 진행 중인 프로젝트에 매우 유용한 자료를 찾았다. 다 함께 공유해서 도움이 되었으면 한다’는 내용이 올라왔다고 한다. 이 링크를 여러 학생이 의심 없이 클릭했다.

다행히 해당 학과생 대다수가 애플사의 컴퓨터를 사용한다. 따라서 피해자는 없었다. 나중에 확인해 보니 해당 내용을 커뮤니티에 올린 실제 사용자는 “그런 내용을 공유한 적이 없다”고 말했다고 한다. 해커가 해당 학과 공격을 위해 학과생으로 위장한 것이다.

뉴욕대의 사례도 유엔의 사례처럼 해당 학과의 내부 사정을 면밀히 파악한 해커가 랜섬웨어를 전파했다는 것이다. 랜섬웨어에는 다행히 아무도 감염되지 않았지만, 랜섬웨어의 주소를 클릭했던 한 학생은 “우리가 대상이 될 줄은 몰랐다. 아무런 의심을 할 수 없을 정도로 자연스러웠다. 뉴스에서 해킹 피해 사례를 보면, 어떻게 저렇게 멍청할 수 있냐고 비아냥거리곤 했는데, 막상 내가 당해 보니 당하지 않을 수 없었다”는 말을 전했다. 종합하자면, 북한의 랜섬웨어 공격이 날로 진화하고 있으며, 바이러스 유포 방법 등이 치밀해지고 있음을 보여주는 대목이다.

이번 랜섬웨어에는 과거 유출된 미국 NSA가 사용하는 해킹코드도 포함되어 있었다. 이는 북한발 사이버 해킹 기술이 발전되고 있다는 방증이다. 마이크로소프트사는 해당 해킹 기술로부터 컴퓨터 시스템을 보호하는 패치를 올 3월부터 배포해 왔다.

따라서 윈도 업데이트를 통해 향후 사이버 공격에 대비하라고 사이버 보안업계 관계자들은 전했다. 일부 전문가들은 향후 공격에는 윈도 운영체제는 물론 애플의 운영체제도 공격 대상으로 삼을 수 있다고 주의를 당부했다.⊙