랜섬웨어 공격 북한 배후설…섣부른 지적 신중론도

출처=한국인터넷진흥원

전 세계 150개국 20만대 이상의 PC를 인질로 만들어버린 워너크라이(WannaCry) 랜섬웨어 공격을 두고 북한 배후설이 확산하고 있다.

대부분의 국내외 보안 전문가들은 워너크라이 랜섬웨어에서 나타나는 특징을 볼 때 이번 대규모 공격이 북한 해커들의 소행인 것으로 추정하고 있다.

하지만 해킹 시 다른 해커들의 흔적을 옮겨놓는 방식도 있는 만큼 북한의 소행이라고 완전히 단정짓기는 어렵다는 주장도 일부 나온다.

16일 보안업계에 따르면 구글 연구원 닐 메타와 글로벌 보안업체 카스퍼스키랩은 워너크라이 랜섬웨어 코드가 북한 해커 조직으로 추정되는 래저러스(Lazarus)의 코드와 유사하다고 주장했다.

래저러스는 2009년부터 활동을 시작해 2014년 미국 소니픽처스엔터테인먼트 해킹 사건에 이어 지난해 2월에는 국제금융거래망(SWIFT)을 이용한 방글라데시 중앙은행 해킹 사건의 주범으로 지목돼 왔다.

카스퍼스키랩은 올해 2월 퍼진 워너크라이 샘플과 래저러스가 이용해온 악성코드 샘플을 비교한 결과 유사성을 발견했다고 밝혔다.

래저러스는 소니픽처스와 SWIFT망을 해킹할 때 고유의 악성코드 백도어(정상적인 절차 없이 시스템에 접근할 수 있는 우회 프로그램)를 사용했는데 여기에 사용된 암호화 원리(로직)가 워너크라이 랜섬웨어의 코드와 유사하다는 설명이다.

국내 한 전문가도 북한 해커들이 고유의 암호화 로직을 사용하는 만큼 워너크라이에서 그러한 로직이 발견됐다는 점은 북한의 소행일 가능성이 크다고 밝혔다.

윈도 운영체제의 파일공유(SMB) 취약점을 노린 수법도 북한 해커들이 자주 이용하는 침투 방식이라는 점도 북한 배후설을 키우는 배경이다.

보안업계는 이번 공격을 자신의 소행이라고 주장하는 해커 조직 '섀도 브로커스'(Shadow Brokers)와 '스팸테크'가 활동하는 방식도 북한 해커들과 유사한 것으로 보고 있다.

만약 랜섬웨어가 북한의 소행이라면 지난 14일 신형 탄도미사일을 발사한 시점과 맞물려 군사력과 사이버공격력을 동시에 과시하기 위한 것이라는 해석도 가능하다.

그러나 이번 랜섬웨어 공격의 배후로 북한을 섣불리 지목해선 안 된다는 신중론도 나온다.

워너크라이 개발자가 이번 공격의 주모자로 래저러스가 의심을 받도록 캔토피에서 발견된 코드를 고의로 워너크라이에 심었을 가능성이 있어 배후를 특정하기 어렵다는 것이다.

임정빈 기자 [e-mail]