농협 전산망 마비 사태에 대한 검찰 수사결과를 발표한 김영대 서울중앙지검 첨단범죄수사 2부장은 "이번 사건은 북한에 의한 새로운 형태의 사이버테러"라고 밝혔다.

 지난달 12일 발생한 사상 초유의 농협 전산망 마비 사태는 결국 북한의 '사이버테러'에 의한 것으로 드러났다.

 서울중앙지검 첨단범죄수사2부는 3일 이번 사태가 2009년 7.7 디도스 및 지난 3.4 디도스 공격을 감행했던 동일 집단이 장기간 치밀하게 준비해 실행한 것으로 '북한이 관여한 초유의 사이버테러'라고 발표했다.

 검찰은 한국IBM 직원 노트북에서 발견된 81개 악성코드를 분석한 결과 농협 서버 공격에 사용된 악성코드가 쉽게 발견되지 않도록 암호화하는 방식 등 독특한 제작기법이 앞선 두 차례 디도스 사건과 매우 유사한 것으로 나타났다고 밝혔다.

 아울러 악성코드의 유포 경로와 방식이 비슷할 뿐만 아니라 공격에 활용한 좀비PC를 조종하기 위해 이용한 서버 IP(인터넷 프로토콜) 1개는 3.4 디도스 사건에 이용된 것과 완전히 일치하는 것으로 조사됐다.

 검찰은 범인들이 이번 공격 명령의 발원지인 한국IBM 직원의 노트북을 2010년 9월4일 좀비PC로 만든 뒤 7개월간 집중적으로 관리하면서 내부 정보를 빼내고서 원격 조정으로 공격을 감행한 사실을 밝혀냈다.

 이들은 문제의 노트북에 악성코드와 함께 일명 '백도어'라 불리는 해킹 프로그램, 도청 프로그램을 설치해 일거수 일투족을 치밀하게 감시하면서 공격대상 IP와 최고관리자의 비밀번호를 습득한 것으로 확인됐다.

 범인들은 이러한 방식으로 지난달 12일 오전 8시20분14초 공격명령 파일을 노트북에 설치한 뒤 그 날 오후 4시50분10초 인터넷을 이용한 원격제어로 명령을 실행했으며, 이후 순차적으로 2차, 3차 공격을 감행해 총 587대의 서버 가운데 273대를 초토화시켰다.

 검찰은 악성코드의 종류와 설계 및 유포 기술, 준비 기간 등 수사결과 밝혀진 정황에 비춰 상당한 규모의 인적ㆍ물적 뒷받침 없이는 실행하기 어려운 범죄라는 결론을 내렸다.

 이 날 조사결과를 발표한 김영대 부장은 이번 사태가 북한이라고 단정한 이유를 "노트북에 장착된 무선랜카드 맥드레스가 좀비 아이디로 확보됐고, 이 좀비 아이디가 북한에서 특별 관리해오던 것으로 확인됐다"고 밝혔다.

 김 부장은 북 농협을 고른 이유에 대해 "농협을 타깃으로 했다기보다 악성코드 유포과정에서 협력업체 직원이 감염되고, 그가 농협 관련 업체에 일을 했기에 농협이 대상이 된 측면이 있다"고 말하고, 내부 소행과 연관해서는 "내부자들도 조사했지만 내부에서 악의를 가진 사람은 없는 걸로 드러났다"고 말했다.

 그는 또 사이버테러 가능성 염두 여부에 대해서도 "농협 전산장애 발생 다음날 범죄인 것 같다는 기사가 나오기 시작했고, 테러든 내부자 소행이든 범죄 가능성이 있겠다고 생각해 확인에 들어갔다"고 사건 초기부터 이 부분에도 수사를 해왔음을 밝혔다.

 김 부장은 또 이번 농협 PC에는 보안프로그램이 깔려있었지만 문제의 노트북은 유지 보수업체의 것으로 보안 프로그램이 깔려있지 않았다며 "보안프로그램이 깔려 있으면 웹하드 사이트에 접속을 못하기 때문 이번 사태를 막을 수 있었을 것으로 본다"고 말하기도 했다.(konas)

코나스 이현오 기자(holeekva@hanmail.net)