신종 웜 출현 경고…패치할 시간도 모자란다

지난 25일 중국 해커그룹 ‘X 포커스’가 몇곳의 보안 메일링 리스트를 통해 윈도우 결함 이용코드를 공개하자 보안전문가들은 즉시 해킹주의보를 발령했다.

X 포커스 프로그램을 이용하면 MS 윈도우 운영체제의 결함을 통해 원격 침입이 가능하다. 보안 전문가들에 따르면 이 결함은 지금까지의 윈도우 결함 중 가장 광범위하게 퍼진 것이다.

네트워크 보안업체 e아이 디지털 시큐리티의 CHO(Chief Hacking Officer) 마크 메이프렛은 “이 같은 침입 프로그램은 손쉽게 웜으로 전환되기 때문에 조만간 이를 이용한 웜이 나타날 수 있다”고 경고했다.

많은 보안 전문가들이 침입 코드 공개가 해당 결함에 대한 신속한 패치로 이어진다고 주장하고 있지만 지난 몇 년간 이러한 코드 공개에는 곧 대규모 웜 공격이 뒤따랐다.

메이프렛을 비롯한 보안 전문가들은 이번주 라스베이거스에서 열리는 데프콘 해커 컨퍼런스가 웜 개발 및 확산을 촉진시킬 수 있다며 우려하고 있다.

지난 1월 전세계 기업 네트워크로 퍼진 슬래머 웜은 데이터베이스, 은행 자동화기기 등을 다운시켰으며 일부 항공사는 슬래머 웜으로 비행편을 취소하기도 했다. 이 사건이 발생하기 6개월 전 한 보안전문가가 MS SQL의 주요 결함을 이용하는 코드를 공개했는데 슬래머 웜은 바로 이 코드를 이용한 것이다.

메이프렛은 결함에 대한 세부적인 정보와 이를 이용한 코드가 악성코드로 발전하는 것에 이미 익숙하다. 지난 2001년 6월 그가 다니던 회사는 MS 웹서버 소프트웨어의 결함에 대한 상세한 정보를 공개했는데 이에 대한 결과는 한달 후 코드레드 웜으로 되돌아왔다.

코드 공개, 약이냐 독이냐
한편 메이프렛은 이번 X 포커스 사례를 증거로 들며 “보안 권고안이 요구하는 자세한 정보가 없어도 코드 개발은 가능하다”고 말했다. 이번 윈도우 결함에 대해서도 해커와 보안전문가는 세부적인 정보를 알지 못했지만 이를 악용하는 코드는 금방 나왔다는 것이다.

MS의 신뢰할만한 컴퓨팅 부문 선임이사 제프 존스는 “특정 결함을 악용하는 코드를 공개한다고 기업 보안이 강화되는 것이 아니다”라며 코드 개발자를 비난했다. 그는 “이 같은 코드 공개는 고객에게 좋지 않은 영향을 끼친다고 생각한다”며 웜을 퍼뜨릴 경우 이를 추적해 법적인 조치를 취할 것임을 암시했다. 존스는 “마국에서는 코드를 공개해도 수정헌법 1조에 의해 보호받지만 국제적으로 사용할 경우 범죄가 성립된다”고 강조했다.

MS는 지난 16일 이번 결함에 대한 구체적인 보를 공개했다. 이 결함은 다른 컴퓨터가 윈도우에 특정 액션이나 서비스를 요청할 수 있게 해주는 윈도우 구성요소에 존재한다. RPG(Remote Procedure Service) 프로세스로 불리는 이 구성요소는 파일을 공유하거나 다른 컴퓨터가 프린터를 사용하도록 해준다. 침입자는 이 RPG 프로세스에 과도한 데이터를 보냄으로써 전체 시스템에 대한 접근권한을 가질 수 있게 된다.

X 포커스의 코드는 3가지 윈도우 버전에서만 동작하지만 결함의 이용 방법은 충분히 보여주고 있다.

갈수록 진화하는 코드
메타스플로잇 프로젝트를 개시한 보안전문가 HD 무어는 이 코드를 더욱 확장시켰다. 유명한 해커이자 보안 프로그래머인 무어는 이 코드를 한층 강화, 윈도우 2000 서비스팩 0∼4, 윈도우 XP 서비스팩 0, 1 등 7가지 윈도우 버전에서 동작하도록 만들었다. 그는 이러한 프로그램을 만든 이유를 “코드가 미완성인 채로 있는 것이 싫기 때문”이라고 밝혔다.

무어는 수정한 이 코드를 자신의 홈 네트워크로 호스팅하고 있는 사이트에 올렸는데 사람들의 관심은 기대 이상이었다. 보안전문가들이 미처 알기도 전에 이 코드는 초당 300∼400건의 다운로드 요청을 받기 시작했으며 무어의 케이블 모뎀 연결은 기능이 마비됐다. 그는 지난주말 호스팅 전문업체로 사이트를 이전했다.

무어는 자신의 코드가 손쉽게 웜으로 변환될 수 있다고 생각한다. 그는 “이번 윈도우 결함은 리모트 루트(원격으로 컴퓨터를 제어하는 것)가 가능한 결함 중 가장 광범위하게 퍼진 결함”이라며 “웜으로 발전될 것이 거의 확실시된다”고 말했다.

익명을 요구한 한 보안 전문가에 따르면 웜에 대한 우려로 금융업계가 긴장하고 있다. 금융업계에는 MS 패치 검사와 적용에 단 2주의 시간만 주어졌는데 항상 시간에 쫓기는 네트워크 관리자 입장에서 이는 불가능한 일이다. 익명의 전문가는 “문제가 심각했던 이유는 네트워크 관리자들에게 시간이 부족했기 때문이다. 약 6만 5000개의 주소를 갖는 클래스 B 네트워크 전체를 수정하는 데는 최소 몇주가 걸린다”고 말했다.

메이프렛은 “결함을 모두 패치하고 방화벽을 강화하는 등 보호조치를 끝낸 기업이라 해도 다시 한번 점검할 필요가 있다”고 말했다.

그는 “이번 결함은 SQL 슬래머 웜 형태로 발전할 가능성이 크다. 슬래머 웜은 한 대만 감염되면 전체 내부 네트워크가 감염된다. 데이터베이스만 다운돼도 타격이 큰데 이번에 웜이 나온다면 데이터베이스 서버를 비롯해 다른 모든 컴퓨터까지 다운시킬 것”이라고 경고했다.

메이프렛은 “신속히 패치를 적용하고 결함이 존재하는 서비스를 비활성화 시켜야 한다”고 말했다.